Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aktif olarak sömürüldüğü tespit edilen dört yeni güvenlik açığını Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Bu katalog, siber saldırganlar tarafından aktif olarak kullanılan güvenlik açıklarını listeliyor ve federal kurumlar ile özel sektör için bir erken uyarı sistemi görevi görüyor. Yeni eklenen açıklar arasında Lantronix EDS5000 serisi cihazlarda kod enjeksiyonu (CVE-2025-67038) ve Ubiquiti UniFi OS işletim sisteminde hatalı erişim kontrolü (CVE-2026-34908), yol gezinme (CVE-2026-34909) ve hatalı girdi doğrulama (CVE-2026-34910) zafiyetleri bulunuyor. Bu güvenlik açıkları, siber saldırganlar için sık kullanılan saldırı vektörleri oluşturuyor.
Lantronix EDS5000 serisi, endüstriyel IoT ve uzaktan yönetim çözümlerinde yaygın olarak kullanılan bir cihaz serisi. CVE-2025-67038 koduyla izlenen kod enjeksiyonu güvenlik açığı, saldırganların cihaz üzerinde keyfi kod çalıştırmasına olanak tanıyor. Bu tür bir açık, özellikle kritik altyapılarda kullanılan endüstriyel kontrol sistemleri için büyük risk oluşturuyor. Saldırgan, bu zafiyeti kullanarak cihazın tam kontrolünü ele geçirebilir, ağ üzerinde yanal hareket edebilir veya veri sızdırabilir.
Ubiquiti UniFi OS ise özellikle ağ yönetimi ve güvenlik kamerası sistemlerinde yaygın olarak kullanılan bir platform. CVE-2026-34908 (hatalı erişim kontrolü), CVE-2026-34909 (yol gezinme) ve CVE-2026-34910 (hatalı girdi doğrulama) güvenlik açıkları, saldırganlara yetkisiz erişim, hassas dosyalara erişim veya sistemde keyfi işlemler yapma imkânı sağlıyor. Bu üç açığın aynı anda KEV kataloğuna eklenmesi, Ubiquiti kullanıcılarının acilen güncelleme yapması gerektiğini gösteriyor.
CISA, bu zafiyetleri Bağlayıcı Operasyonel Direktif (BOD) 26-04 kapsamında değerlendiriyor. BOD 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için risk bazlı güvenlik güncelleme önceliklendirmesi getiriyor. Bu direktif, özellikle kamuya açık varlıklarda bulunan ve sömürü sonrası tam kontrol sağlayan yüksek riskli zafiyetlerin hızla giderilmesini zorunlu kılıyor. Ayrıca, yama uygulanmadan önce sistemin tehlikeye girip girmediğinin kontrol edilmesi için temel beklentiler belirleniyor. BOD 26-04, sadece federal kurumları bağlasa da CISA tüm kuruluşları bu risk yönetimi yaklaşımını benimsemeye çağırıyor.
CISA, KEV kataloğunda listelenmeyen ancak aktif olarak sömürülen bir güvenlik açığı fark edenleri, KEV aday formu aracılığıyla bildirmeye davet ediyor. Kataloğa eklenebilmesi için bir zafiyetin CVE kimliğine sahip olması, sömürüldüğüne dair kanıt bulunması ve net bir azaltma yönergesinin olması gerekiyor. Bu sayede topluluk, güncel tehditlere karşı daha hızlı önlem alabiliyor.
Detaylar ve Etkileri
Kuruluşların bu güvenlik açıklarına karşı alması gereken önlemler arasında, etkilenen Lantronix ve Ubiquiti ürünlerinin en son güvenlik yamalarını uygulamak, ağ segmentasyonu yapmak, güvenlik duvarı kurallarını sıkılaştırmak ve sistemlerde anormallik tespiti için izleme araçlarını kullanmak yer alıyor. Ayrıca, bu zafiyetlerin sömürüldüğüne dair herhangi bir işaret varsa, olay müdahale ekipleri derhal devreye girmeli ve adli bilişim incelemesi başlatılmalıdır. CISA'nın KEV kataloğunu düzenli olarak takip etmek ve risk değerlendirmelerini buna göre güncellemek, siber güvenlik duruşunu güçlendirmenin etkili bir yoludur.
Kaynak: cisa.gov
