Cisco, 7 Ekim 2026’da yayımladığı Ekim 2026 güvenlik sertleştirme sürümü duyurusunda, kurum içi lisans yönetim sunucusu Cisco License On-Prem’de dört açığı birden kapattığını bildirdi. Açıklardan biri, kriptografik imza doğrulamasındaki bir hata, CVSS 3.1 ölçeğinde alınabilecek en yüksek puan olan 10,0 ile derecelendirildi. Ürün önceki sürümlerinde Cisco SSM On-Prem adını taşıyordu ve o sürümler de etkileniyor.
Ne oldu
Duyurudaki dört kayıt şöyle: CVE-2026-76482, kriptografik imzanın yeterince doğrulanmaması (CWE-347), 10,0 puan; CVE-2026-76480, kritik bir işlev için eksik kimlik doğrulama (CWE-306), 9,8 puan; CVE-2026-76483, yetersiz korunan kimlik bilgileri (CWE-522), 9,1 puan; CVE-2026-76484, kod üretiminin yetersiz denetimi, yani kod enjeksiyonu (CWE-94), 8,8 puan. En yüksek puanlı açığın CVSS vektörü, kapsam değişikliğini (S:C) içeriyor; bu, etkinin yalnız lisans sunucusuyla sınırlı kalmayabileceği anlamına geliyor.
Cisco, açıkların iç güvenlik testinde, mevcut test süreçlerinin yanı sıra öncü yapay zekâ modellerinin de kullanıldığı bir çalışmayla bulunduğunu yazıyor. PSIRT, duyuru tarihinde kamuya açıklanma ya da kötüye kullanım bilgisine sahip olmadığını belirtiyor.
Kimleri etkiler
Cisco License On-Prem, lisans bilgisini Cisco’nun bulut hizmetine doğrudan göndermek istemeyen kurumlarda, cihazların lisanslarını kurum içinde yöneten bir sunucu. Duyuruya göre ürün, yapılandırmadan bağımsız olarak her kurulumda etkileniyor. Sürüm tablosunda 10-202608 ve öncesi için düzeltme 10-202609; 9-202601 ve öncesi için düzeltilmiş dala geçiş isteniyor. 10-202609 sürümü zafiyetli değil. Cisco Smart Licensing Utility adlı ayrı ürün bu açıklardan etkilenmiyor.
Lisans sunucuları çoğu zaman “arka plan altyapısı” sayılır ve güncelleme takviminde geri planda kalır. Ancak bu sunucu, kurumun tüm Cisco cihazlarıyla konuşan merkezi bir bileşen; imza doğrulama ve kimlik doğrulama açıkları birlikte düşünüldüğünde, ağa erişimi olan bir saldırgan için değerli bir hedef.
Üretici ne öneriyor
Cisco, bu açıkları gideren bir geçici çözüm olmadığını belirtiyor; tek önerisi 10-202609 ya da üstüne güncelleme. Üretici, güncelleme öncesinde ürünün geçerli destek sözleşmesi kapsamında olduğunun ve yeni sürümün mevcut yapılandırmayı desteklediğinin kontrol edilmesini hatırlatıyor.
Duyurunun tamamı, dört kaydın ayrıntıları ve sürüm tablosu yan sütundaki bağlantıda. Cisco, duyuruda değişiklik olursa aynı sayfadaki sürüm geçmişine işleyecek.
