Cisco Expressway açığı CVE-2026-76466 kimlik doğrulaması gerektirmeyen root komut çalıştırmaya imkân veriyor

Cisco Expressway'de kritik bir açık

dev.io üzerindeki bir yazı, Cisco Expressway serisinde kimlik doğrulaması yapmadan root olarak komut çalıştırılmasına imkân tanıyan CVE-2026-76466 açığını inceliyor. Cisco'nun danışma belgesine atıfta bulunan yazıya göre açık, kapsamlı bir yama programı sırasında gözden kaçması kolay iki koşula dayanıyor: Expressway clustering ve TLS Verify Mode. Cisco, danışma belgesini 21 Ekim 2026'da yayımladı ve CVSS 3.1 taban puanı olarak 9.8 atadı.

Etkilenen sürümler ve düzeltme

Danışma belgesinde adı geçen etkilenen sürümler X14 ve öncesi ile birlikte X15.5.3 ve öncesi. Düzeltmeyi içeren ilk X15 sürümü X15.5.20. X14 veya daha eski sürümlerdeki sistemler basitçe bir yama alamıyor; bunun yerine düzeltilmiş bir sürüme geçmeleri gerekiyor. Cisco bir geçici çözüm sunmuyor. Hindistan'ın CERT-In kurumu da yazının kaynakları arasında yer alan CIVN-2026-0515 numaralı bir açık notu yayımladı.

Geçici kontroller düzeltme değildir

Geçici çözüm bulunmadığı için yazı, onaylı düzeltme beklenirken veritabanı servisine erişimi daraltan bir ağ kuralının saldırı yüzeyini azaltabileceğini öneriyor — ancak bu kural, düzeltme olarak asla belgelenmemeli. Böyle bir kural; sahibini, tam kaynak ve hedef kapsamını, onay tarihini, sona erme tarihini ve uygulandığını kanıtlayan testi kaydetmelidir. Kural ayrıca her küme değişikliğinden sonra gözden geçirilmelidir; kapsamı dışında eklenen bir düğüm, açık olan yolu yeniden açabilir.

Denetlenebilir bir kayıt oluşturmak

Yazının büyük kısmı, denetime dayanabilen kanıt üretme metodolojisine ayrılmıştır:

• Küme başına tek bir kayıt; her Expressway-C ve Expressway-E üyesini, cihazları, sanal sistemleri, uzak lokasyonları, yedek düğümleri ve kümeye hâlâ yönlendirme yapabilen diğer her şeyi listeler.
• Her düğüm için sürümün doğruluk kaynağı, mevcut TLS Verify Mode durumu, yönetim adresi ve veritabanı servisine ulaşabilen ağ yolları kaydedilir; her değerin doğrudan gözlemden, içe aktarılan bir kaynaktan mı yoksa bir sahip raporundan mı geldiği belirtilir.
• Onay kayıtları bir sistemin neden kapsamda olduğunu açıklamalıdır: X15 sistemleri düzeltilmiş sürüm olarak X15.5.20'a atıfta bulunabilirken, X14 ve daha eski sistemler onaylı geçiş hedefine ve yerinde yama kullanılmama nedenine atıfta bulunmalıdır.
• Kapsam dışı iddialar da kanıt gerektirir. Bağımsız bir dağıtım küme koşulunu karşılamayabilir ve iç sahipliği doğrulanmamış harici bir parmak izi eşleşmesi, bir sistemi güvenli ilan etmek için yeterli değildir.

Yamadan sonra kümeyi doğrulamak

Yazının tarif ettiğine göre nihai kanıt paketi; her üyede gözlemlenen düzeltilmiş sürümü, beklenen üyeleri gösteren bir küme durum kontrolünü, gözden geçirilmiş TLS Verify Mode ayarını, veritabanı servisinin engellendiğini gösteren üye olmayan bir sunucudan yapılan testi, bu engellenme girişiminin izleme kaydını ve eski düğümlerin, yedeklerin ile geçici kuralların akıbetini içermelidir. Küme geneli kontrol önemlidir; çünkü tek bir düğümü yükseltmek diğerleri hakkında hiçbir şey kanıtlamaz: unutulmuş bir yedek düğüüm, güven materyali yerinde olmak üzere eski bir sürümü çalıştırıyor olabilir.

Dışarıdan görünüm ne söylüyor

ZoomEye, "Cisco Expressway" için 39.423 uygulama parmak izi eşleşmesi döndürürken CVE Filtresi sıfır döndürdü. Yazıya göre bu rakamlar sırasıyla ürün keşfi ve bir zaman noktasındaki açık dizini gözlemi olarak etiketlenmeli — ikisi de doğrulanmış açık sistem sayısına dönüşmez. Dış durum konusunda Cisco'nun PSIRT ekibi, yayım sırasında kamuya açık duyuru veya kötüye kullanımdan haberdar olmadığını belirtti; NVD kaydı 8 Kasım 2026 itibarıyla Awaiting Analysis olarak listelendi ve kontrol edildiğinde CVE, CISA'nın Known Exploited Vulnerabilities kataloğunda yer almıyordu. Bu bilgiler risk anlatısına aittir ama iç düzeltme kanıtının yerini almaz.

Neden önemli

Kimlik doğrulaması gerektirmeyen root komut çalıştırma, 9.8 puanıyla ve geçici çözümsüz halde kurumsal açık şiddetinin en tepesine yakındır; etkilenen ürün tipik olarak lokasyonlara yayılmış kümeler halinde dağıtılır. Pratik tehlike eksik düzeltmedir: görünür düğümleri yamalarken bir yedek veya uzak üyenin sessizce açık yolu açık tutması. Yazının kapanış testi herhangi bir kritik yama için yararlı bir şablondur — bir kayıt, bir gözden geçiricinin tahmin etmek zorunda kalmadan hangi küme üyelerinin etkilendiğini, hangi düzeltme veya geçişin uygulandığını, hangi yapılandırma durumunun doğrulandığını ve hangi sunucuların artık veritabanı servisine erişiminin engellendiğini yanıtlayabildiğinde tamamlanmış olur.