2026 43. Hafta Siber Güvenlik Haberleri

SİBER GÜVENLİK GÜNDEMİ

43. Hafta Siber Güvenlik Haberleri

Haftanın Siber Güvenlik Terimi

Haftanın Zafiyetleri

Haftanın Zararlı Yazılımları

Haftanın Veri İhlalleri

Haber Yazısı 1

Yamalanmamış OnePlus Zafiyetleri Yüklü Uygulamalara İzinsiz Root Erişimi Sağlıyor

Microsoft 365 Token-Replay Saldırıları: MFA Sonrası Oturumların Ele Geçirilmesi

Tarih: 26 Ekim 2026

Araştırmacı Rasmus Moorats, OnePlus ve OPPO cihazlarında kullanılan OxygenOS işletim sisteminde yer alan iki farklı güvenlik açığını bir araya getirerek, herhangi bir özel izin gerektirmeyen kötü amaçlı bir uygulama aracılığıyla cihaza tam root erişimi sağlandığını açıklamıştır. OnePlus, Mayıs 2026'da güvenlik açıklarını doğrulamış ancak kamuoyuna açıklama hakkının yalnızca kendisinde olduğunu belirterek araştırmacıyı yasal yaptırımlarla uyarmıştır. Buna rağmen Moorats, üreticinin henüz bir yama yayınlamadığı 24 Eylül 2026 tarihinde teknik detayları kamuoyuyla paylaşmıştır.

Huntress tarafından incelenen kampanyada saldırganlar, adversary-in-the-middle tekniğiyle kullanıcıların oturum açma sürecine araya girerek kimlik bilgilerini, MFA kodlarını ve oturum belirteçlerini ele geçirmiştir. Temmuz-Eylül döneminde 79 kuruluşta 97 hesabın ele geçirildiği, 497 başarılı oturum açma olayı ve 48 sahte Entra cihaz kaydı tespit edildiği bildirilmiştir.

Saldırının gerçekleşmesi için cihazda ilk olarak kısıtlamasız çalışan ve kimlik doğrulaması yapmayan AtlasService adlı hata ayıklama hizmetindeki açığın kullanıldığı belirtilmektedir. Bu zafiyet sayesinde uygulama metni denetlenmeden sistem komutuna eklenmekte ve dumpstate adlı kısıtlı bir bölgede root yetkisi elde edilmektedir. İkinci aşamada ise olc2 adlı donanım yardımcısı hizmetindeki kusur devreye sokularak, çekirdek kodunu yükleme yetkisi de dahil olmak üzere tüm alt seviye Linux ayrıcalıklarına ve cihaz üzerinde tam kontrol yetkisine ulaşılmaktadır. Açık; OnePlus 15, OnePlus 12 Pro ve OxygenOS 16 kullanan modeller de dahil olmak üzere OnePlus ve OPPO'nun birçok cihazını etkilemektedir. 18 Nisan 2026'da bildirilen açığın 24 Eylül'e kadar yamalanmadığı ve herhangi bir CVE kodu atanmadığı kaydedilmiştir. Saldırının yerel olması nedeniyle internet üzerinden başlatılamadığı, bu süreçte tek savunma yönteminin yalnızca güvenilir kaynaklardan uygulama yüklemek olduğu vurgulanmıştır.

Saldırının ayırt edici yönü, parolayı tahmin etmek yerine geçerli erişim belirtecinin yeniden oynatılmasıdır. Ele geçirilen belirteçler farklı cihazlardan Microsoft 365 hizmetlerine karşı kullanılmış; kalıcılık amacıyla yeni Authenticator yöntemleri ve sahte cihazlar kaydedilmiştir. Bu durum, yalnızca MFA kullanımının oturum hırsızlığına karşı yeterli olmadığını göstermektedir.

Sonuç olarak, üreticiler tarafından eklenen özel yazılımların Android cihazlarda yarattığı yetki yükseltme riskleri devam etmekte olup, OnePlus kullanıcılarının ilgili güvenlik güncellemeleri yayınlanana kadar uygulama yükleme kaynaklarına dikkat etmeleri ve sistem yamalarını takip etmeleri gerekmektedir.

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Haber Yazısı 2

CISA, WSO2 ve Adobe Commerce Güvenlik Açıklarını KEV Kataloğuna Ekledi

Gheist Kampanyası GitHub Actions Üzerinden Depo Sırlarını Hedefliyor

Tarih: 26 Ekim 2026

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), WSO2 ile Adobe Commerce (ve Magento) sistemlerini etkileyen iki kritik güvenlik açığının aktif olarak istismar edildiğini doğrulayarak bunları Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna eklemiştir. Federal Sivil Yürütme Organı (FCEB) kurumları için ilgili yamaların uygulanması zorunlu tutulmuştur.

Wiz, çalınmış GitHub belirteçlerini kullanan otomatik bir kampanyanın özel depolara iş akışı dosyaları ekleyerek depo sırlarını GitHub Actions günlüklerine yazdırdığını bildirmiştir. Gheist adı verilen faaliyette 850’den fazla ele geçirilmiş hesaba bağlı 13.500’den fazla dal tespit edilmiştir.

Özetlenen güvenlik açıklarının detayları şu şekildedir:

CVE-2026-5430 (CVSS Puanı: 9.8): WSO2 API Control Plane, API Manager, Traffic Manager ve Universal Gateway ürünlerinde yer alan, yol geçişi (path traversal) hatası sonucu sınırsız dosya yükleme ve uzaktan kod yürütülmesine (RCE) olanak tanıyan kritik bir güvenlik açığıdır. Siber güvenlik firması watchTowr, 13 Eylül 2026'dan itibaren tuzak sistemlerinde gerçek dünyada istismar girişimleri tespit ettiğini bildirmiştir. WSO2 tarafından yapılan açıklamada, müşterilerin 6 Nisan 2026'da uyarıldığı, 3 Mayıs 2026'da kamuoyuna duyurulduğu ve önerilen güncellemeleri yapan müşterilerde olumsuz bir durum tespit edilmediği bildirilmiştir.

Kampanya, yazma yetkisine sahip bir belirtecin yalnızca kaynak koduna değil, iş akışının erişebildiği bulut kimlik bilgilerine de ulaşabileceğini göstermektedir. Bazı olaylarda iş akışlarının AWS rolleri üstlendiği ve ardından AWS Secrets Manager hizmetinin numaralandırıldığına ilişkin izler görülmüştür.

CVE-2026-71362 (CVSS Puanı: 9.1): Adobe Commerce ve Magento platformlarında kullanıcı etkileşimi olmadan hassas kaynaklara erişim sağlayan hatalı yetkilendirme açığıdır. Sansec, Ağustos 2026'da bu açığı hedef alan saldırıları engellediğini; Previdian telemetri verileri ise 10 Eylül 2026'da Avustralya kaynaklı bir IP adresinin tuzak sensörlerini hedef aldığını açıklamıştır. Açık, saldırganların oturumları yetkisiz şekilde başka hesaplara geçirmesine imkan tanımaktadır.

Sonuç olarak, CISA federal kurumların 27 Eylül 2026 tarihine kadar ilgili düzeltmeleri uygulamasını istemiştir. Bankacılık, devlet, telekomünikasyon ve e-ticaret gibi kritik sektörlerde yaygın olarak kullanılan bu teknolojileri barındıran tüm kuruluşların, yayınlanan güvenlik güncellemelerini vakit kaybetmeksizin sistemlerine entegre etmeleri gerekmektedir.

Sonuç olarak etkilenen kuruluşlar belirteci iptal etmeli, iş akışının okuyabildiği tüm sırları döndürmeli ve bulut erişim kayıtlarını incelemelidir. GitHub Actions için en az ayrıcalık, ortam onayları ve beklenmeyen .github/workflows değişiklikleri için alarm uygulanmalıdır.

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Haber Yazısı 3

JADEPUFFER (Storm-3168) Bağlantılı Saldırganların Azure Kaynaklarına Yönelik Yıkıcı Saldırıları

PHP2Shell Zafiyetleri Aktif İstismar Altında: Acil Yama ve Maruziyet Kontrolü

Tarih: 27 Ekim 2026

Microsoft ve Sysdig güvenlik araştırmacıları, JADEPUFFER (Storm-3168) olarak takip edilen tehdit aktörünün, ele geçirdiği hizmet sorumlularını (service principals) kullanarak Microsoft Azure bulut ortamlarında geniş çaplı yıkıcı eylemler gerçekleştirdiğini açıklamıştır. Haziran 2026 başlarında yaklaşık 18 saat süren operasyon, yapay zeka/büyük dil modelleri (LLM) ve otomasyon yardımıyla yürütülen fidye yazılımı ve kaynak yok etme süreçlerinin gelişimini ortaya koymaktadır.

CISA, CVE-2026-109618 ve CVE-2026-109619 kodlu iki kritik PHP2Shell zafiyetini aktif istismar kanıtı nedeniyle KEV kataloğuna eklemiştir. CVSS 9,2 olarak değerlendirilen açıklar, etkilenen kurulumlarda kimlik doğrulama olmadan uzaktan kod yürütülmesine imkân verebilmektedir.

Saldırının detayları ve izlenen teknik süreçler şu şekildedir:

Başlangıç Sızması ve Yapay Zeka Kullanımı: JADEPUFFER, ilk olarak Langflow'daki CVE-2025-3248 zafiyetini kullanarak sisteme sızmış, ağda yatayda ilerleyerek veritabanı tablolarını silmiş ve MySQL'in AES_ENCRYPT() fonksiyonu ile şifreleme yapmıştır. Devamında, macOS ve YZ altyapı dosyalarını (vektör veritabanları, model kontrol noktaları) hedef alan Go tabanlı ENCFORGE fidye yazılımını devreye sokmuştur. Sysdig, otonom bir ajanın hedefleri analiz edip adımları kendi kendine anlatarak yürüttüğünü belgelemiştir.

İlk saldırı dalgalarında milyonlarca tarama ve istismar girişimi görülmüş; bazı girişimlerin Potassium adlı Mirai türevi zararlı yazılımı dağıtarak sistemleri DDoS botnet’ine katmayı hedeflediği bildirilmiştir. İnternete açık PHP servislerinin yaygınlığı, açığı yüksek öncelikli hâle getirmektedir.

Hizmet Sorumlularının Ele Geçirilmesi ve Görev Bölümü: Microsoft, aynı kiracıya bağlı iki farklı hizmet sorumlusu tespit etmiştir. Birinci hizmet sorumlusu yaklaşık 16 saat boyunca Sanal Makineleri ve kaynak gruplarını tarayarak 300'den fazla okuma işlemi yapmıştır. İkinci hizmet sorumlusu ise 90 dakika sonra keşif adımları atarak Azure Uygulama Hizmeti yapılandırma depolarını taramıştır.

Yıkıcı Operasyon: 35 dakika içinde 150'den fazla yıkıcı işlem yapılmış; yedi dakika süren ana silme aşamasında 100'den fazla depolama hesabı hedef alınmıştır. Azure Key Vault, Function App, App Service ve Azure SQL veritabanları silinmeye çalışılmıştır. Veritabanı silme girişimleri desteklenmeyen bir API sürümü nedeniyle başarısız olmuş; bazı depolama hesaplarının silinmesi ise kaynak kilitleri ve koruma ayarları sayesinde engellenmiştir.

Sızma Kaynağı ve Yöntem: Hizmet sorumlusu kimlik bilgilerinin (istemci kimliği, gizli anahtarı, kiracı kimliği) daha önce herkese açık bir GitHub sayfasındaki düzenleme geçmişinde unutulduğu belirlenmiştir. Saldırı sürecinde herhangi bir fidye notu veya veri sızdırma kaydedilmese de, kurtarma kaynaklarının hedef alınması fidyecilik amacı taşındığını göstermektedir.

Sonuç olarak Microsoft, bu olayın tehdit aktörlerinin bulut ortamlarında yapay zeka destekli otomasyonlarla yüksek hız ve ölçekte yıkıcı operasyonlar yürütebildiğini gösterdiğini vurgulamıştır. Savunma tarafında, yetkili kimliklerin sıkı denetlenmesi, herkese açık kod depolarının taranması ve silme koruması ile kaynak kilitleri gibi bağımsız güvenlik katmanlarının aktif tutulması kritik önem taşımaktadır.

Sonuç olarak kuruluşlar PHP çalışma zamanı bulunan internet varlıklarını belirlemeli ve güncel sürümlere geçmelidir. Yama uygulanana kadar erişim sınırlandırılmalı, WAF ve IDS kontrolleri etkinleştirilmeli; yama sonrasında web kök dizinleri, zamanlanmış görevler ve ağ bağlantıları kalıcılık göstergeleri açısından incelenmelidir.

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Kaynakça

1. Exploitler
2. Zafiyetler
3. Zararlı Yazılımlar
4. Haber Yazıları
5. Teknolojik Yenilik
6. Veri İhlalleri