Palo Alto Networks’ün PAN-OS yazılımında tespit edilen kritik bir kimlik doğrulama atlama açığı (CVE-2026-0257), Haziran ayından bu yana Qilin ve Inc gibi çok sayıda fidye yazılımı grubu tarafından aktif olarak istismar ediliyor. GlobalProtect portallarını ve ağ geçitlerini etkileyen bu güvenlik açığı, saldırganların çok faktörlü kimlik doğrulama (MFA) kontrollerini aşarak yetkisiz VPN bağlantıları kurmasına olanak tanıyor. Palo Alto Networks’ün tehdit istihbarat birimi Unit 42, finans, sağlık ve üretim gibi pek çok farklı sektörde faaliyet gösteren kurumların bu saldırılardan etkilendiğini raporladı. Şirket, Mayıs ayında yayınladığı yamalarla sorunu çözmeye çalışsa da saldırganlar, sistemlerini güncellemeyen kurumları hedef almaya devam ediyor.
- Qilin ve Inc gibi fidye yazılımı grupları, PAN-OS üzerindeki kimlik doğrulama atlama zafiyetini kullanarak kurumsal ağlara sızıyor.
- Saldırganlar, ele geçirdikleri VPN oturumları üzerinden yanal hareket ederek ağ içindeki kritik verilere ulaşıyor.
- Unit 42 uzmanları, saldırganların sanallaştırma katmanına yönelik sofistike yöntemler geliştirdiğini ve ESXi hipervizörlerini hedef aldığını belirtiyor.
Saldırganlar Kurumsal Ağlara Sızmak İçin Yöntemlerini Geliştiriyor
Güvenlik uzmanları, CVE-2026-0257 kodlu açığın sadece bir giriş kapısı olarak değil, aynı zamanda daha derin sistemlere erişim sağlamak için bir basamak olarak kullanıldığını vurguluyor. Saldırganlar, ağa ilk girişi sağladıktan sonra Uzak Masaüstü Protokolü (RDP) ve Sunucu İleti Bloğu (SMB) kullanarak sistem içinde yanal hareketler gerçekleştiriyor. Bu süreç, kimlik bilgisi hırsızlığından veri şifrelemeye kadar uzanan bir felaket zincirini tetikliyor.
Unit 42 tarafından paylaşılan verilere göre, saldırıların kapsamı oldukça geniş. Eğitim, kamu, ulaştırma, enerji ve perakende gibi kritik sektörlerin tamamı tehdit altında bulunuyor. [image_1] Özellikle ReliaQuest analistleri, Settra gibi farklı fidye yazılımı operatörlerinin de bu açığı kendi operasyonlarına dahil ettiğini bildirdi.
Sanallaştırma Katmanına Yönelik Tehditler Artış Gösteriyor
Saldırıların en dikkat çekici yönü, kötü niyetli aktörlerin sanallaştırma katmanına doğrudan odaklanmasıdır. Unit 42 kıdemli direktörü Andy Piazza, saldırganların VPN ağ geçidinden vCenter yönetim birimine sıçrayarak ESXi hipervizörlerindeki güvenlik kontrollerini devre dışı bıraktığını belirtti. [image_2] Bu yöntem, saldırganların uç nokta tespit ve müdahale (EDR) ürünlerini atlatarak doğrudan alan denetleyicisinin sanal diskine erişmesine olanak sağlıyor.
Bu seviyedeki bir operasyon, siber suçluların sadece standart fidye yazılımı kullanmadığını, aynı zamanda oldukça gelişmiş teknik araçlar geliştirdiğini gösteriyor. Ayrıca saldırganlar, bu açığı Veeam yedekleme altyapılarını hedef alan diğer zafiyetlerle (CVE-2023-27532) birleştirerek sistemin kurtarılmasını imkansız hale getirmeyi hedefliyor. Kurumların, acilen sistemlerini güncellemeleri ve ağ günlüklerini şüpheli aktiviteler için incelemeleri büyük önem taşıyor.
Palo Alto Networks sistemlerinizde gerekli güvenlik yamalarını gerçekleştirdiniz mi? Kurumunuzun siber güvenliğini sağlamak adına aldığınız diğer önlemleri ve bu tür büyük ölçekli saldırılara karşı düşüncelerinizi yorum kısmında bizimle paylaşabilirsiniz.