ABD Federal İletişim Komisyonu (FCC), ulusal güvenlik endişeleriyle yasaklanan yabancı menşeli internet router'larının sahiplerine yönelik güvenlik güncellemeleri için tanınan süreyi iki yıl uzattı. Mart 2026'da yayınlanan bir kararla, "tüketici sınıfı" internet router'larının ithalatı ve satışı yasaklanmıştı. FCC, bu cihazların ABD ulusal güvenliği için "kabul edilemez bir risk" oluşturduğunu belirtmişti. Yeni düzenlemeyle birlikte, bu yasak kapsamındaki router'lar FCC'nin "kapsanan liste"sine alındı. Yalnızca ABD Savunma Bakanlığı (DoD) veya İç Güvenlik Bakanlığı (DHS) tarafından koşullu onay almış router'lar bu yasağın dışında tutuldu.
Yasakla birlikte FCC, söz konusu router'ların üreticilerine, ABD'deki müşterilerine Mart 2027'ye kadar güvenlik güncellemeleri gönderebileceklerini bildirmişti. Ancak FCC'nin Mühendislik ve Teknoloji Ofisi (OET) tarafından 8 Mayıs'ta yayınlanan yeni bir kamu bildirimi ile bu süre "en az" 1 Ocak 2029'a kadar uzatıldı. Bu uzatma, yalnızca ABD'li tüketicilere zarar verebilecek güvenlik açıklarını gidermeye yönelik yazılım ve donanım yazılımı (firmware) güncellemelerini kapsıyor. Bildirimde, "Bunlar, cihazların sürekli işlevselliğini sağlamak için gerekli olan tüm yazılım ve donanım yazılımı güncellemelerini içerir; örneğin güvenlik açıklarını kapatan ve farklı işletim sistemleriyle uyumluluğu sağlayan güncellemeler" ifadesine yer verildi.
Bu düzenleme, yasaklı cihaz tedarikçilerinin bu mekanizma aracılığıyla yeni özellikler eklemesine izin vermiyor. Aynı uzatma, Aralık 2025'te ABD'de satışı yasaklanan yabancı menşeli drone sistemleri ve drone kritik bileşenleri için de geçerli. FCC'nin bu adımı, özellikle kurumsal ağlarda kullanılan yönetilmeyen ağ altyapılarının, özellikle güncellenmemiş ve ömrünü tamamlamış router'ların, saldırganlar için kalıcı ve düşük görünürlüklü erişim sağlayan bir sıçrama tahtası görevi görmesini engellemeyi amaçlıyor.
Son yıllarda Çin bağlantılı Volt Typhoon ve Salt Typhoon kampanyaları, bu tür zafiyetlerin nasıl kullanıldığını açıkça gösterdi. Volt Typhoon, özellikle ABD kritik altyapısına sızmak için güncellenmemiş yönlendiricileri hedef almıştı. FCC'nin bu uzatma kararı, yasaklı cihazların tamamen kullanımdan kaldırılmasına kadar geçecek sürede en azından güvenlik güncellemelerinin devam etmesini sağlayarak, siber güvenlik risklerini azaltmayı hedefliyor.
Uzmanlar, bu tür düzenlemelerin yalnızca ABD için değil, küresel çapta tedarik zinciri güvenliği açısından da önemli olduğunu vurguluyor. Özellikle IoT cihazlarının yaygınlaşmasıyla birlikte, router gibi ağ uç noktalarının güvenliği kritik hale geldi. Kullanıcıların, yasaklı cihazlarını mümkün olan en kısa sürede güvenli alternatiflerle değiştirmeleri öneriliyor. Bu süreçte, üreticilerin sağladığı güvenlik güncellemelerinin düzenli olarak uygulanması, cihazların savunmasız kalmasını engelleyecektir.
FCC'nin bu kararı, aynı zamanda ulusal güvenlik ile teknolojik bağımlılık arasındaki hassas dengeyi de gözler önüne seriyor. Yabancı menşeli cihazların tamamen yasaklanması yerine, kontrollü bir geçiş süreci öngörülüyor. Bu sayede hem tüketiciler mağdur edilmiyor hem de güvenlik açıkları için bir tampon bölge oluşturuluyor. Uzatılan süre boyunca, üreticilerin güncelleme politikalarını şeffaf bir şekilde yürütmeleri ve FCC'nin denetimine tabi olmaları bekleniyor.
Kaynak: infosecurity-magazine.com
