Kasım 2026 CISA KEV: Aktif İstismar Edilen Açıklar ve Yapılacaklar

Kasım 2026'nın ilk iki haftasında ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), "aktif olarak istismar edilen açıklar" kataloğuna (Known Exploited Vulnerabilities, KEV) art arda yeni kayıtlar ekledi. Listede OpenSSH'tan FreeSWITCH'e, IBM Aspera Faspex'ten Cisco BroadWorks'e kadar kurumların günlük kullandığı pek çok ürün var. Bu yazıda her açığın ne olduğunu, kimi etkilediğini ve bugün ne yapmanız gerektiğini tek tabloda topluyoruz.

Kısaca

KEV'e girmek, açığın teoride değil sahada kullanıldığı anlamına gelir; yama önceliğinizin en üstüne koyun.
En kritik kalemler: GPUStack (CVE-2026-102895), FreeSWITCH (CVE-2026-116779) ve IBM Aspera Faspex (CVE-2026-123218); üçü de raporlarda CVSS 9.8.
OpenSSH 10.6p2 (5 Kasım 2026), musl libc kullanan ve PAM desteği kapalı derlenmiş bazı Linux sistemlerde parola doğrulamasının atlatılabildiği bir soruna karşı acil geçici çözüm içeriyor.
9 Kasım'da eklenen dört kayıt için ABD federal kurumlarına verilen son tarih yalnızca 3 gün (12 Kasım) idi. Bu, tehdidin ne kadar acil görüldüğünü gösteriyor.
Aşağıdaki kontrol listesiyle envanterinizi 30 dakikada tarayabilirsiniz.

KEV nedir, neden önemsenmeli?

KEV kataloğu, CISA'nın gerçek saldırılarda kullanıldığına dair güvenilir kanıt bulunan açıkları listelediği kamuya açık bir veri kaynağıdır. ABD federal kurumları bağlayıcı direktifler (Binding Operational Directive) gereği bu açıkları belirlenen sürede kapatmak zorundadır. Türkiye'deki ya da başka ülkelerdeki kurumlar için hukuki bir zorunluluk yoktur, ama pratikte KEV, "binlerce CVE arasından hangisini önce yamalamalıyım?" sorusunun en iyi cevaplarından biridir.

Her ay binlerce CVE yayımlanır ve bunların küçük bir kısmı istismar edilir. KEV'deki bir açık, saldırganların araç setine çoktan girmiş demektir.

Kasım 2026 KEV eklemeleri: tek tablo

Tarih	CVE	Ürün	Açık türü	CVSS*	Düzeltilmiş sürüm
3 Kas	CVE-2026-119977	WordPress Core	TOCTOU yarış durumu	belirtilmedi	WordPress güncellemesi
9 Kas	CVE-2026-102895	GPUStack	Kimlik doğrulama atlatma	9.8	2.2.0
9 Kas	CVE-2026-116779	SignalWire FreeSWITCH	SIP MESSAGE işlemede komut/kod enjeksiyonu	9.8	1.11.3
9 Kas	CVE-2026-123158	OpenSSH (Linux, musl + PAM kapalı)	Parola doğrulama atlatma	8.1	OpenSSH 10.6p2 / dağıtım güncellemesi
9 Kas	CVE-2026-123218	IBM Aspera Faspex	Yetkilendirme atlatma	9.8	Faspex 5.0.19 PL1
10 Kas	CVE-2026-20320	Cisco BroadWorks (OCI XML Parser)	XXE, kimlik doğrulamasız bilgi okuma	7.5	Cisco advisory
10 Kas	CVE-2026-111793	Openwave Messaging Webtop Media Transcoder	Kaynakların yanlış alanlar arası aktarımı	4.3	Üretici güncellemesi
13 Kas	CVE-2026-114713	UnrealIRCd	Ayraçların hatalı nötralize edilmesi	belirtilmedi	Üretici güncellemesi
13 Kas	CVE-2026-123039	Check Point (birden çok ürün)	Kritik kaynağa hatalı izin ataması	belirtilmedi	Check Point advisory

* CVSS değerleri CISA uyarılarında yer almıyor; tablodaki puanlar The Hacker News ve eSecurity Planet raporlarından alındı. Kesin değerler için NVD ve üretici bültenlerini kontrol edin.

Öne çıkan açıklar ve ne yapmalı

1. GPUStack — CVE-2026-102895

GPUStack, GPU kümelerinde büyük dil modellerini (LLM) çalıştırmak için kullanılan açık kaynak bir yönetim platformu. Raporlara göre 2.2.0 öncesi sürümlerde uzaktaki bir saldırgan kimlik doğrulamayı atlatıp yönetici erişimi elde edebiliyor. Üretici bülteninde, saldırganların kötü amaçlı çıkarım (inference) arka uçları kurarak ters kabuk (reverse shell) açtığı vakalar anlatılıyor.

Yapılacaklar:

2.2.0 veya üstüne yükseltin.
Yükseltene kadar force_auth_localhost=true ayarını açın. API'yi yalnızca güvenilir ağlara açın. Güvenilmeyen kaynaklardan gelen X-GPUStack-Real-IP başlığını engelleyin.
Yönetici hesaplarını, API anahtarlarını ve kayıtlı arka uçları gözden geçirin. Tanımadığınız her şeyi iptal edin ve kimlik bilgilerini yenileyin.

Yapay zekâ altyapısı artık klasik saldırı yüzeyinin bir parçası. GPU sunucuları pahalı hesaplama gücü ve değerli model ağırlıkları barındırdığı için cazip bir hedef.

2. FreeSWITCH — CVE-2026-116779

Açık kaynak telefon santrali ve VoIP yazılımı FreeSWITCH'te, 1.11.2 ve öncesi sürümlerde SIP MESSAGE işlenirken komut enjeksiyonu mümkün. SignalWire, açığın sahada istismar edildiğini doğruladı. Kimlik doğrulama ayarlarına bağlı olarak saldırganın bir SIP hesabına erişmesi gerekebiliyor.

Yapılacaklar:

1.11.3 veya üstüne yükseltin.
Gerekmiyorsa enable-chat-api-proto ayarını kapalı tutun ve enable-chat=false yapın.
SIP MESSAGE trafiğindeki olağandışı içerikleri ve kaynakları inceleyin.

3. OpenSSH 10.6p2 — "SSHole" (CVE-2026-123158)

OpenSSH projesi 5 Kasım 2026'da Portable OpenSSH 10.6p2 sürümünü yayımladı. Sürüm notlarına göre bu sürüm, musl libc kullanan ve PAM desteği kapalı derlenip çalıştırılan bazı Linux sistemlerde sshd üzerinden istismar edilebilen bir parola doğrulama atlatmasına karşı geçici çözüm içeriyor. Proje, sorunun kök nedenini sshd'nin dışında gördüğünü, ancak istismarın sshd üzerinden yapıldığını ve orada engellenebildiğini belirtiyor.

Basında "SSHole" adıyla anılan açık için GreyNoise ilk istismar denemesini 7 Kasım'da gördüğünü bildirdi. Bu yapılandırma özellikle Alpine Linux tabanlı container imajlarında ve gömülü cihazlarda yaygın, dolayısıyla etki alanı ilk bakışta sanıldığından geniş olabilir.

Hızlı kontrol:

# OpenSSH sürümü
ssh -V

# sshd hangi C kütüphanesine bağlı? (musl görüyorsanız risk grubundasınız)
ldd "$(command -v sshd)" 2>/dev/null | grep -Ei 'musl|libc'

# PAM desteği açık mı?
sshd -T 2>/dev/null | grep -i usepam

# Alpine'de güncelleme
apk update && apk upgrade openssh

Ek savunma olarak parola ile girişi tamamen kapatıp yalnızca anahtar tabanlı kimlik doğrulama kullanmak (PasswordAuthentication no) saldırı yüzeyini ciddi biçimde daraltır. Ayrıntılar için SSH sertleştirme kontrol listemize bakabilirsiniz.

4. IBM Aspera Faspex — CVE-2026-123218

Büyük dosya aktarımı için kullanılan Aspera Faspex'in 5.0.0–5.0.19 sürümlerinde yetkilendirme atlatması bulunuyor ve 5.0.19 PL1 ile düzeltildi. IBM bu açık için geçici çözüm sunmuyor, yani tek yol yama. Container dağıtımlarında faspex-core imajının güncel sürüme geçtiğini ayrıca doğrulayın.

Dosya aktarım ürünleri (MOVEit, GoAnywhere, Aspera) yıllardır fidye yazılımı gruplarının favori hedefi. Bu sınıftaki her kritik açığı acil kabul edin.

5. Cisco BroadWorks — CVE-2026-20320

BroadWorks'ün OCI XML ayrıştırıcısındaki XXE (XML External Entity) açığı, kimlik doğrulaması olmayan bir saldırganın sistemdeki hassas yapılandırma bilgilerini okumasına izin veriyor. Cisco düzeltmeyi Ağustos 2026'da yayımladı. Yani KEV'e girmesine rağmen yamanın zaten aylardır mevcut olduğunu gösteren tipik bir "yamalanmamış sistem" vakası.

6. UnrealIRCd ve Check Point (13 Kasım)

CISA 13 Kasım'da UnrealIRCd'deki bir ayraç nötralizasyon hatasını (CVE-2026-114713) ve birden çok Check Point ürününü etkileyen hatalı izin ataması açığını (CVE-2026-123039) kataloğa ekledi. CISA uyarısı sürüm ayrıntısı vermiyor. Bu ürünleri kullanıyorsanız üretici bültenlerini doğrudan takip edin.

30 dakikalık envanter kontrol listesi

Varlık envanterinizde yukarıdaki dokuz ürünü arayın (container imajları ve gömülü cihazlar dahil).
İnternete açık olanları önce ele alın: SSH, SIP, dosya aktarımı ve LLM API uç noktaları.
Alpine/musl tabanlı imajlarda openssh paketini güncelleyin ve imajları yeniden derleyin.
Yamalanana kadar erişimi IP izin listesi veya VPN arkasına alın.
Yamadan önceki dönemi de inceleyin: kimlik doğrulama günlükleri, yeni yönetici hesapları, beklenmeyen süreçler.
GPUStack ve Faspex gibi sistemlerde, istismar şüphesi varsa API anahtarlarını ve parolaları yenileyin.
KEV kataloğunu otomatik izleyin (CISA, CSV/JSON beslemesi sunuyor).

KEV'i otomatik izlemek için küçük bir betik

#!/usr/bin/env bash
# Son 7 günde KEV'e eklenen açıkları listeler
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
 | jq -r --arg since "$(date -d '7 days ago' +%F)" '
    .vulnerabilities[]
    | select(.dateAdded >= $since)
    | [.dateAdded, .cveID, .vendorProject, .product, .dueDate] | @tsv'

Bu çıktıyı haftalık olarak ekibinize e-posta veya sohbet kanalı üzerinden göndermek, KEV takibini kişilere bağlı olmaktan çıkarır.

Yamadan önce ele geçirilmiş olabilir miyim?

CISA'nın 13 Kasım uyarısı, BOD 26-04 direktifinin kurumlardan beklentisini özetliyor: yama uygulanmadan önce sistemin tehdit aktörlerince ele geçirilip geçirilmediğinin kontrol edilmesi. Bu iyi bir alışkanlık. Yama açığı kapatır ama içeri girmiş saldırganı çıkarmaz. Kritik sistemlerde yama sonrası şunlara bakın:

Son 30 günün kimlik doğrulama günlükleri ve başarılı girişlerin kaynak IP'leri
Yeni oluşturulmuş kullanıcılar, SSH anahtarları (authorized_keys), API anahtarları
Zamanlanmış görevler (cron, systemd timer) ve beklenmeyen servisler
Sunucudan dışarıya yapılan olağandışı bağlantılar

Sonuç

Kasım 2026 listesi yine aynı dersi veriyor: saldırganlar hem yeni açıkları (OpenSSH, GPUStack) hem de aylardır yaması olan eski açıkları (Cisco BroadWorks) aynı hızla kullanıyor. Yama sürecinizi "her ay toplu güncelleme" ritminden çıkarıp KEV'e giren her kaydın 72 saat içinde değerlendirildiği bir modele taşımak, bugün yapabileceğiniz en yüksek getirili güvenlik yatırımıdır.