ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aktif olarak istismar edildiği tespit edilen bir güvenlik açığını daha Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na ekledi. Bu hafta eklenen yeni zafiyet, Ivanti Sentry ürününde bulunan ve CVE-2026-10520 koduyla takip edilen bir OS Komut Enjeksiyonu güvenlik açığı. Bu tür açıklar, kötü niyetli siber aktörler tarafından sıkça kullanılan saldırı vektörleri arasında yer alıyor ve özellikle federal kurumlar için ciddi riskler oluşturuyor.
CISA'nın yayımladığı Bağlayıcı Operasyonel Direktif (BOD) 26-04, federal sivil yürütme organı (FCEB) kurumları için güvenlik güncellemelerinin risk temelli olarak önceliklendirilmesini zorunlu kılıyor. Bu direktif, daha önceki BOD 22-01'i güncelleyerek, KEV kataloğunun önemini pekiştiriyor ve federal kurumların, özellikle kamuya açık varlıklarda bulunan ve istismar sonrası varlığın tam kontrolünü ele geçirmeye olanak tanıyan yüksek riskli güvenlik açıklarını hızla düzeltmesini gerektiriyor. Düşük riskli açıklar için ise eylemler ertelenebiliyor.
BOD 26-04, ayrıca federal kurumların yama uygulanmadan önce tehdit aktörlerinin sistemi ele geçirip geçirmediğini kontrol etmesi gerektiğine dair temel beklentileri de belirliyor. Bu sayede, yalnızca güvenlik açığını kapatmakla kalmayıp, olası bir ihlalin tespit edilmesi de sağlanıyor. CISA, BOD 26-04'ün yalnızca FCEB kurumları için bağlayıcı olduğunu ancak tüm kuruluşları risk temelli güvenlik açığı yönetimini benimsemeye ve KEV kataloğundaki zafiyetlerin giderilmesine öncelik vermeye teşvik ediyor.
Teknik Analiz
Ivanti Sentry'deki bu OS komut enjeksiyonu güvenlik açığı, yetkisiz bir saldırganın hedef sistemde keyfi komutlar çalıştırmasına olanak tanıyor. Bu tür zafiyetler, genellikle hedef sistemin tamamen ele geçirilmesi, veri sızdırılması veya fidye yazılımı saldırıları için kullanılıyor. CISA, bu açığın aktif olarak istismar edildiğini doğruladığı için KEV kataloğuna ekleme yaptı. Kuruluşların, bu zafiyeti hemen gidermek için gerekli yamaları uygulaması ve sistemlerini olası ihlal belirtilerine karşı taraması öneriliyor.
Sonuç ve Değerlendirme
CISA, KEV kataloğunda yer almayan ancak istismar edildiği bilinen bir güvenlik açığı fark edenleri, KEV Aday Formu'nu kullanarak bildirmeye davet ediyor. Kataloğa eklenecek potansiyel adayların bir CVE kimliğine, istismar kanıtına ve net bir azaltma rehberliğine sahip olması gerekiyor. Bu sayede, siber güvenlik topluluğu olarak tehditlere karşı daha hızlı ve etkili bir şekilde mücadele edilmesi hedefleniyor.
Sistem Güvenliği
Sonuç olarak, CISA'nın KEV kataloğuna yaptığı bu yeni ekleme, kuruluşların güvenlik açığı yönetiminde risk temelli bir yaklaşım benimsemeleri gerektiğini bir kez daha hatırlatıyor. Özellikle Ivanti Sentry kullanan kurumların, bu zafiyeti acilen gidermek için harekete geçmeleri ve BOD 26-04 kapsamında belirtilen kontrolleri yapmaları büyük önem taşıyor. Unutulmamalıdır ki, siber saldırganlar sürekli olarak yeni açıklar aramakta ve bu tür zafiyetleri kullanarak sistemlere sızmaktadır.
Kaynak: cisa.gov
