2025 17. Hafta Siber Güvenlik Haberleri

SİBER GÜVENLİK GÜNDEMİ

17. Hafta Siber Güvenlik Haberleri

Haftanın Siber Güvenlik Terimi

Haftanın Zafiyetleri

Haftanın Zararı Yazılımları

Haftanın Veri İhlali

Haftanın Teknolojik Yeniliği

Haber Yazısı 1

CISA Aktif Olarak Kullanılan Broadcom ve Commvaul Zafiyetlerini KEV Kataloğuna Ekledi

Tarih: 29 Nisan 2025

CISA (ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı), pazartesi günü Broadcom Brocade Fabric OS ve Commvault Web Server'ı etkileyen iki yüksek önem dereceli güvenlik açığını, vahşi doğada aktif istismara dair kanıtlara atıfta bulunarak KEV (Bilinen İstismar Edilen Güvenlik Açıkları) kataloğuna ekledi.

Söz konusu güvenlik açıkları aşağıda listelenmiştir:

CVE-2025-1976 (CVSS puanı: 8,6): Broadcom Brocade Fabric OS'yi etkileyen, yönetici ayrıcalıklarına sahip yerel bir kullanıcının tam kök ayrıcalıklarıyla keyfi kod yürütmesine olanak tanıyan bir kod enjeksiyon hatası

CVE-2025-3928 (CVSS puanı: 8,7): Uzaktan, kimliği doğrulanmış bir saldırganın web kabukları oluşturmasına ve yürütmesine olanak tanıyan Commvault Web Sunucusunda belirtilmemiş bir kusur

Commvault, Şubat 2025'te yayınladığı bir duyuruda, "Bu güvenlik açığından yararlanmak için kötü niyetli bir kişinin Commvault Yazılım ortamında kimliği doğrulanmış kullanıcı kimlik bilgilerine sahip olması gerekiyor" ifadelerini kullandı.

CVE-2025-1976 zafiyetinde ise, Broadcom, IP Adresi doğrulamasındaki bir kusur nedeniyle, yönetici ayrıcalığına sahip yerel bir kullanıcının Fabric OS 9.1.0'dan 9.1.1d6'ya kadar olan sürümlerde kök ayrıcalıklarıyla potansiyel olarak keyfi kod çalıştırabileceğini söyledi. Bu sorun 9.1.1d7 sürümünde düzeltildi.

Kurumlarının Commvault Web Sunucusu için gerekli yamaları 17 Mayıs 2025'e kadar, Broadcom Brocade Fabric OS için ise 19 Mayıs'a kadar uygulamaları önerilir.

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Haber Yazısı 2

Google, 2024'te 75 Sıfır Gün Saldırısının İstismar Edildiğini Bildirdi

Tarih: 29 Nisan 2025

Google, 2023'te sayısı 98 olan sıfırıncı gün güvenlik açığının, 2024'te 75'e düştüğünü açıkladı. 75 sıfırıncı gün zafiyetinin %44'ünün kurumsal ürünleri hedef aldığı belirtildi. Güvenlik yazılımlarında ve cihazlarında 20'ye yakın kusur tespit edildi.

GTIG (Google Tehdit İstihbarat Grubu) paylaştığı raporda, "Tarayıcılar ve mobil cihazlarda sıfırıncı gün zafiyetleri geçen yıla kıyasla önemli ölçüde düştü, tarayıcılarda yaklaşık üçte bir, mobil cihazlarda ise yaklaşık yarı yarıya azaldı. Birden fazla sıfır günlük güvenlik açığından oluşan istismar zincirleri, çoğunlukla (%90) mobil cihazları hedeflemek için kullanılmaya devam ediyor" ifadelerine yer verdi.

Bu zafiyetlerin ürü bazlı dağılımı aşağıda verildiği gibidir:

- Microsoft Windows- 22
- Apple'ın Safari-3
- iOS-2
- Android-7. (Android'de kullanılan 7 sıfırıncı gün zafiyetinden 3’ü üçüncü taraf bileşenlerde bulundu.)
- Chrome-7
- Mozilla Firefox-1
- Kurumsal yazılım ve cihazlarda kullanılan 33 sıfırıncı gün zafiyetinin 20'si Ivanti, Palo Alto Networks ve Cisco gibi güvenlik ve ağ ürünlerini hedef aldı.

Toplamda, 2024'te 18 benzersiz kurumsal satıcı hedef alınırken, 2021'de bu sayı 12, 2022'de 17 ve 2023'te 22 adetti. En çok hedeflenen sıfır-günlere sahip şirketler Microsoft (26), Google (11), Ivanti (7) ve Apple (5) oldu.

75 zafiyetten 34’ü aşağıdaki gibi altı grup altında yer almıştır.

- Devlet destekli casusluk (10), Çin liderliğinde (5), Rusya (1) ve Güney Kore (1)  (örneğin, CVE-2023-46805 , CVE-2024-21887 )
- Ticari gözetim satıcıları (8) (örneğin, CVE-2024-53104 , CVE-2024-32896 , CVE-2024-29745, CVE-2024-29748 )
- Devlet dışı finansal olarak motive olmuş gruplar (5) (örneğin, CVE-2024-55956 )
- Devlet destekli casusluk ve finansal olarak motive olmuş gruplar (5), hepsi Kuzey Kore'den (örneğin, CVE-2024-21338 , CVE-2024-38178 )
- Devlet dışı finansal olarak motive olmuş gruplar (2), hepsi Rusya'dan (örn. CVE-2024-9680, CVE-2024-49039 )

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Kaynakça

1. Siber Güvenlik Terimi
2. Zafiyetler
3. Zararlı Yazılımlar
4. Teknolojik Yenilikleri
5. Haber Yazıları