CISA: IBM Aspera Faspex ve SignalWire FreeSwitch açıkları aktif olarak sömürülüyor

ABD siber güvenlik ajansı CISA, IBM Aspera Faspex ve SignalWire FreeSwitch'teki iki yeni açığın saldırganlar tarafından kullanıldığını bildirdi; federal kurumlara üç gün içinde yama süresi tanındı.

ABD siber güvenlik ajansı CISA, yeni açıklanan iki güvenlik açığının aktif saldırı altında olduğunu bildirdi. Birincisi IBM Aspera Faspex'te, CVSS puanı 9,8 olan ve yetkilendirme atlatma sorunu içeren CVE-2026-123218. Kimliği doğrulanmış bir kullanıcı bu açıkla tam yönetici yetkisi kazanabiliyor. IBM bu açığı Faspex'in 5.0.19 PL1 sürümünde kapattı; ancak IBM'in danışma metni sömürülme durumundan söz etmiyor.

İkinci açık SignalWire FreeSwitch'te, CVE-2026-116779 numarasıyla, CVSS puanı yine 9,8. Kod enjeksiyonu sorunu hassas verilerin ifşa olmasına, çağrıların denetlenmesine ve FreeSwitch sürecinin yetkileriyle komut çalıştırılmasına yol açabiliyor. SignalWire açığı 1.11.3 sürümüyle yamaladı ve sömürülmenin gerçekleştiğini söyledi, ancak saldırı ayrıntılarını paylaşmadı.

Her iki açık da CISA'nın Bilinen Sömürülen Güvenlik Açıkları kataloğuna eklendi. BOD 26-04 kapsamında federal kurumların bu yamaları üç gün içinde uygulaması isteniyor. CISA ayrıca iki eski uyarıyı yeniden yayımladı: GPUStack'te aktif sömürülen kimlik doğrulama atlatma açığı (CVE-2026-102895) ve yama çıktıktan günler sonra sömürülmeye başlanan SSHole Linux kimlik doğrulama açığı (CVE-2026-123158).