ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na iki yeni kritik güvenlik açığı ekledi. CVE-2026-48939 olarak izlenen iCagenda eklentisindeki sınırsız dosya yükleme açığı ve CVE-2026-56291 olarak izlenen Balbooa Forms bileşenindeki benzer bir güvenlik açığı, aktif olarak siber saldırganlar tarafından kullanılıyor. Bu tür açıklar, kötü niyetli aktörlerin sistemlere sızmasına ve tam kontrol ele geçirmesine olanak tanıyor.
CISA tarafından yayımlanan Bağlayıcı Operasyonel Direktif (BOD) 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için risk temelli güvenlik güncellemelerini zorunlu kılıyor. Bu direktif, KEV Kataloğu'ndaki yüksek riskli açıkların hızla kapatılmasını ve düşük riskli açıklar için ise ertelenebilir bir yaklaşım benimsenmesini öngörüyor. Özellikle, kamuya açık varlıklarda tam kontrol sağlayan açıkların öncelikli olarak ele alınması gerekiyor.
Direktif ayrıca, yama uygulanmadan önce sistemlerin tehlikeye girip girmediğinin kontrol edilmesi için temel beklentileri belirliyor. Bu sayede kurumlar, saldırganların sistemlere erişip erişmediğini tespit ederek daha kapsamlı bir müdahale planı oluşturabilecek. CISA, BOD 26-04'ün yalnızca federal kurumları bağladığını ancak tüm kuruluşları risk temelli güvenlik açığı yönetimini benimsemeye çağırıyor.
Uzmanların Görüşleri
iCagenda ve Balbooa Forms açıkları, içerik yönetim sistemleri (CMS) üzerinde çalışan popüler eklentilerdir. Saldırganlar, bu açıkları kullanarak kötü amaçlı dosyalar yükleyebilir, web sitelerini ele geçirebilir veya arka kapı oluşturabilir. Özellikle Joomla ve WordPress tabanlı sitelerde yaygın olarak kullanılan bu bileşenler, güncelleme yapılmadığı takdirde ciddi risk oluşturuyor.
CISA, KEV Kataloğu'na eklenen her açık için net bir azaltma rehberi sunuyor. Kuruluşların, ilgili CVV ID'lerini kullanarak güvenlik açıklarını taramaları ve üretici tarafından sağlanan yamaları acilen uygulamaları öneriliyor. Ayrıca, istismar edilen ancak henüz kataloğa eklenmemiş açıkların CISA'ya bildirilmesi için bir başvuru formu da mevcut.
Sonuç ve Değerlendirme
Siber güvenlik uzmanları, bu tür açıkların özellikle küçük ve orta ölçekli işletmeler için büyük tehdit oluşturduğunu belirtiyor. Düzenli güvenlik taramaları, yama yönetimi ve çalışan eğitimi, bu riskleri azaltmanın temel yolları arasında yer alıyor. CISA'nın KEV Kataloğu, tehdit istihbaratını güncel tutmak ve önceliklendirme yapmak için önemli bir kaynak olarak değerlendiriliyor.
Kaynak: cisa.gov
