Çinli Hackerlar Düşük Önemli ESXi Güvenlik Açığını Sıfırıncı Gün Saldırısı Olarak Kullandı

Çinli Hackerlar Düşük Önemli ESXi Güvenlik Açığını Sıfırıncı Gün Saldırısı Olarak Kullandı

ABD siber güvenlik ajansı CISA, Çarşamba günü yaptığı açıklamada, siber saldırganların VMware ESXi’deki başka bir güvenlik açığını saldırılarda kullandığı konusunda uyardı. CVE-2026-41709 olarak izlenen bu güvenlik açığı, düşük önem dereceli yetersiz günlük kaydı sorunu olarak tanımlanıyor. Bu durum, yönetici olarak oturum açmış saldırganların belirli işlemleri günlüğe kaydedilmeden gerçekleştirmesine olanak tanıyor.

Söz konusu güvenlik kusuru, 29 Temmuz’da VMware vCenter, ESXi, Workstation ve Fusion’daki üç kritik ve bir yüksek önem dereceli hata ile birlikte duyurulmuştu. VMware ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 ve ESXi80U3j-25429389 ile daha yeni sürümler ilgili yamaları içeriyor. CISA, CVE-2026-41709’u Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek federal kurumları önümüzdeki iki hafta içinde yamayı uygulamaya çağırdı.

Warp Panda’nın Rolü ve Hedeflenen Kuruluşlar

CISA, gözlemlenen istismara ilişkin ayrıntı vermezken, CrowdStrike Çarşamba günü yaptığı açıklamada, Çin bağlantılı tehdit aktörü Warp Panda’nın, ABD’deki hukuk firmaları da dahil olmak üzere kuruluşlara yönelik sızmalarda CVE-2026-41709’u sıfırıncı gün açığı olarak kullandığını bildirdi. CrowdStrike’a göre, Warp Panda genellikle internete açık uç cihazlar aracılığıyla ilk erişimi sağlıyor ve VMware vCenter’a geçiş yaparak 2025 yılı boyunca sızmalarda BrickStorm, TetanusStorm, SharpStorm, DualGauge ve GuestConduit gibi kötü amaçlı yazılımları dağıttı. Bu saldırıların bazılarında ve 2026 başlarına kadar, grup CVE-2026-41709’u denetim izi görünürlüğünü önemli ölçüde azaltmak için kullandı.

Diğer İstismar Edilen Güvenlik Açıkları

Broadcom’un 29 Temmuz tarihli uyarılarında açıklanan en az iki başka güvenlik kusuru da sahada hedef alındı: CVE-2026-59309 (kritik önem dereceli bir kimlik doğrulama atlatma) ve CVE-2026-59310 (rastgele kod yürütmeye yol açan kritik bir dizin geçişi sorunu). Ağustos ortasında, siber güvenlik şirketi Quirso, bir APT’nin yaklaşık 360 web erişimli VMware vCenter sunucusunu tehlikeye atmak ve bir SSH ters kabuğu dağıtmak için CVE-2026-59310’u istismar ettiğini belirtti. Daha sonra Quirso, bu etkinliği Çin bağlantılı bir tehdit aktörüne atfetti ve CVE-2026-59309’un da istismar edildiği konusunda uyardı, muhtemelen CVE-2026-59310’dan önce ve muhtemelen farklı bir tehdit aktörü tarafından. CVE-2026-59310’un kitlesel hedeflemesi Eylül başında işaretlendi.

Kaynak: Orijinal haber