CISA (ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı), Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na yeni bir zafiyet ekledi. Eklenen güvenlik açığı, SimpleHelp yazılımında bulunan ve CVE-2026-48558 koduyla tanımlanan kimlik doğrulama atlatma zafiyetidir. Bu tür açıklar, kötü niyetli siber aktörler tarafından sıkça kullanılan saldırı vektörleri arasında yer almakta olup, federal kurumlar için ciddi riskler oluşturmaktadır.
Bağlayıcı Operasyonel Direktif (BOD) 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için güvenlik güncellemelerinin riske göre önceliklendirilmesini zorunlu kılmaktadır. Bu direktif, KEV Kataloğu'nun önemini vurgulamakta ve federal kurumların, kamuya açık varlıklarda ele geçirme sonrası tam kontrol sağlayan yüksek riskli güvenlik açıklarını hızlı bir şekilde düzeltmesini gerektirmektedir. Düşük riskli açıklar için ise eylemler ertelenebilmektedir.
BOD 26-04 yalnızca FCEB kurumlarını bağlıyor olsa da, CISA tüm kuruluşları risk bazlı güvenlik açığı yönetimini benimsemeye ve KEV Kataloğu'ndaki açıkları öncelikli olarak gidermeye teşvik etmektedir. Ajans, belirtilen kriterleri karşılayan yeni güvenlik açıklarını kataloğa eklemeye devam edeceğini duyurdu.
Sonuç ve Değerlendirme
Halihazırda KEV Kataloğu'nda listelenmeyen ancak istismar edildiği bilinen bir güvenlik açığı varsa, CISA'nın KEV Aday Gösterme Formu aracılığıyla bildirim yapılabileceği belirtiliyor. Kataloğa eklenmesi için bir güvenlik açığının CVE kimliğine, istismar kanıtına ve net bir düzeltme yönergesine sahip olması gerekiyor.
