CISA-dan Təcili Xəbərdarlıq: Cisco Catalyst SD-WAN Manager-də Kritik Zəiflik
ABŞ Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA), Cisco Catalyst SD-WAN Manager proqram təminatında aşkarlanan kritik təhlükəsizlik boşluğunu (CVE-2026-76504) Məlum İstismar Edilən Zəifliklər (KEV – Known Exploited Vulnerabilities) kataloquna daxil etmişdir. Əvvəllər Cisco SD-WAN vManage kimi tanınan bu platforma müasir korporativ şəbəkələrin mərkəzləşdirilmiş idarəetmə orkestratoru rolunu oynayır. Məhz bu səbəbdən sistemdəki hər hansı bir autentifikasiya xətası bütün paylanmış korporativ şəbəkə infrastrukturunun birbaşa kompromitasiyası ilə nəticələnə bilər.
Cisco Məhsul Təhlükəsizliyinə İnsident Cavabvermə Qrupu (PSIRT) və CISA-nın birgə bəyanatlarına əsasən, bu zəiflik artıq real kiberhücumlarda aktiv şəkildə istismar edilir. Zəifliyin KEV kataloquna daxil edilməsi federal mülki icra orqanları (FCEB) üçün dərhal aradan qaldırılmasını məcburi edir və qlobal korporativ sektor üçün ən yüksək dərəcəli fövqəladə xəbərdarlıq siqnalıdır.
Texniki Təhlil: CVE-2026-76504 Zəifliyinin Mahiyyəti və Təsiri
CVE-2026-76504 identifikasiyalı təhlükəsizlik defekti CVSS v3.1 qiymətləndirmə sisteminə görə maksimuma yaxın — 9.8 kritiklik dərəcəsi ilə qiymətləndirilmişdir (Hücum Vektoru: Şəbəkə, Mürəkkəblik: Aşağı, Tələb olunan Səlahiyyət: Yoxdur, İstifadəçi Qarşılıqlı Əlaqəsi: Tələb olunmur).
Zəiflik Cisco Catalyst SD-WAN Manager-in HTTP/HTTPS sorğularını emal edən idarəetmə və REST API komponentlərindəki autentifikasiya yoxlama məntiqinin natamamlığından qaynaqlanır. Hücum mexanizmi aşağıdakı xüsusiyyətlərə malikdir:
- Autentifikasiyadan Yan Keçmə: Uzaq məsafədə yerləşən və sistemdə heç bir etibarlı qeydiyyatı (hesabı) olmayan təcavüzkar xüsusi tərtib edilmiş HTTP sorğusu göndərməklə daxili sessiya yoxlamalarını tamamilə dövrədən çıxara bilir.
- Səlahiyyətlərin netadmin Səviyyəsinə Qaldırılması: Sorğunun uğurlu icrası təcavüzkara platforma daxilində ən yüksək səlahiyyət kateqoriyası olan
netadmin(Network Administrator) hüquqlarını təmin edir. - İnfrastrukturun Ələ Keçirilməsi:
netadminsəviyyəsində sistemə daxil olan hücumçu şəbəkə konfiqurasiyalarını dəyişdirə, marşrutlaşdırma cədvəllərini manipulyasiya edə, telemetriya və şifrələnmiş VPN açarlarını ələ keçirə, habelə idarə olunan kənar avadanlıqlara (WAN Edge marşrutlaşdırıcılarına) zərərli proqram və ya konfiqurasiya şablonları tətbiq edə bilər.
KEV Kataloqu və Hücum Riskləri: Real İstismar Faktları
CISA-nın KEV kataloqu yalnız nəzəri olaraq mövcud olan boşluqları deyil, hədəfli hücumlarda və ya avtomatlaşdırılmış botnetlər tərəfindən real olaraq istismar edildiyi təsdiqlənən təhlükələri özündə birləşdirir. Cisco PSIRT-in verdiyi təhlillər göstərir ki, təcavüzkarlar internet üzərindən əlçatan olan idarəetmə interfeyslərini aşkar etmək üçün kütləvi skanlaşdırma həyata keçirirlər.
Şəbəkə idarəetmə sistemləri xüsusilə dövlət tərəfindən maliyyələşdirilən inkişaf etmiş daimi təhdid (APT) qrupları üçün prioritet hədəf hesab olunur. Belə bir sistemin kompromitasiyası korporativ şəbəkə daxilində gizli kəşfiyyat aparmağa, Man-in-the-Middle (MitM) hücumları vasitəsilə kritik məlumatları filtrləməyə və ənənəvi təhlükəsizlik divarlarını (Firewall) asanlıqla yan keçməyə şərait yaradır.
Təsirə Məruz Qalan Sistemlər və Versiyalar
Aşağıdakı cədvəldə təsirlənmiş Cisco Catalyst SD-WAN Manager buraxılışları və aradan qaldırılma vəziyyəti ümumiləşdirilmişdir:
| Məhsul Buraxılış Qolu | Zəiflik Vəziyyəti | Tövsiyə Edilən Təhlükəsiz Versiya | Prioritet |
|---|---|---|---|
| Cisco Catalyst SD-WAN Manager 20.9 və əvvəlki | Təsirlənir (Kritik) | Dəstəklənən ən son yamaq versiyasına keçid | Təcili (İdrak dərhal) |
| Cisco Catalyst SD-WAN Manager 20.10 | Təsirlənir (Kritik) | 20.10.x Müvafiq Yamaq Buraxılışı | Təcili |
| Cisco Catalyst SD-WAN Manager 20.11 | Təsirlənir (Kritik) | 20.11.x Müvafiq Yamaq Buraxılışı | Təcili |
| Cisco Catalyst SD-WAN Manager 20.12 və sonrası | Təsirlənir / Analizdə | Rəsmi Cisco Təhlükəsizlik Bülletenində qeyd olunan versiya | Kritik |
Qorunma və Mitiqasiya Addımları
Şəbəkə administratorları və kibertəhlükəsizlik komandaları aşağıdakı təcili addımları icra etməlidirlər:
1. Rəsmi Proqram Yeniləmələrinin Tətbiqi
Ən etibarlı həll yolu Cisco tərəfindən təqdim edilmiş rəsmi təhlükəsizlik yeniləmələrinin dərhal quraşdırılmasıdır. Sistemlər ən qısa müddətdə sınaq mühitindən keçirilməli və birbaşa istehsalat (production) mühitində tətbiq olunmalıdır.
2. Şəbəkə İnterfeyslərinin Təcrid Edilməsi və Girişə Nəzarət
Əgər dərhal yenilənmə mümkün deyilsə, idarəetmə interfeyslərinə internetdən birbaşa giriş dərhal dayandırılmalıdır. Təhlükəli portlar (əsasən HTTPS portu 443, SSH portu 22 və NETCONF portu 830) yalnız etibarlı daxili şəbəkələrdən və ya xüsusi idarəetmə VPN-lərindən əlçatan olmalıdır.
Kənar firewall və ya marşrutlaşdırıcı səviyyəsində idarəetmə portlarına olan trafiki məhdudlaşdırmaq üçün nümunə ACL qaydası:
# Catalyst SD-WAN İdarəetmə interfeysini yalnız etibarlı admin alt şəbəkəsinə bağlamaq
ip access-list extended RESTRICT_SDWAN_MGMT
permit tcp 10.100.50.0 0.0.0.255 host 192.168.1.10 eq 443
permit tcp 10.100.50.0 0.0.0.255 host 192.168.1.10 eq 22
permit tcp 10.100.50.0 0.0.0.255 host 192.168.1.10 eq 830
deny tcp any host 192.168.1.10 eq 443
deny tcp any host 192.168.1.10 eq 22
deny tcp any host 192.168.1.10 eq 830
permit ip any any3. Sistem Jurnallarının və Giriş Qeydlərinin Auditi
Təşkilatlar SD-WAN Manager jurnallarını (logs) dərhal yoxlamalı və anomal fəaliyyətləri təhlil etməlidirlər:
- Gözlənilməyən IP ünvanlarından gələn və xüsusilə REST API sonluqlarına yönəlmiş HTTP POST/GET sorğularını yoxlamaq.
- Qeyri-adi saatlarda və ya naməlum mənbələrdən yaradılmış
netadminsessiyalarını və konfiqurasiya dəyişikliklərini təhlil etmək. - Şəbəkə telemetriya məlumatlarında mərkəzi orkestratordan kənar serverlərə qeyri-adi məlumat sızması (exfiltration) əlamətlərini axtarmaq.
Nəticə və BITEP Tövsiyələri
Cisco Catalyst SD-WAN Manager platformasındakı CVE-2026-76504 zəifliyi mərkəzləşdirilmiş şəbəkə arxitekturalarının necə tək bir nasazlıq və zəiflik nöqtəsinə (Single Point of Failure) çevrilə biləcəyini bir daha sübut edir. Şəbəkənin əsas idarəetmə orqanının ələ keçirilməsi bütün filialların, daxili seqmentlərin və məlumat axınlarının təhlükəsizliyini tamamilə sıfıra endirir.
BITEP Redaksiyası tövsiyə edir:
- Kritik idarəetmə sistemlərini (vManage, Catalyst Center, vSmart və s.) heç bir halda ictimai internetə açıq saxlamayın.
- Şəbəkə inzibatçılığı üçün “Zero Trust” (Sıfır Etibar) yanaşmasını tətbiq edin: idarəetmə sistemlərinə giriş yalnız gücləndirilmiş çoxfaktorlu autentifikasiya (MFA) və xüsusi Sıfır Etibar Şəbəkə Girişi (ZTNA) kanalları vasitəsilə təmin edilməlidir.
- CISA KEV kataloqu üzrə monitorinqləri avtomatlaşdırın və infrastrukturunuzdakı bütün Cisco aktivlərinin cari zəiflik bazaları ilə uyğunluğunu dərhal yoxlayın.