2026 42. Hafta Siber Güvenlik Haberleri

SİBER GÜVENLİK GÜNDEMİ

42. Hafta Siber Güvenlik Haberleri

Haftanın Siber Güvenlik Terimi

Haftanın Zafiyetleri

Haftanın Zararlı Yazılımları

Haftanın Veri İhlali

Haber Yazısı 1

ConnectWise Cloud Backup Uygulamasının Ele Geçirilmesi: Yüzlerce Microsoft 365 Kiracısı Risk Altında

Tarih: 17 Ekim 2026

Yönetilen hizmet sağlayıcıların (MSP) müşterilerinin Microsoft 365 ve Google Workspace verilerini yedeklemek için kullandığı ConnectWise Cloud Backup (eski adıyla SkyKick) uygulamasına ait bir kimlik bilgisinin saldırganların eline geçtiği tespit edilmiştir. Huntress, bu kimlik bilgisi ile 173 iş ortağı ve müşteri kiracısında yetkisiz oturum açıldığını doğrularken Microsoft da olayı aktif bir tedarik zinciri saldırısı olarak takip ettiğini duyurmuştur.

Yedekleme uygulaması, çalışabilmek için her kiracıda posta kutularına, OneDrive ve SharePoint dosyalarına, Teams verilerine ve dizin bilgilerine geniş yetkilerle erişmektedir. Saldırganlar bu yetkileri devralarak 15 Ekim’de Microsoft Graph erişim anahtarları (token) almış, kiracıları bir hedef listesine göre sırayla taramış en az bir iş ortağı ortamında ilgili ConnectWise uygulamasına Global Yönetici rolü atayıp ortamdaki iki uygulamaya yeni gizli anahtarlar eklemiştir. Oturumların iptal edilmesi erişimi sonlandırmamakta; uygulama devre dışı bırakılsa bile daha önce alınan anahtarlar 90 dakikaya kadar geçerli kalabilmektedir. ConnectWise yedekleme uygulamasına erişimi geçici olarak kapatmış, yedek verilerinin ele geçirildiğine dair bir kanıt bulunmadığını belirtmiş ve 19 Ekim’de yönetici erişim korumalarını güçlendirdiğini, hesapları sıfırlayıp uygulama kimlik bilgilerini yenilediğini duyurmuştur.

Sonuç olarak, ConnectWise Cloud Backup veya Cloud Management uygulamalarını kullanan kurumların ilgili uygulamaları bu kimlik bilgileri tamamen yenilenene kadar devre dışı bırakması önerilmektedir. Entra ID oturum açma kayıtlarında hizmet sorumlusu (service principal) girişlerinin, 13 Ekim’den sonra eklenen yeni kimlik bilgilerinin ve dizin rolü değişikliklerinin incelenmesi, Microsoft Graph etkinlik günlüklerinin açılması ve şüpheli IP adresi 144.172.64[.]128 kaynaklı faaliyetlerin taranması gerekmektedir.

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Haber Yazısı 2

Qilin ve INC Fidye Yazılımı Grupları Palo Alto Networks Açığını Kullanarak MFA’yı Atlatıyor

Tarih: 20 Ekim 2026

Palo Alto Networks, PAN-OS ve Prisma Access ürünlerini etkileyen CVE-2026-0257 (CVSS 7.8) kimlik doğrulama atlatma açığının yama yayımlanmasına rağmen fidye yazılımı grupları tarafından istismar edilmeye devam ettiğini duyurmuştur. Unit 42 araştırmacılarına göre açığı kullanan gruplar arasında Qilin ve INC yer almaktadır. Açık, Mayıs 2026’da yamalanmış ve CISA’nın bilinen istismar edilen açıklar (KEV) kataloğuna 13 Mayıs’ta eklenmiştir.

Saldırganlar açığı kurumsal ağlara ilk erişimi sağlamak, çok faktörlü kimlik doğrulamayı (MFA) atlatmak ve yetkisiz VPN oturumu kurmak için kullanmaktadır. VPN oturumunun ardından RMM araçlarıyla iç ağ keşfi yapılmakta, RDP ve SMB üzerinden yanal hareket edilmekte, kimlik bilgisi toplama, veri sızdırma ve fidye yazılımı dağıtımı için ek araçlar hazırlanmaktadır. Unit 42’nin dikkat çektiği en önemli değişiklik, saldırganların doğrudan sanallaştırma katmanına yönelmesidir: Bir olayda saldırgan VPN geçidinden vCenter yönetim cihazına geçmiş, ESXi sunucularındaki güvenlik kontrollerini devre dışı bırakmış ve alan denetleyicisinin sanal diskinden çevrimdışı kimlik bilgisi dökümü almıştır. Bu yöntem konuk sistem içindeki EDR çözümlerini atlatmakta, ayrıca bazı saldırılarda Veeam yedekleme altyapısındaki bilinen açıklar da zincire eklenmektedir.

Sonuç olarak, PAN-OS ve Prisma Access kullanan kurumların güncel yamaları uygulaması, VPN geçitlerindeki başarılı bağlantı olaylarını tehdit avı kapsamında incelemesi ve şüpheli durumda olay müdahale sürecini başlatması önerilmektedir.

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Haber Yazısı 3

PHP2Shell: PHP’de Kritik İki Uzaktan Kod Yürütme Açığı İçin Acil Güvenlik Sürümü

Tarih: 21 Ekim 2026

PHP ekibi, CVSS v4.0 ölçeğinde 9.2 puan verdiği iki kritik güvenlik açığı için 21 Ekim günü 14:00 UTC’de döngü dışı bir güvenlik sürümü yayımlayacağını duyurmuştur. Açıkların ayrıntıları açıklanmamış olsa da watchTowr araştırmacıları açıkların uzaktan kod yürütmeye (RCE) izin verdiğini belirtmektedir. Duyuru, açıkların ayrıntılarının 22 Ekim’de paylaşılacağını iddia eden bir sızıntının ardından erkene alınmıştır.

Sızıntıda CVE-2026-109618 ve CVE-2026-109619 kodları geçmekte, araştırmacılar bu açık çiftini PHP2Shell olarak adlandırmaktadır. Resmi bir PHP bildirimiyle doğrulanmayan bu bilgiler arasında açıkların PHP 5 sürümünden itibaren tüm sürümleri etkilediği iddiası da yer almaktadır. Düzeltme yalnızca desteklenen PHP 8.2, 8.3, 8.4 ve 8.5 dalları için sunulacak; 8.1 ve daha eski sürümler destek dışı olduğu için yama alamayacaktır. Mallory’nin 20 Ekim tarihli taramasına göre internete açık yaklaşık 884.000 sunucu PHP 8.1 veya daha eski bir sürüm bildirmektedir. Haberin yazıldığı sırada istismar bildirilmemiş, açıklar CISA KEV kataloğunda yer almamış ve yayımlanmış bir istismar kodu bulunmamıştır.

Sonuç olarak, kurumların PHP’nin çalıştığı tüm sistemleri (cPanel, Plesk ve üçüncü taraf cihazlara gömülü PHP kurulumları dahil) envanterlemesi ve güvenlik sürümü yayımlanır yayımlanmaz önce internete açık sistemlerden başlayarak yama uygulaması gerekmektedir. Destek dışı sürümlerde sistemin yükseltilmesi veya VPN ya da WAF arkasına alınması, php-fpm ve web sunucusu süreçlerinin kabuk ya da indirme aracı başlatması durumlarının izlenmesi önerilmektedir. Ayrıntılar yayımlanacak resmi bildirimle netleşecektir.

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Kaynakça

1. Zafiyetler
2. Zararlı Yazılımlar
3. Haber Yazıları
4. Teknolojik Yenilik