CISA, aktif sömürülen SharePoint ve MikroTik RouterOS açıklarını KEV kataloğuna ekledi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 25 Eylül'de Microsoft SharePoint'teki CVE-2026-65660 ve MikroTik RouterOS'taki CVE-2026-67279 açıklarını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Ajans her iki açık için de aktif istismar kanıtlarına dayandı.

KEV kataloğu, saldırganların gerçek saldırılarda kullandığı güvenlik açıklarını listeler. Kataloğa eklenen bir açık için ABD federal kurumları belirlenen süre içinde yamayı kurmak zorundadır.

SharePoint'te Kod Enjeksiyonu

CVE-2026-65660, CVSS ölçeğinde 8,8 puan aldı. Söz konusu açık, Microsoft Office SharePoint'te yetkili bir saldırganın ağ üzerinden kod çalıştırmasına olanak tanıyan bir kod enjeksiyonu hatası.

Microsoft başlangıçta açığı SharePoint Server'ı etkileyen bir kimlik sahtekârlığı (spoofing) sorunu olarak tanımladı; ancak danışma belgesini güncelleyerek uzaktan kod çalıştırma için kullanılabileceğini belirtti.

„25 Eylül 2026 itibarıyla Microsoft, bu açığın istismarına yönelik gözlemlenen saldırılara dair güvenilir kanıtlara sahipti" ifadesi şirketin açıklamasında yer aldı. Şirket saldırıların arkasında kimin olduğunu, ne zaman başladığını, kaç kuruluşun etkilendiğini ve saldırganların içeri girdikten sonra ne yaptığını açıklamadı.

MikroTrick Zinciri

CVE-2026-67279 (CVSS 6,9), RouterOS'ta davranış kurallarının hatalı işlenmesiyle ilgili; kimliği doğrulanmamış bir istemci oturum kanalı açıp exec isteği gönderebiliyor. Açık, RouterOS oturum açma sürecindeki argüman enjeksiyonu hatası CVE-2026-86060 ile birleşerek MikroTrick adlı istismar zincirini oluşturuyor.

CERT Polska'ya göre zincir, internete açık yönlendiricilerde parola olmadan tam yönetici kontrolü sağlıyor.

„İki açığın birleştirilmesi yönetim konsoluna tam ve kimlik doğrulamasız erişimle sonuçlandı" diyen Polonya'nın siber güvenlik ajansı, CVE-2026-67279'un oturum kanalı açılmasına izin verdiğini belirtti.

Ayrı bir analizde Bishop Fox, savunmasız RouterOS 7.x sürümlerinde tam yönetici ele geçirmeyi yeniden ürettiğini açıkladı. „MikroTrick, farklı güven sınırlarındaki iki hatayı birleştiriyor" diyen araştırmacı Emilio Gallegos, ilk hatanın kimlik doğrulamasız bağlantıya yalnızca giriş sonrası sunulması gereken işlevlere erişim verdiğini ekledi.

Süreler ve Düzeltmeler

CISA, CVE-2026-86060'ı 11 Eylül'de KEV kataloğuna eklemişti. ABD federal sivil kurumlarının gerekli düzeltmeleri uygulamak için 28 Eylül'e kadar süresi var.

Her iki açık da gerçek saldırılarda kullanıldığı için üretici güncellemelerinin gecikmeden kurulması gerekiyor. İnternete açık RouterOS yönlendiricileri özellikle risk altında, çünkü MikroTrick zinciri parola gerektirmiyor.