Qilin ve INC Fidye Yazılımı Grupları Palo Alto Güvenlik Açığını Kullanarak MFA'yı Aşıyor

Palo Alto Networks, PAN-OS ve Prisma Access ürünlerini etkileyen ve daha önce yamalanmış bir güvenlik açığının fidye yazılımı grupları tarafından istismar edilmeye devam ettiğini açıkladı. CVE-2026-0257 olarak takip edilen ve CVSS skoru 7,8 olan bu kimlik doğrulama bypass açığı, saldırganların yetkisiz VPN bağlantıları kurmasına olanak tanıyor. Açık, Palo Alto Networks tarafından Mayıs 2026'da yamalanmış; ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ise 13 Mayıs 2026'da söz konusu açığı Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna eklemiştir.

Hangi Gruplar Bu Açığı Kullanıyor?​

Palo Alto Networks'ün tehdit istihbarat birimi Unit 42'nin araştırmacıları, açığı aktif biçimde kullanan fidye yazılımı operatörlerini Spikey Scorpius (Qilin olarak da bilinen) ve Tarnished Scorpius (INC olarak da bilinen) olarak tanımladı. Bu açıklama, ReliaQuest'in hem Qilin hem de Settra fidye yazılımı gruplarının finansal motivasyonlu saldırılarda bu açığı aktif şekilde kullandığını tespit ettiğini duyurmasından yalnızca birkaç gün sonra geldi. Qilin'in CVE-2026-0257'yi istismar ettiği daha önce Arctic Wolf tarafından Temmuz 2026'da da raporlanmıştı; söz konusu saldırılar yalnızca şifrelemeyle sınırlı kalan hızlı operasyonlardan tam çifte gasp yöntemlerine kadar geniş bir yelpazeyi kapsıyordu.

Saldırılar Nasıl Gerçekleştiriliyor?​

Unit 42 araştırmacılarına göre tehdit aktörleri, kurumsal ağlara ilk erişimi sağlamak için bu açığı silah olarak kullanıyor; ardından çok faktörlü kimlik doğrulama (MFA) kontrollerini aşarak VPN oturumu kuruyorlar. Başarılı bir VPN oturumu oluşturulduktan sonra saldırganlar, ikili kullanımlı uzaktan izleme ve yönetim (RMM) araçlarıyla iç ağ keşfi gerçekleştiriyor. Ağ içinde yanal hareket için RDP ve SMB protokollerinden yararlanıyor; kimlik bilgisi toplama, veri sızdırma ve fidye yazılımı dağıtımı için ek araçlar konuşlandırıyorlar.
Unit 42'nin vurguladığı en kritik taktik değişikliği ise saldırganların ele geçirilen sistemden doğrudan sanallaştırma katmanına geçiş yapmasıdır. Araştırmacılar, dikkat çekici bir vakada saldırganların ele geçirilen VPN ağ geçidinden vCenter yönetim cihazına sıçradığını aktardı. Oradan ESXi hipervizörlerindeki güvenlik denetimlerini (execInstalledOnly) devre dışı bıraktılar ve bir etki alanı denetleyicisinin sanal diskine (VMDK) doğrudan çevrimdışı kimlik bilgisi dökümü gerçekleştirmek için özel bir araç kullandılar. Bu yöntem, konuk içi uç nokta algılama ve yanıt (EDR) sistemlerini ve güvenlik korumalarını devre delerek saldırganların etki alanı genelinde kimlik bilgilerine ulaşmasını mümkün kılıyor.

Hedef Alınan Sektörler ve Ek İstismar Yöntemleri​

Söz konusu grupların saldırıları; eğitim, finansal hizmetler, sağlık, yüksek teknoloji, konaklama, üretim, profesyonel ve hukuki hizmetler, kamu yönetimi, ulaşım ve lojistik, kamu hizmetleri ve enerji ile perakende gibi geniş bir sektör yelpazesini hedef alıyor. Saldırganların ayrıca ilk erişim yöntemini başka istismar araçlarıyla zincirleyerek Veeam yedekleme altyapısını da hedef aldığı gözlemlendi; bu amaçla CVE-2023-27532 numaralı bilinen açıktan yararlanıldığı belirlendi.

Palo Alto Networks'ün Önerileri​

Palo Alto Networks, en güncel yamaların uygulanmasının yanı sıra kuruluşlara proaktif biçimde uzlaşma göstergelerini araştırmalarını ve başarılı ağ geçidi bağlantı olayları tespit edilmesi durumunda uygun olay müdahale protokollerini başlatmalarını tavsiye ediyor.

Sıkça Sorulan Sorular​

CVE-2026-0257 güvenlik açığı nedir ve ne zaman yamalandı?​

CVE-2026-0257, Palo Alto Networks'ün PAN-OS ve Prisma Access ürünlerini etkileyen, CVSS skoru 7,8 olan bir kimlik doğrulama bypass açığıdır. Saldırganların yetkisiz VPN bağlantıları kurmasına imkân tanıyan bu açık, Palo Alto Networks tarafından Mayıs 2026'da yamalandı ve CISA tarafından 13 Mayıs 2026'da KEV kataloğuna eklendi.

Qilin ve INC grupları bu açığı nasıl kullanıyor?​

Unit 42 araştırmacılarına göre her iki grup da CVE-2026-0257'yi kurumsal ağlara ilk erişimi sağlamak, ardından MFA kontrollerini bypass ederek yetkisiz bir VPN oturumu kurmak için kullanıyor. Oturum kurulduktan sonra RMM araçlarıyla keşif, RDP ve SMB ile yanal hareket, kimlik bilgisi toplama, veri sızdırma ve fidye yazılımı dağıtımı gibi saldırı sonrası faaliyetler gerçekleştiriyorlar.

Saldırganların sanallaştırma katmanını hedef alması neden önemli?​

Unit 42'ye göre bu durum, saldırı sonrası taktiklerdeki en önemli evrimdir. Saldırganlar vCenter yönetim cihazına sıçrayarak ESXi hipervizörlerindeki güvenlik kontrollerini devre dışı bırakıyor ve etki alanı denetleyicisinin sanal diskine (VMDK) doğrudan çevrimdışı kimlik bilgisi dökümü yapıyor. Bu yöntem, konuk içi EDR ve güvenlik korumalarını tamamen devre dışı bırakarak etki alanı genelinde kimlik bilgisi ele geçirilmesine olanak tanıyor.

Bu saldırılardan hangi sektörler etkileniyor?​

Unit 42 verilerine göre saldırılar; eğitim, finansal hizmetler, sağlık, yüksek teknoloji, konaklama, üretim, profesyonel ve hukuki hizmetler, kamu yönetimi, ulaşım ve lojistik, kamu hizmetleri ve enerji ile perakende sektörlerini kapsayan geniş bir hedef kitlesini etkiliyor.

Kuruluşlar bu tehdide karşı ne yapmalı?​

Palo Alto Networks, kuruluşlara en güncel yamaları uygulamalarını, uzlaşma göstergelerini proaktif biçimde araştırmalarını ve başarılı ağ geçidi bağlantı olayları tespit edilmesi halinde uygun olay müdahale protokollerini devreye almalarını tavsiye ediyor.