CISA, Node2Shell Güvenlik Açığına Karşı Uyarıyor: Saldırı Girişimleri Kaydedildi

CISA, Node2Shell Güvenlik Açığına Karşı Uyarıyor: Saldırı Girişimleri Kaydedildi

ABD siber güvenlik kuruluşu CISA, Node2Shell olarak bilinen Brotli güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Ayrıca, iki güvenlik firması, bal küpü (honeypot) sistemlerine yönelik istismar girişimleri kaydettiklerini bildirdi.

Node2Shell Güvenlik Açığı Detayları

CVE-2026-111497 olarak izlenen ve HTTP2Shell ile Broccoli2Shell adlarıyla da bilinen bu güvenlik açığı, Google tarafından geliştirilen veri sıkıştırma kütüphanesi Brotli’nin kod çözücüsünde bir bellek dışı yazma (out-of-bounds write) hatasıdır. Brotli’nin 1.0.3’ten 1.2.0’a kadar olan sürümlerini etkilemektedir. Özel olarak hazırlanmış sıkıştırılmış verilerle bir saldırgan, uygulamayı çökertme, belleğinin içeriğini ifşa etme ve potansiyel olarak rastgele kod çalıştırma yeteneğine sahip olabilir.

Bu hata, OpenAI araştırmacıları tarafından rapor edilmiş ve Node.js ile Google, 21 Ekim’de düzeltmeleri yayınlamıştır. Microsoft, iki Python paketinin geliştiricileri, Bun, Envoy ve Istio da düzeltmeler yayınlamış, Palo Alto Networks ise PAN-OS için acil yamalar sunmaktadır. Imperva, bu güvenlik açığının resmi bir Node.js görüntüsünde kod yürütme için istismar edilebileceğini göstermiştir.

CISA Uyarısı ve Kurum Talimatları

CISA, CVE-2026-111497’yi 27 Ekim’de KEV kataloğuna eklemiş, ancak saldırılar hakkında ek bilgi sağlamamıştır. Federal sivil kurumlar, bu güvenlik açığını 10 Kasım’a kadar gidermekle görevlendirilmiştir.

Saldırı Girişimleri ve Güvenlik Firmalarının Bulguları

Kendi sensör ağı aracılığıyla istismar faaliyetlerini izleyen Previdian, 27 Ekim’de ABD merkezli bir IP adresinden CVE-2026-111497’yi hedefleyen bir istismar girişimi kaydettiğini belirtmiştir. Şirket, istismara olan güvenini ‘onaylanmış’ olarak derecelendirmektedir. Previdian, “Güven, kanıtların bu durumun bu güvenlik açığının istismarı olarak ele alınmasını ne kadar güçlü desteklediğidir. Girişimin başarılı olduğu anlamına gelmez” şeklinde açıklama yapmıştır.

Keşif ve toplu istismar faaliyetlerini izleyen bir siber güvenlik laboratuvarı olan ELLIO, sensörlerinin 26 Ekim’de x86-64 sistemlerinde çalışan Node.js 24.22.0’ı hedefleyen kötü niyetli bir istek yakaladığını bildirdi. Bir önceki gün, halka açık bir araç, bu tür verileri hangi ana bilgisayarların işlediğini belirlemek için sensörlerine Brotli sıkıştırılmış veri göndermişti. İstismar girişimi, ELLIO’nun daha önce PHP2Shell güvenlik açıklarını hedefleyen ve Palo Alto Networks ile Fortinet VPN cihazlarını yoklayan bir IP adresinden gelmiştir. ELLIO, “Bu, uzaktan kod yürütmenin (RCE) toplu istismara odaklanmış bir operatör tarafından benimsendiğini gösteriyor” dedi.

Ancak, ELLIO’nun analizine göre, saldırıda kullanılan istismar bozuktu. Teslimat bileşenleri halka açık kavram kanıtı koduyla eşleşse de, saldırganın kendisinin yazdığı son aşama, ELLIO’nun savunmasız bir Node.js örneğine karşı yürüttüğü 50 testin hiçbirinde bir kabuk (shell) ile sonuçlanmadı. ELLIO, “Bu muhtemelen operatörün son aşamayı canlı bir hedefe karşı tam olarak test etmeden önce sahada ateşlenen ilk nesil bir girişimdi – kusurlu son 12 talimat içeren çalışan bir çerçeve” şeklinde not etti. Şirket, x86-64 üzerinde resmi bir Node.js yapısı çalıştıran dört farklı kurulumda kod yürütmeyi başarmıştır. Ayrıca, başarısız istismar girişimlerinin hedeflenen süreci çökertme potansiyeli taşıdığını, bunun da hizmet reddi (DoS) saldırılarında kullanılabileceğini belirtmektedir.

VMware Yamaları Bekleniyor

Broadcom, 27 Ekim’de VMware Cloud Foundation ve vSphere Foundation’daki SDDC Manager’ın Node.js kullandığı için CVE-2026-111497’den etkilendiğini bildirdi. Şirket, SDDC Manager 9.1.1 için bu sorunu kritik olarak değerlendirmekte ve CVSS puanını 9.8 olarak belirlemiştir. 9.0.x, 9.1.0 ve 5.2.x sürümleri için ise hatayı önemli olarak derecelendirmiş ve CVSS puanını 7.5 olarak vermiştir. Broadcom, “SDDC Manager’a ağ erişimi olan kötü niyetli bir aktör, bu sorunu rastgele kod yürütmek için istismar edebilir” dedi. Etkilenen tüm sürümler için yamalar beklenmekte olup, Broadcom iki bilgi tabanı makalesinde geçici çözümler yayınlamıştır. Danışmanlık belgesinde sahada istismardan bahsedilmemektedir.

Kaynak: Orijinal haber