ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aktif olarak istismar edildiği tespit edilen yeni bir güvenlik açığını Known Exploited Vulnerabilities (KEV) Kataloğu'na ekledi. CVE-2026-35273 numarasıyla izlenen bu açık, Oracle PeopleSoft Enterprise PeopleTools ürününde kritik bir kimlik doğrulama eksikliğinden kaynaklanıyor. Bu tür güvenlik açıkları, kötü niyetli siber aktörler tarafından sıkça kullanılan saldırı vektörleri olup federal kurumlar için ciddi riskler oluşturuyor.
CISA'nın yayımladığı Bağlayıcı Operasyonel Direktif (BOD) 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için güvenlik güncellemelerinin risk temelli önceliklendirilmesini zorunlu kılıyor. Bu direktif, daha önceki BOD 22-01'i güncelleyerek KEV kataloğunun önemini vurguluyor ve federal kurumların yüksek riskli güvenlik açıklarını hızla gidermesini şart koşuyor. Özellikle, kamuya açık varlıklarda bulunan ve istismar sonrası varlığın tam kontrolünü ele geçirmeye olanak tanıyan KEV kataloğundaki CVE'ler için acil yama yapılması gerekiyor. Düşük riskli açıklar için ise eylemler ertelenebiliyor.
BOD 26-04 ayrıca, federal kurumların yama uygulanmadan önce tehdit aktörlerinin sistemi tehlikeye atıp atmadığını kontrol etmesi için temel beklentiler belirliyor. Bu, siber güvenlik olay müdahale süreçlerinde proaktif bir yaklaşımı teşvik ediyor. Her ne kadar bu direktif yalnızca FCEB kurumlarını kapsasa da, CISA tüm kuruluşları risk temelli güvenlik açığı yönetimini benimsemeye ve KEV kataloğundaki açıkları öncelikli olarak gidermeye çağırıyor.
Oracle PeopleSoft PeopleTools, kurumsal kaynak planlama (ERP) sistemlerinde yaygın olarak kullanılan bir platformdur. CVE-2026-35273 açığı, kimlik doğrulama gerektirmeyen kritik işlevlere erişim sağlayarak saldırganların sisteme tamamen hakim olmasına yol açabiliyor. Bu tür açıklar, özellikle kamuya açık sistemlerde büyük bir tehdit oluşturuyor. Kuruluşların, Oracle tarafından sağlanan güvenlik yamalarını acilen uygulaması ve sistemlerini bu açığa karşı taraması öneriliyor.
CISA, KEV kataloğuna yeni açıklar eklemeye devam edeceğini duyurdu. Halihazırda katalogda bulunmayan ancak istismar edildiğinden şüphelenilen bir güvenlik açığı varsa, kuruluşlar KEV Aday Gösterme Formu aracılığıyla CISA'ya başvurabilir. Eklenmesi için aday gösterilen açıkların bir CVE ID'sine, istismar kanıtına ve net bir azaltma rehberine sahip olması gerekiyor. Bu sayede siber güvenlik topluluğunun güncel tehditlere karşı daha hızlı hareket etmesi hedefleniyor.
Gelecekte Ne Bekleniyor?
Sonuç olarak, CISA'nın bu hamlesi, özellikle kritik altyapı ve kamu kurumlarının siber güvenlik duruşunu güçlendirmeyi amaçlıyor. Oracle PeopleSoft kullanıcılarının en kısa sürede yama yapması ve BOD 26-04 kapsamındaki gereklilikleri yerine getirmesi büyük önem taşıyor. Tüm kuruluşlar, risk bazlı bir güvenlik açığı yönetimi stratejisi benimseyerek KEV kataloğundaki açıklara öncelik vermeli ve siber tehditlere karşı proaktif önlemler almalıdır.
Kaynak: cisa.gov
