ASUS, 23 Ekim’de yayınladığı güvenlik bülteniyle 3.0.0.6_102 firmware serisini kullanan router modelleri için yeni bir yazılım sürümü duyurdu. Güncelleme üç ayrı güvenlik açığını kapatıyor. Üçü de yüksek risk grubunda ve ikisi cihazda root yetkisiyle komut çalıştırılmasına kadar gidebiliyor.
Açıklara ait kayıtlar NVD’de 23 Ekim’de açıldı. Kayıtların durumu hâlâ “inceleme bekliyor” ve ürün eşleşmesi (CPE) bilgisi henüz eklenmemiş. Açıklar CISA’nın aktif sömürülen açıklar listesinde (KEV) yer almıyor; yani şu an itibarıyla sahada kullanıldığına dair bir doğrulama yok.
Aynı ağdaki saldırgan yönetici yetkisi alabiliyor
En yüksek puanlı açık CVE-2026-93489 ve CVSS 4.0 ölçeğinde 8.7 alıyor. Sorun, router modüllerindeki kimlik doğrulama kontrolünün yetersiz kalmasından kaynaklanıyor (CWE-287). Aynı ağda bulunan ve oturum açmamış bir saldırgan, hazırladığı bir HTTP isteğiyle erişim bileti oluşturabiliyor. Bu biletle router üzerinde yönetici işlemleri yapmak mümkün hale geliyor.
ASUS’un bültenindeki ifadeye göre saldırganın yakın konumda olması gerekiyor; internetten doğrudan erişim değil, yerel ağa ya da yakındaki kablosuz bağlantıya sızmış bir cihaz üzerinden ilerleyen bir senaryo tarif ediliyor. Ev ağına bağlanan konuk cihazlar, zayıf şifreli misafir ağları ya da ele geçirilmiş akıllı ev cihazları bu yolu kısaltıyor.
Fabrika ayarındaki cihazda root komutu
İkinci açık CVE-2026-75775, işletim sistemi komut enjeksiyonu (CWE-78) olarak sınıflandırılmış ve 7.7 puan almış. Cihaz fabrika ayarlarındayken gönderilen özel parametreler, router üzerinde root yetkisiyle komut çalıştırılmasına imkân veriyor. Kurulumu tamamlanmamış, ilk kurulum ekranında bırakılmış cihazlar bu açıdan daha korumasız görünüyor.
Üçüncü açık CVE-2026-75779 ise komut enjeksiyonunu siteler arası istek sahteciliğiyle (CSRF) birleştiriyor ve 8.6 puan taşıyor. Saldırgan, router yönetim paneline giriş yapmış bir yöneticiyi sahte bir siteye çekiyor. Ziyaret gerçekleştiğinde router, saldırganın verdiği komutları root yetkisiyle çalıştırıyor. Bu zincirde kullanıcı tarafındaki tek hata, hazırlanmış bir bağlantıya tıklamak.
Yama ve hızlı önlemler
ASUS, birincil çözüm olarak firmware güncellemesini gösteriyor. 3.0.0.6_102 serisindeki modellerin sahipleri, ürünlerinin destek sayfasından en son sürümü indirip yüklemeli. Güncelleme sonrasında cihazın yeniden başlatılması öneriliyor. Hangi modellerin bu seriye girdiği, modelin destek sayfasındaki firmware numarasından kontrol edilebilir.
Güncellemeyi hemen yapamayanlar için ASUS dört önlem sıralıyor. Yönetim paneli ve kablosuz ağ için en az 10 karakterlik, büyük harf, rakam ve simge içeren güçlü ve benzersiz şifre kullanmak; yönetim arayüzünü yalnızca güvenilen yerel ağdan erişilebilir tutup WAN tarafındaki uzaktan erişimi kapatmak; tanımadığınız cihazların yerel ağa ve kablosuz ağa bağlanmasına izin vermemek; router ayarlarındaki tanımadığınız eşleşmiş cihazları ve uygulama oturumlarını gözden geçirip kaldırmak.
Ev router’ları yıllarca güncelleme almadan çalıştırılan cihazlar arasında. Bu üç açık, düzenli firmware kontrolünün neden önemli olduğunu bir kez daha gösteriyor. Modelinizin destek sayfasında yeni bir sürüm görüyorsanız kurulumu ertelemeyin.
Kaynak: NVD · ASUS Güvenlik Bülteni
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.