Cisco, 21 Ekim 2026’da Expressway Serisi için kritik bir güvenlik duyurusu yayımladı. CVE-2026-76466 numaralı açık, küme olarak yapılandırılmış Expressway-C ve Expressway-E sunucularında kimlik doğrulaması olmayan bir saldırganın root yetkisiyle işletim sistemi komutu çalıştırmasına izin veriyor. Cisco açığa CVSS 3.1 ölçeğinde 9,8 puan verdi ve X15.5.20 sürümüyle kapattı.
Ne oldu
Duyuruya göre sorun iki eksikliğin birleşiminden doğuyor. Birincisi, Expressway’in veri tabanı hizmetinde kalıcı çerezler bulunuyor; ikincisi, kümeleme için “TLS Verify Mode” seçeneği etkinleştirildiğinde istemci sertifikası yeterince doğrulanmıyor. Cisco bu zayıflığı CWE-798 (sabit kodlanmış kimlik bilgisi) sınıfında tanımlıyor. Ağ üzerinden sunucuya erişebilen bir saldırgan, bu iki koşulu kullanarak veri tabanı hizmetine ulaşıp root olarak rastgele komut çalıştırabiliyor.
Cisco PSIRT, duyuru tarihinde açığın kamuya açıklandığına ya da kötüye kullanıldığına ilişkin bir bilgiye sahip olmadığını belirtiyor. Açığı Jane Street’ten Stefan Aleksic bildirdi. Düzeltme, Cisco’nun Ekim 2026 tarihli Expressway Serisi güvenlik sertleştirme sürümünün de parçası.
Kimleri etkiler
Etkilenen ürünler Cisco Expressway-C ve Expressway-E; hem sanal hem donanım sürümleri kapsamda. Açığın tetiklenmesi için iki koşul birlikte gerekiyor: cihazın zafiyetli bir sürümde çalışması ve küme olarak yapılandırılmış olması. Tek sunuculu kurulumlar duyuruya göre bu açıktan etkilenmiyor.
Expressway, kurumlarda görüntülü görüşme ve iş birliği altyapısının dış dünyaya açılan kapısıdır; Expressway-E genellikle internete bakan konumda bulunur. Bu yüzden kümelenmiş ve dışa açık kurulumlar en öncelikli grup. Sürüm tablosunda X15.5.3 ve öncesi için düzeltilmiş sürüm X15.5.20; X14 ve daha eski sürümler için Cisco, düzeltme içeren bir dala geçiş istiyor.
Üretici ne öneriyor
Cisco, bu açığı gideren bir geçici çözüm (workaround) bulunmadığını açıkça yazıyor; tek yol yazılım güncellemesi. Üretici, güncellemeden önce cihazın yeterli belleğe sahip olduğunun ve yeni sürümün mevcut donanım ile yazılım yapılandırmasını desteklediğinin kontrol edilmesini, ayrıca ürünün geçerli bir destek sözleşmesi kapsamında olmasını hatırlatıyor. Kümelenmiş kurulumlarda güncellemenin tüm üyelere uygulanması gerekiyor.
Duyurunun tamamı, etkilenen sürüm tablosu ve Cisco’nun güncelleme notları yan sütundaki bağlantıda. Cisco, duyuruda değişiklik olursa aynı sayfada sürüm geçmişine işleyecek.
