Cisco, güvenli e-posta ağ geçidi ürününde saldırılarda aktif olarak kullanılan CVE-2026-76519 numaralı sıfır gün güvenlik açığını doğruladı. E-posta eklerinin hatalı işlenmesinden kaynaklanan açık, kimlik doğrulaması gerektirmeyen uzaktan saldırganların sistemde kök yetkileriyle komut çalıştırmasına olanak tanıyor. Şirket, etkilenen cihazların kontrol edilmesini, güvenlik yamalarının uygulanmasını olası ihlal belirtilerinin araştırılmasını öneriyor.
Zararlı E-posta Ekleri Cisco’nun Güvenlik Sistemlerinde Komut Çalıştırılmasına Yol AçıyorCisco’nun güvenlik duyurusuna göre CVE-2026-76519, şirketin güvenli e-posta ağ geçidi sistemindeki Gelişmiş Kötü Amaçlı Yazılım Koruması (AMP) özelliğinde bulunan güvenlik açığından kaynaklanıyor. Göreli yol geçişi olarak adlandırılan zafiyet, sistemin e-posta eklerini hatalı işlemesi nedeniyle ortaya çıkıyor.
Saldırganlar, özel hazırlanmış zararlı eki güvenlik güncellemesi uygulanmamış cihaza e-posta yoluyla göndererek açıktan yararlanabiliyor. Başarılı saldırı, cihazın işletim sistemine istenen dosyaların yazılmasına en yüksek yetki düzeyi olan kök yetkisiyle komut çalıştırılmasına olanak tanıyor.
Cisco Ürün Güvenliği Olay Müdahale Ekibi (PSIRT), Ekim 2026’ açığın gerçek saldırılarda kullanıldığını tespit. Şirket, saldırıların kapsamı saldırganların kimliği hakkında ayrıntı madı. Ancak sistem üzerinde en yüksek yetkiyle işlem yapılabilmesi, etkilenen cihazlar cihazların koruduğu kurumsal ağlar açısından ciddi risk oluşturuyor.
CVE-2026-76519, dosya itibar hizmetinin etkin olduğu e-posta politikasına atandığı sistemleri etkiliyor. Ayrıca Content Scanner Tools bileşeninin 25.3.0.5525 sürümünden eski olması gerekiyor.
Sistem yöneticileri, cihazda kullanılan tarayıcı bileşeninin sürümünü komut satırı arayüzündeki contentscannerstatus komutuyla kontrol edebiliyor. Ardından web tabanlı yönetim ekranında ilgili e-posta politikalarının Gelişmiş Kötü Amaçlı Yazılım Koruması bölümüne girerek “Enable File Reputation” seçeneğinin etkin olup olmadığını inceleyebiliyor.
Gelen e-posta politikaları için Mail Policies > Incoming Mail Policies > Advanced Malware Protection, giden e-posta politikaları içinse Mail Policies > Outgoing Mail Policies > Advanced Malware Protection yolu izlenebiliyor.
kontroller, kuruluşların hangi cihazların risk altında olduğunu belirlemesine yardımcı oluyor. Yöneticilerin hem yazılım sürümünü hem ilgili güvenlik özelliklerinin yapılandırmasını incelemesi gerekiyor.
Cisco, saldırganların kök yetkisiyle komut çalıştırdıktan sonra saldırıya ilişkin izleri silebileceği konusunda uyarıyor. Şirket, nedenle güvenlik duvarı kayıtlarının ağ günlüklerinin şüpheli etkinlikler açısından incelenmesini öneriyor.
Özellikle harici veya şüpheli IP adresleriyle gerçekleştirilen dosya indirme yükleme işlemleri, olası ihlalin belirlenmesine yardımcı olabilir. Kuruluşların sistem kayıtlarında yer alan ihlal göstergelerini değerlendirmesi gerekiyor.
Cisco, güvenlik duyurusunda üç farklı sistem mesajı için izlenecek adımları açıkladı. Olası ihlalin tespit edildiğini belirten mesajlarda şirketin teknik destek ekibiyle iletişime geçilmesi duyurudaki önerilerin uygulanması gerekiyor. Güvenlik taramasının tamamlanamadığını belirten mesajlarda Cisco Teknik Destek Merkezi’nden yardım alınması öneriliyor. İhlal göstergesi bulunmadığını bildiren sonuçlarda ise etkilenen sistemler için uygun güvenlik güncellemesinin yüklenmesi gerekiyor.
Şirket, bulut sistemlerinde koruyucu önlemleri devreye aldığını olası ihlal kanıtları tespit ettiği bulut hizmeti müşterileriyle iletişime geçtiğini bildirdi.
Cisco, olası ihlal nedeniyle kendisiyle iletişime geçilen müşterilere cihazlarını güvenli yapılandırmaya döndürme çağrısı yaptı. Şirket, mümkün olduğunda cihazlarda kullanılan kimlik bilgilerinin kriptografik materyallerin yenilenmesini öneriyor. Yönetim erişiminin sınırlandırılması güçlü erişim denetimlerinin uygulanması tavsiyeler arasında bulunuyor.
İnternet üzerindeki güvenlik cihazlarını takip eden Shadowserver, çevrim içi olarak erişilebilen yaklaşık 300 Cisco güvenli e-posta ağ geçidi örneğini izliyor. Ancak sayıya güvenlik araştırmalarında kullanılan tuzak sistemlerin veya güvenliği zaten sağlanmış cihazların ne ölçüde dahil olduğu bilinmiyor. Dolayısıyla rakam, doğrudan savunmasız cihazların sayısını göstermiyor.
Cisco, Temmuz 2024’te CVE-2024-20401 numaralı güvenlik açığı için düzeltme yayınladı. Söz konusu açık, zararlı e-posta ekleri üzerinden yeni kullanıcıların kök yetkileriyle eklenmesine veya cihazların kalıcı biçimde çökmesine neden olabiliyordu.
Şirket, Ocak 2026’ AsyncOS yazılımındaki CVE-2025-20393 numaralı kritik güvenlik açığını giderdi. açığın Kasım 2025’ten itibaren Cisco’nun e-posta güvenlik sistemlerini web yönetim cihazlarını hedef alan saldırılarda kullanıldığı bildirildi.
Daha yakın dönemde Cisco, e-posta ayrıştırma mekanizmasındaki CVE-2026-76461 numaralı başka sıfır gün açığı için uyarı yayınladı. açık kimlik doğrulaması gerektirmeden uzaktan komut çalıştırılmasına olanak tanıyordu.
ABD Siber Güvenlik Altyapı Güvenliği Ajansı (CISA), Kasım 2021’den yana Cisco ürünlerindeki 100 güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. açıkların yedisi fidye yazılımı saldırılarında kullanıldı. Yeni açığın aktif saldırılarda istismar edilmesi, Cisco ürünlerini kullanan kuruluşların güvenlik güncellemelerini olay müdahale süreçlerini önceliklendirmesini gerektiriyor.
