Cisco SD-WAN Güvenlik Açığı Volt Typhoon Tarafından İstismar Edildi

Cisco Talos, Çin merkezli olduğu düşünülen ve 'Volt Typhoon' olarak bilinen siber casusluk grubunun, Cisco SD-WAN cihazlarındaki kritik bir sıfır gün güvenlik açığını kullanarak zararlı yazılım yaydığını bildirdi. Bu güvenlik açığı (CVE-2026-20127), saldırganların kimlik doğrulaması gerektirmeden ağ denetleyicilerine yönetici düzeyinde erişim sağlamasına imkan tanıyordu.

Neden önemli?

Bu güvenlik açığı, ağların yönetimini sağlayan kontrolörlere yetkisiz erişim imkanı vermesi açısından büyük önem taşıyor. Saldırganlar, bu erişimi kullanarak ağ yapılandırmalarını değiştirebilir ve en önemlisi, ağlar arasındaki iletişimi şifreleyen şifreleme anahtarlarını çalmak için özel olarak tasarlanmış 'KeyDrift' adlı zararlı yazılımı yükleyebilirler. Bu anahtarların ele geçirilmesi, ağ trafiğinin gizliliğini tamamen tehlikeye atabilir. Cisco Talos, bu saldırıların 'tarihsel' nitelikte olduğunu belirtse de, saldırıların tam olarak ne zaman gerçekleştiği veya anahtarların ne ölçüde sızdırıldığı konusunda detay vermedi.

Türkiye'de ne anlama geliyor?

Cisco SD-WAN çözümleri, Türkiye'deki birçok büyük şirketin, telekomünikasyon sağlayıcısının ve kamu kurumunun ağ altyapısında kullanılıyor. Bu nedenle, söz konusu güvenlik açığının istismar edilmesi, Türkiye'deki bu tür kuruluşlar için de ciddi bir risk oluşturuyor. Açığın Şubat 2026'da kapatılmış olması olumlu bir gelişme olsa da, henüz güncellemelerini yapmamış olan sistemler hala savunmasız durumda olabilir. Kurumların, Cisco'nun yayınladığı yamaları en kısa sürede yüklemeleri ve ağ güvenliklerini gözden geçirmeleri büyük önem taşıyor. Ayrıca, Cisco'nun yayınladığı SD-WAN güvenlik yapılandırma kılavuzuna uyulması tavsiye ediliyor. Mevcut durumda, saldırganların yüklediği zararlı yazılımları temizlemek için ek adımlar gerekebilir.

Volt Typhoon ve Silent Train Ağı

Cisco Talos, saldırıları gerçekleştiren grubun altyapısının, Volt Typhoon'un 'Silent Train' adlı gizli erişim ağıyla önemli ölçüde örtüştüğünü tespit etti. Lumen'ın Black Lotus Labs ekibi tarafından detaylandırılan bu ağ, saldırganların trafiğini hacklenmiş küçük ofis yönlendiricileri, IoT cihazları ve kurumsal sistemler aracılığıyla yönlendiriyor. Volt Typhoon'un bu ağı, özellikle ABD'deki telekom firmaları, kamu kurumları, savunma sanayii şirketleri ve kritik altyapı operatörleri gibi hassas hedeflere yönelik sıfır gün saldırılarında kullandığı biliniyor. Bu ağın yapısı, saldırganların izlerini kaybettirmelerine ve tespit edilmelerini zorlaştırmalarına yardımcı oluyor.

KeyDrift Zararlı Yazılımı

Saldırganlar tarafından kullanılan KeyDrift zararlı yazılımı, SD-WAN kontrolörlerine kalıcı erişim sağlamak ve anahtar bilgilerini otomatik olarak toplamak üzere tasarlandı. Yazılım, şifresi çözülmüş kontrol trafiğine erişim sağlamak için meşru kontrol düzlemi işlemlerine enjekte ediliyor. Ana modülü olan PolyFlame, bir arka kapı görevi görerek komutları iletebiliyor. İkinci modül LittleFilch ise, veri yolu trafiğini koruyan anahtarları içeren bilgileri topluyor. Bu bilgilerin daha sonra kullanılmak üzere saklandığı düşünülüyor.