CISA, OpenSSH, GPUStack, FreeSWITCH ve IBM Güvenlik Açıklarının Aktif Olarak İstismar Edildiğini Duyurdu

CISA, OpenSSH, GPUStack, FreeSWITCH ve IBM Güvenlik Açıklarının Aktif Olarak İstismar Edildiğini Duyurdu

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 9 Kasım 2026 Pazartesi günü yaptığı açıklamada, GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH ve IBM Aspera Faspex’i etkileyen dört güvenlik açığını, aktif istismar kanıtları nedeniyle Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna eklediğini duyurdu.

Söz konusu güvenlik açıkları şunlardır:

• CVE-2026-123218 (CVSS puanı: 9.8) – IBM Aspera Faspex’teki hatalı yetkilendirme güvenlik açığı. Kimliği doğrulanmış bir kullanıcının, yetkilendirmeyi atlayarak ayrıcalık yükseltmelerine neden olabilecek özel bir mesaj oluşturmasına olanak tanır. (Kasım 2026’da düzeltildi)
• CVE-2026-116779 (CVSS puanı: 9.8) – SignalWire FreeSwitch’teki kod enjeksiyonu güvenlik açığı. Yapılandırma ve kimlik bilgisi ifşasına, rastgele çağrı kontrolüne ve komut yürütülmesine yol açabilir. (Ekim 2026’da düzeltildi)
• CVE-2026-123158 (SSHole olarak da bilinir) (CVSS puanı: 8.1) – Linux üzerindeki OpenBSD OpenSSH’de beklenmeyen bir durum kodu veya dönüş değeri güvenlik açığı. Kimlik doğrulama atlamasına izin verebilir. (Kasım 2026’da düzeltildi)
• CVE-2026-102895 (CVSS puanı: 9.8) – GPUStack’teki hatalı kimlik doğrulama güvenlik açığı. Kimliği doğrulanmamış yönetici erişimine (kullanıcı ve model değişiklikleri dahil), kalıcı yönetici API anahtarı oluşturulmasına, çalışan ve bulut sağlayıcı sırlarının ifşasına ve POST /v2/inference-backends/from-yaml aracılığıyla kod yürütülmesine olanak tanır. (Temmuz 2026’da düzeltildi)

CVE-2026-123158’in KEV kataloğuna eklenmesi, 6 Kasım 2026’dan bu yana bu güvenlik açığını hedef alan istismar girişimlerine ilişkin raporları takip ediyor. Previdian’a göre, şu ana kadar 14 farklı IP adresinden toplam 22 istismar girişimi kaydedildi.

7 Kasım 2026’da X’te paylaşılan bir gönderide, Defused Cyber, “SSHole’u hedef alan az sayıda aktör gözlemlediklerini” ancak istismar faaliyetinin henüz yaygın olmadığını vurguladı.

GreyNoise’a göre, bal küpü ağına yönelik ilk istismar girişimi 7 Kasım 2026, UTC 12:46’da gözlemlendi. Altı kaynak IP adresinden, bugüne kadar 18 farklı saldırı zincirini temsil eden doğrulanmış istismar sonrası faaliyetler tespit edildi.

Bu faaliyetler keşif, bulut meta veri hizmetlerine sorgular, parola karmalarını ve root SSH anahtarlarını okuma girişimleri ve kalıcı erişim elde etmek için SSH authorized_keys dosyasını değiştirme çabalarını içeriyor.

En az bir vakada, bilinmeyen tehdit aktörlerinin, kabuk komut yürütme, sistem keşfi, dizin numaralandırma, dosya transferi ve kendini güncelleme yeteneğine sahip Python tabanlı bir komuta ve kontrol (C2) ajanı olan TAC Agent’ı dağıttığı gözlemlendi.

Tehdit istihbarat firması watchTowr, OpenSSH güvenlik açığının botnet ve kripto para madenciliği faaliyetleri için sahada silahlandırıldığını da gözlemlediğini belirtti.

31 Temmuz 2026’da yayınlanan CVE-2026-102895 için bir bildirimde, GPUStack Python paketinin bakımcıları, güvenlik açığını bağımsız olarak bildiren Nikko Enggaliano, Wei Yunzhou, Rui Yang ve Haoyu Wang’a teşekkür etti ve Ulex Innovative Systems’tan Javier Sixto tarafından “sahada aktif istismarın” rapor edildiğini ekledi.

Diğer güvenlik açıklarının nasıl istismar edildiği, arkasındaki kişilerin kim olduğu ve bu çabaların ölçeği hakkında şu anda kamuya açık bir rapor bulunmamaktadır. Federal Sivil Yürütme Organı (FCEB) ajanslarına, düzeltmeleri 12 Kasım 2026 tarihine kadar uygulamaları tavsiye edilmektedir.