Açıklıklar ve Tehditler
Siber Saldırılar ve Veri İhlalleri
Ivanti, Cisco ve Palo Alto Networks bu hafta kenar cihazlarındaki açıklar nedeniyle gündeme geldi. Şimdi BeyondTrust da bu gruba katıldı.
Nate Nelson, Katkıda Bulunan Yazar
Yeni yüksek şiddetli ve aktif olarak istismar edilen kenar açıklarıyla dolu bir hafta, BeyondTrust Remote Support cihazlarındaki kritik bir kusura dayalı Çin kaynaklı bir siber saldırıyla devam ediyor.
Bu hafta Ivanti, Cisco, Palo Alto Networks büyük ve zaten kötüye kullanılmış açıklarını temel kenar teknolojilerinde açıkladı. Bir tane daha ekleyelim o halde. BeyondTrust blog yazısına göre Mandiant tarafından "Armory Castle" olarak izlenen Çin bağlantılı tehdit aktörü, eskiden UNC5221, diğer adıyla UTA0178, 29 Ağustos 2026 tarihinden itibaren sıfırıncı gün olarak BeyondTrust Remote Support kritik açığını istismar etti. Kritik açık CVE-2026-102764 olarak izleniyor, 9.3 CVSS puanı aldı ve gelen mesajların kaynağını doğru şekilde doğrulamayan dahili bir mesajlaşma bileşeninden kaynaklanıyor.
Uzaktan erişim aracında kritik bir hata olmasından daha ciddi bir şey yok. BT ekipleri Remote Support'u uzaktan bilgisayar ve sunuculara bağlanmak ve kontrol etmek için kullanıyor ve saldırganlar bunu istismar ederek daha aşağı yukarı aynısını yapabildi.
Dark Reading bu haber hakkında yorum için BeyondTrust'a ulaştı.
Çin'e Karşı Kenar Hataları: Aynı Eski Hikâye
Remote Support yaygın bir kurumsal BT çözümüdür. BeyondTrust'un 20.000'den fazla müşterisi olduğunu ve bunların 75'inin Fortune 100 şirketi olduğunu iddia ediyor.
Bu müşterilerin özellikle Remote Support'u ne kadar kullandığı net değil. En iyi tahmin bu yıl başlarında yapılmış olabilir; bir yapay zekâ ajanı Remote Support ve yan ürünü Privileged Remote Access'te 9.9 CVSS dereceli ön kimlik doğrulama açığı bulduğunda. Araştırmacılar o zaman bulut ve şirket içi ortamda İnternet'e açık yaklaşık 11.000 Remote Support örneği buldu.
Bu sefer saldırganlar açığa mavi takım ajanlarından önce ulaştı. İstismar hızıyla karakterize edildi aslında; Armory Castle yeni özel PHP Webshell'i "SAWFLY"'yi açığı silahlandırmasının sadece 11 dakika sonrasında konuşlandırdı.
Sonra siber casusluk aktörü işe koyuldu. Mandiant ve Google'ın Tehdit İstihbaratı Grubu'nun GTIG raporuna göre Armory Castle doğrudan cihazın yerleşik gizli bilgiler yönetimi veritabanına yöneldi, parolalar, uygulama programlama arayüzü API anahtarları ve uç nokta kimlik bilgilerini sistematik olarak aradı, ardından tüm yönetici kimlik bilgilerini boşalttı.
Bir komut dosyası ile kalıcılık sağladı, sistem, Web sunucusu ve uygulama günlüklerini silerek adli analistlerle mücadele etti ve standart bir hizmet hesabından tam yönetici ayrıcalıklarına yükseldi. Bu da uzak oturumlar başlatmasına, dahili ağ keşfi yapmasına ve kurbanların masaüstlerinden hassas iç belgeleri indirmesine ve dışarı sızdırmasına izin verdi. Ayrıca SOCKS5 tünelleme için ikinci yeni özel araç "BARECLAW"'ı da tanıttı.
Bunu BeyondTrust'un teknik iç işleyişine dair "derin bir anlayış" sayesinde yapabildiğini Mandiant değerlendirdi.
BeyondTrust, CVE-2026-102764 için yamayı 9 Ekim'de kullanıma sundu ve şirket içi Remote Support kullanan kuruluşları mümkün olan en kısa sürede güncellemeye çağırdı. Tüm müşterilerin istismar kanıtlarını araştırması ve mümkün olduğunca ağ yönetim araçları için İnternet maruziyetini ciddi şekilde kısıtlaması tavsiye edilir.
Böyle bir tavsiye güvenlik ekipleri için tanıdık — her ne kadar her zaman uygulanmasa da. Bu sefer, kenar cihazları etrafında ne kadar siber güvenlik tavsiyesinin gerçekten dikkate alınmadığı kabul edilerek, Mandiant ve GTIG araştırmacıları kuruluşlara operasyonel ihtiyaçlarına, risk toleranslarına ve zaten bir uzlaşma kanıtı bulup bulmadıklarına göre üç olası koruma seçeneği sundu.
Öncelikle araştırmacılar müşterilerin yamalamasını tavsiye etti. Ayrıca risk altındaki cihazların yalıtılmasını önerdiler — erişim yollarını sonlandırmak, dışarıya giden trafiği yalnızca satıcı uç noktalarıyla sınırlamak ve temiz görüntülerden yeniden dağıtmak.
Kuruluşlar ayrıca çeşitli telafi edici kontroller uygulayabilir: ağ kısıtlamaları, örneğin kenar cihazların önüne bir Web Uygulama Güvenlik Duvarı WAF koymak; kimlik bilgisi ve yapılandırma hijyeni, kimlik bilgilerini döndürmek, oturumları gözden geçirmek ve iptal etmek vb.; ve kontrol düzlemi kısıtlamaları, izinleri en aza indirmek, kimlik bilgilerini cihazın yerleşik kasası yerine harici bir kasada tutmak; bunun yanında daha pek çok önlem.
Ağ Güvenliği Satıcıları İçin Kötü Bir Hafta
Kenar cihazı açıkları sütçü gibi gelir: her hafta oldukça güvenilir şekilde gelirler ve kaçırırsanız sorun yaşarsınız. Yine de son birkaç gün birkaç ciddi açık üretti.
Her şey 13 Ekim'de Volexity araştırmacılarının güncellenmiş Ivanti Connect Secure ICS VPN cihazlarında bilinmeyen bir tehdit aktörünün sıfırıncı gün istismar zincirini kötüye kullandığını açıklaması ile başladı. Zincir mevcut olan en kötü tür açıkların tümünü bir araya getirdi: kimlik doğrulama atlama, uzaktan kod yürütme RCE ve ayrıcalık yükseltme. İlk ikisi CVE-2026-104935 olarak birlikte izlendi ve 10 üzerinden "yüksek" 8.6 CVSS puanı aldı.
Ertesi gün Cisco'nun Secure Email Gateway SEG'sinin Advanced Malware Protection AMP özelliğindeki CVE-2026-76519 açığı geldi; bu açık uzaktan saldırganların cihazın işletim sistemine keyfi dosyalar yazmasına izin verdi. Bu sorun 10 üzerinden 9.8 CVSS puanı aldı ve aynı gün Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA'nın Bilinen İstismar Edilen Açıklar KEV kataloğuna eklendi.
Aynı gün KEV kataloğuna eklenen bir diğer açık da Palo Alto Networks'ün tüm güvenlik duvarı teknolojisinin altında yatan PAN-OS işletim sistemindeki 8.6 CVSS puanlı yüksek şiddetli RCE açığı CVE-2026-0322 oldu.
Bir gün sonra Mandiant ve GTIG Armory Castle araştırmasını yayınladı. Ayrı olarak GreyNoise, "skynox7" olarak izlediği bir tehdit aktörünün ağa bağlı depolama NAS ve ağ video kayıt cihazları NVR gibi yamalanmamış, İnternet'e açık ev aletlerinden konut proxy ağı kurduğunu bildiren bir blog yazısı yayınladı.
Bambenek Consulting başkanı John Bambenek şöyle yakındı: "Bu noktada bir kuruluşun BT'sinin büyük bir kısmını yöneten ağ cihazları veya araçlarındaki bu tür açıklar ayda bir kez oluyor. Kurumların tek vücut olarak ayağa kalkıp bu şirketlere güvenliğin ciddiye alınması gerektiğini söylemesi gerekiyor."
