Cisco, Secure Firewall Management Center'daki kritik CVSS 9.9 puanlı root kod yürütme açığı için yama yayınladı

Cisco, Secure Firewall Management Center'daki (FMC) kritik bir açık için düzeltmeler yayınladı; bu açık, kimliği doğrulanmamış uzaktan bir saldırganın root ayrıcalıklarıyla rastgele kod çalıştırmasına olanak tanıyabilirdi. CVE-2026-20324 olarak takip edilen ve CVSS ölçeğinde 9.9 puan alan bu açık, ürünün sftunnel bileşeninde yer alıyor ve dev.to'daki teknik bir yazıya göre 16 Eylül 2026'da yayınlanan daha kapsamlı bir Cisco Secure Firewall düzeltme dalgasının parçası olarak açıklandı.

Açık nasıl çalışıyor

sftunnel, FMC'nin yönettiği Secure Firewall cihazlarıyla iletişim kurmak için kullandığı şifreli kanaldır. dev.to analizine göre hata, bu tunnel'ın hazırlanmış girdileri işleme biçiminde yatıyor: sftunnel servisine özel olarak hazırlanmış bir payload gönderebilen bir saldırgan, savunmasız kod yoluna ulaşabilir ve komutları root olarak çalıştırabilir.

Önem skorunu iki ayrıntı belirliyor. Sömürüm için hedefte geçerli bir hesap gerekmiyor ve kurbandan herhangi bir etkileşim gerekmiyor. Pratiksel ön koşul, yönetim veya tunnel uç noktasına ağ üzerinden erişilebilirliktir.

FMC'de root elde etmenin neden tek bir kutuyla sınırlı kalmadığı

FMC, bir firewall dağıtımının politika beynidir ve yönettiği tüm cihazlara kuralları ve yapılandırmayı dağıtır. dev.to yazısı, root düzeyinde kontrolün sonuçlarını açıkça ortaya koyuyor: bir saldırgan erişim kurallarını yeniden yazabilir, loglamayı kapatabilir, zararlı yapılandırmayı aşağı doğru itebilir ve korunan ağ segmentlerine doğru pivot yapabilir. Bu nedenle tek bir FMC örneğinin ele geçirilmesi tek sunuculu bir olay değil, potansiyel olarak tüm filoyu etkileyen bir olaydır.

Etkilenen yazılımlar ve giderim

Cisco'nun danışma belgesi (advisory) FMC yazılımının belirli sürümlerini kapsıyor ve aynı Eylül 2026 güncelleme dalgası, Adaptive Security Appliance (ASA) ve Threat Defense (FTD) yazılımlarındaki ilgili kusurları da ele alıyor. Bu parti birden fazla ürünü kapsadığı için dev.to, yöneticilerin savunmasız ile güvenli kodu tek bir sürüm sınırının ayırdığını varsaymak yerine, dağıttıkları sürümleri advisory'de listelenen kesin düzeltilmiş sürümlerle karşılaştırmasını öneriyor.

Cisco, etkilenen sürümler için ücretsiz yazılım güncellemeleri yayınladı. Bu partideki açıkların çoğunun bir workaround'u yok, bu nedenle yükleme birincil kontrol haline geliyor. Güncellemeler uygulamaya konulana kadar önerilen geçici önlemler, yönetim düzlemi erişimini güvenilir sunuculara ve ayrılmış yönetim alt ağlarına kısıtlamak ile beklenmedik oturumlar açısından yönetim ve tunnel etkinliğini izlemektir.

dev.to aracılığıyla aktarılan advisory'ye göre Cisco, açıklamanın yapıldığı anda bu açıkla ilgili kamuya açık bir duyuru veya kötü niyetli sömürümden haberdar olmadığını belirtti. CERT-In da yazının atıfta bulunduğu CIVN-2026-0464 numaralı bir zafiyet notu yayınladı.

İnternet taramaları size neleri söyleyebilir, neleri söyleyemez

dev.to analizi sezgilere aykırı bir veri noktası içeriyor: bu CVE'ye göre filtrelenmiş bir ZoomEye sorgusu sıfır indekslenmiş örnek döndürdü. Bu, internette açıkta kalan FMC dağıtımlarının bulunmadığının kanıtı değil. Bu durum, savunmasız sftunnel kod yolunun yalnızca bu sorgu kullanılarak dışarıdan parmak iziyle tespit edilememesini yansıtıyor. Ekipler, temiz bir tarama sonucunu burada bilgi verici olmayan olarak kabul etmeli ve bunun yerine varlık envanterlerine ve advisory'ye karşı sürüm kontrollerine güvenmelidir.

Neden önemli

Yönetim düzlemleri her firewall parkurunda en yüksek değerli hedeftir ve birinde kimlik doğrulaması gerektirmeyen, root düzeyinde kod yürütme hatası olan 9.9 puanlı bir açık, neredeyse en kötü senaryodur. FMC politikayı yönetilen her firewall'a dağıttığı için, yamalanmamış tek bir örnek ağ genelinde bir ele geçirilmeye dönüştürülebilir; saldırganlar erişim kurallarını sessizce yeniden şekillendirebilir ve onları ele verecek loglamayı bastırabilir. Etkilenen açıkların çoğu için bir workaround bulunmadığından, Cisco'nun güncellemelerini uygulamak ve bu arada yönetim erişimini kilitlemek, advisory'de adı geçen FMC, ASA veya FTD sürümlerini çalıştıran her kuruluş tarafından acil olarak ele alınmalıdır.