Palo Alto Networks, PAN-OS ve Prisma Access platformlarını etkileyen ve daha önce yamalanmış olan bir güvenlik açığının fidye yazılımı aktörleri tarafından istismar edilmeye devam ettiğini açıkladı. CVE-2026-0257 olarak takip edilen ve CVSS puanı 7,8 olan bu kimlik doğrulama atlama açığı, kötü niyetli aktörlerin yetkisiz VPN bağlantıları kurmasına olanak tanıyor. Açık, Palo Alto Networks tarafından Mayıs 2026'da yamalandı; ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ise 13 Mayıs 2026 tarihinde açığı Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi.
Hangi Gruplar Açığı Kullanıyor?
Şirketin tehdit istihbarat birimi Unit 42'nin Pazartesi günü paylaştığı güncel rapora göre, açığı aktif olarak kullanan fidye yazılımı operatörleri arasında Spikey Scorpius (Qilin olarak da bilinir) ve Tarnished Scorpius (INC olarak da bilinir) yer alıyor. Bu gelişme, siber güvenlik firması ReliaQuest'in hem Qilin hem de Settra fidye yazılımı gruplarının finansal amaçlı saldırılarda söz konusu açığı aktif biçimde kullandığını tespit ettiğini duyurmasından yalnızca birkaç gün sonra geldi. Qilin'in CVE-2026-0257'yi istismar ettiği daha önce Temmuz 2026'da Arctic Wolf tarafından da raporlanmıştı; söz konusu saldırıların yalnızca şifreleme yapılan hızlı operasyonlardan tam çifte gasp yöntemlerine kadar geniş bir yelpazeye yayıldığı belirtilmişti.
Saldırılar Nasıl Gerçekleşiyor?
Unit 42 araştırmacılarına göre tehdit aktörleri, kurumsal ağlara ilk erişimi sağlamak için açığı bir silah olarak kullanıyor; ardından çok faktörlü kimlik doğrulama (MFA) kontrollerini atlayarak VPN oturumu oluşturuyor. VPN oturumunu kurduktan sonra saldırganların gerçekleştirdiği saldırı sonrası faaliyetler şu şekilde sıralanıyor:
- İkili kullanımlı uzaktan izleme ve yönetim (RMM) araçları kullanılarak iç ağ keşfi yapılması
- RDP ve SMB protokolleri aracılığıyla ağ içinde yatay hareket edilmesi
- Kimlik bilgisi toplama, veri sızdırma ve fidye yazılımı dağıtımı için ek araçların konuşlandırılması
\nBu saldırıların hedef aldığı sektörler arasında eğitim, finansal hizmetler, sağlık, yüksek teknoloji, konaklama, imalat, profesyonel ve hukuki hizmetler, kamu yönetimi, ulaştırma ve lojistik, kamu hizmetleri ve enerji ile perakende yer alıyor.
Sanallaştırma Katmanına Doğrudan Sıçrama
Unit 42, CVE-2026-0257'nin başarıyla istismar edilmesinin ardından gözlemlenen en önemli taktik, teknik ve prosedür (TTP) evriminin sanallaştırma katmanına doğrudan geçiş olduğunu vurguluyor. Dikkat çekici bir vakada saldırganların, ele geçirilen VPN ağ geçidinden vCenter yönetim cihazına geçtiği görüldü. Oradan ESXi hipervizörlerindeki güvenlik kontrollerini (execInstalledOnly) devre dışı bıraktılar ve bir etki alanı denetleyicisinin sanal diskine (VMDK) karşı çevrimdışı kimlik bilgisi dökümü gerçekleştirmek için özel bir araç kullandılar. Palo Alto Networks'e göre bu yaklaşım, konuk içi uç nokta algılama ve yanıt (EDR) sistemlerini ve güvenlik korumalarını devre dışı bırakarak tehdit aktörlerinin etki alanı genelinde kimlik bilgilerini ele geçirmesine olanak tanıyor.
Veeam Altyapısı da Hedef Alınıyor
Saldırganların ayrıca ilk erişim yöntemini diğer istismar araçlarıyla zincirlediği de gözlemlendi. Bu kapsamda CVE-2023-27532 olarak bilinen güvenlik açığından yararlanılarak Veeam yedekleme altyapısının hedef alındığı ve maksimum hasar verilmeye çalışıldığı tespit edildi.
Palo Alto Networks'ün Önerileri
Palo Alto Networks, en güncel yamaların uygulanmasının yanı sıra kuruluşlara güvenlik ihlali göstergelerini proaktif biçimde araştırmalarını tavsiye ediyor. Şirket ayrıca başarılı ağ geçidi bağlantı olayları tespit edildiğinde uygun olay müdahale protokollerinin başlatılması gerektiğini de vurguluyor.
Sıkça Sorulan Sorular
CVE-2026-0257 açığı nedir ve hangi ürünleri etkiliyor?
CVE-2026-0257, CVSS puanı 7,8 olan bir kimlik doğrulama atlama açığıdır. Palo Alto Networks'ün PAN-OS ve Prisma Access ürünlerini etkileyen bu açık, kötü niyetli aktörlerin yetkisiz VPN bağlantıları kurmasına olanak tanımaktadır.
Açık ne zaman yamalandı ve CISA ne zaman kataloga ekledi?
Açık, Palo Alto Networks tarafından Mayıs 2026'da yamalandı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ise açığı 13 Mayıs 2026 tarihinde Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi.
Qilin ve INC grupları saldırılarda hangi yöntemleri kullanıyor?
Her iki grup da açığı kullanarak kurumsal ağlara ilk erişimi sağlıyor, MFA kontrollerini atlıyor ve VPN oturumu kuruyor. Ardından RMM araçlarıyla iç ağ keşfi yapıyor, RDP ve SMB üzerinden yatay hareket ediyor; kimlik bilgisi toplama, veri sızdırma ve fidye yazılımı dağıtımı için ek araçlar konuşlandırıyor.
Saldırılar hangi sektörleri hedef aldı?
Unit 42'nin raporuna göre saldırılar; eğitim, finansal hizmetler, sağlık, yüksek teknoloji, konaklama, imalat, profesyonel ve hukuki hizmetler, kamu yönetimi, ulaştırma ve lojistik, kamu hizmetleri ve enerji ile perakende sektörlerini hedef aldı.
Sanallaştırma katmanına sıçrama saldırıyı nasıl daha tehlikeli kılıyor?
Saldırganlar, ele geçirilen VPN ağ geçidinden vCenter yönetim cihazına geçerek ESXi hipervizörlerindeki güvenlik kontrollerini devre dışı bırakıyor ve etki alanı denetleyicisinin sanal diskine (VMDK) karşı çevrimdışı kimlik bilgisi dökümü gerçekleştiriyor. Bu yöntem, konuk içi EDR sistemlerini ve güvenlik korumalarını bypass ederek etki alanı genelinde kimlik bilgilerinin ele geçirilmesine olanak tanıyor.
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yorumlar (0)
Yorum yapmak için giriş yapmalısınız.