ABD Siber ve Altyapı Güvenliği Ajansı CISA, Pazartesi günü GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH ve IBM Aspera Faspex’i etkileyen dört güvenlik açığını aktif istismar kanıtlarını gerekçe göstererek Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.
Açıklar aşağıda listeleniyor:
CVE-2026-123218 (CVSS puanı: 9.8) - IBM Aspera Faspex’teki hatalı yetkilendirme açığı, doğrulanmış bir kullanıcının özel bir mesaj oluşturarak yetkilendirmeyi atlamasına ve ayrıcalık yükseltmesine yol açabiliyor. (Kasım 2026’da düzeltildi)
CVE-2026-116779 (CVSS puanı: 9.8) - SignalWire FreeSwitch’teki kod enjeksiyon açığı, yapılandırma ve kimlik bilgisi ifşası, keyfi çağrı kontrolü ve komut çalıştırılmasına neden olabiliyor. (Ekim 2026’da düzeltildi)
CVE-2026-123158 diğer adıyla SSHole (CVSS puanı: 8.1) - Linux üzerindeki OpenBSD OpenSSH’teki beklenmeyen durum kodu veya dönüş değeri açığı, kimlik doğrulama atlamasına olanak tanıyor. (Kasım 2026’da düzeltildi)
CVE-2026-102895 (CVSS puanı: 9.8) - GPUStack’teki uygunsuz kimlik doğrulama açığı, doğrulanmamış yönetici erişimine izin verebiliyor; bu kapsamda kullanıcı ve model değişiklikleri, kalıcı yönetici API anahtarı oluşturma, çalışan ve bulut sağlayıcı sırlarının ifşası ve POST /v2/inference-backends/from-yaml üzerinden kod çalıştırma söz konusu. (Temmuz 2026’da düzeltildi)
CVE-2026-123158’in KEV kataloğuna eklenmesi, açığı hedef alan istismar girişimlerinin 6 Kasım 2026’dan bu yana raporlanmasının ardından geldi. Previdian’a göre şimdiye kadar 14 farklı IP adresinden 22 istismar girişimi kaydedildi.
7 Kasım 2026’da X’te paylaşılan bir gönderide Defused Cyber, “SSHole’u hedef alan küçük miktarda aktör gözlemledik” dedi ancak istismar faaliyetinin henüz yaygın olmadığını vurguladı.
GreyNoise’e göre, honeypot ağına yönelik ilk istismar girişimi 7 Kasım 2026’da 00.46 UTC’de görüldü. Altı kaynak IP adresinden gelen ve şimdiye kadar 18 farklı saldırı zincirini temsil eden doğrulanmış sonrasındaki istismar faaliyeti tespit edildi.
Bu faaliyetler keşif, bulut meta veri servislerine sorgular, parola öbekleri ve root SSH anahtarlarının okunmasına yönelik girişimler ile kalıcı erişim sağlamak için SSH authorized_keys dosyasının değiştirilmesi çabalarını içeriyor.
En az bir durumda, kimliği belirsiz tehdit aktörlerinin TAC Agent’ı konuşlandırdığı görüldü. TAC Agent, kabuk komutu çalıştırma, sistem keşfi, dizin numaralandırma, dosya transferi ve kendini güncelleme yapabilen Python tabanlı bir komut ve kontrol aracı.
Tehdit istihbaratı firması watchTowr, OpenSSH açığının botnet ve kripto para madenciliği faaliyetleri için yabanıl ortamda silahlandırıldığını da gözlemlediğini söyledi.
31 Temmuz 2026’da yayımlanan CVE-2026-102895 uyarısında, GPUStack Python paketi bakımcıları açığı bağımsız olarak bildiren Nikko Enggaliano, Wei Yunzhou, Rui Yang ve Haoyu Wang’a teşekkür etti ve “aktif olarak gerçek dünyada istismar”ın Ulex Innovative Systems’ten Javier Sixto tarafından raporlandığını ekledi.
Diğer açıkların nasıl istismar edildiğine, bunların arkasında kimlerin olduğuna ve bu çabaların ölçeğine ilişkin şu anda kamuoyuna açık bir rapor bulunmuyor. Federal Sivil Yürütme Şubesi kurumlarına açıkların 12 Kasım 2026’ya kadar uygulanması öneriliyor.
