Linux Çekirdeği Güvenlik Açıkları, Falcon Casus Yazılımı ve GSocket Arka Kapıları: Siber Güvenlik Haftası Özeti (12 Kasım 2026)

Linux Çekirdeği Güvenlik Açıkları, Falcon Casus Yazılımı ve GSocket Arka Kapıları: Siber Güvenlik Haftası Özeti (12 Kasım 2026)

Siber güvenlik dünyasında her hafta yeni tehditler ortaya çıkıyor. Bu hafta, saldırganların sahte web siteleri, çalınan erişim bilgileri ve güvenilir araçları kullanarak sistemlere sızdığı görüldü. Yapay zeka, saldırıların daha hızlı geliştirilmesine yardımcı olurken, aynı zamanda yeni hedef sistemler sunuyor.

Bazı saldırganlar güvenlik açıkları giderildikten sonra bile gizli kalmaya devam ederken, diğerleri çalınan parayı karmaşık işlemlerle aklıyor. Araştırmacılar ise küçük kodlama hatalarının çok daha büyük sorunlara yol açabileceğini keşfetmeye devam ediyor. Bu hafta öne çıkan önemli siber güvenlik gelişmeleri şunlardır:

Kuzey Kore’nin Kripto Para Aklama Ağı

Binance’ten çalınan 6,43 milyar dolarlık rekor hırsızlıkla bağlantılı Kuzey Koreli tehdit aktörleri, yasa dışı gelirleri aklamak için oldukça karmaşık ve otomatik bir yöntem kullanıyor. Elliptic’in kurucusu ve baş bilimcisi Dr. Tom Robinson’a göre, hırsızlıktan bu yana 16 blok zincirinde 20.000’den fazla cüzdan, en az 36 hizmet ve 65.000’den fazla işlem kullanıldı.

Çalınan miktarın yaklaşık 3,0 milyar doları hala hırsızlıkla bağlantılı adreslerde, çoğunlukla ETH ve BTC olarak bulunuyor. Saldırganların ayrıca NEAR blok zinciri ağında altı meme coin (FUK, OLCCL, MEILI, MMLI, DABI ve SINU) oluşturarak çalınan kripto paranın yaklaşık 430.000 dolarlık bir kısmını akladığı gözlemlendi. Bu taktikler, paranın izini sürmeyi zorlaştırmayı ve varlıkların nihayetinde nereye gittiğini gizlemeyi amaçlıyor. Kuzey Kore sözcüsü Kim Yo Jong, ülkesinin saldırıdaki rolünü reddederek bunu “saçma” bir çaba olarak nitelendirdi.

GSocket Tespitlerinde %356 Artış

Microsoft, tehdit aktörlerinin GSocket adlı açık kaynaklı bir uzaktan erişim aracını internete açık Linux sunucularına konuşlandırarak, orijinal güvenlik açıkları giderildikten sonra bile erişimi sürdürdüğü birçok olay gözlemlediğini belirtti. Microsoft’a göre, GSocket trafiği paylaşılan bir genel ağ üzerinden aktardığı için engellenecek bir tehdit aktörüne ait IP adresi veya alan adı bulunmuyor.

Telemetri verilerine göre, GSocket ile ilgili tespitlere sahip cihazlar Mart’tan Ağustos 2026’ya kadar %356,2 oranında arttı. Hedeflerin çoğunluğunu eğitim ve araştırma sektörü oluştururken, bunu teknoloji ve iletişim, üretim ve devlet kurumları takip ediyor.

Europol Operasyonunda 235 Sunucu Ele Geçirildi

Europol, küresel ortaklarıyla birlikte GootLoader, CastleRAT ve StealC kötü amaçlı yazılımlarının arkasındaki suç altyapısını çökertti. Operasyonda 235 sunucu ve 257 alan adı ele geçirildi. Europol, “Operasyon, bu araçların fidye yazılımı saldırıları ve veri hırsızlığı gibi daha fazla suça olanak sağladığı ‘hizmet olarak siber suç’ modellerini hedef aldı” dedi. Operasyon kapsamında, 6 milyondan fazla mağdur kimlik bilgisi tespit edildi.

Tarayıcı Tabanlı Casusluk Hükümetleri Hedef Alıyor

Falcon (diğer adıyla XG veya Xiàng Gē) adlı bir komuta ve kontrol (C2) çerçevesinin, kötü amaçlı JavaScript çalıştırarak kurbanların tarayıcılarını ele geçirdiği tespit edildi. Falcon, bu yılın başlarında ortaya çıkan başka bir JavaScript C2 çerçevesi olan PeckBirdy ile neredeyse aynı URL yapılarını, yük dağıtım mekanizmalarını ve iletişim protokollerini paylaşıyor.

Palo Alto Networks Unit 42’ye göre, “Bir aktör, Falcon’u web posta portalları ve devlet web uygulamalarının ziyaretçilerini, doğrudan bu sitelere kötü amaçlı JavaScript yerleştirerek ele geçirmek için kullandı.” Falcon, Mart ve Mayıs 2026 arasında bir Orta Doğu ülkesi ve dört Güneydoğu Asya ülkesindeki hükümet kurumlarını hedef aldı.

59 Linux Çekirdeği Güvenlik Açığı Ortaya Çıkarıldı

Microsoft, Mayıs sonundan Haziran ortasına kadar 2026’da Linux çekirdeği alt sistemlerinin bir alt kümesini taramasının, 59 kamuya açık rapor ve 33 atanmış CVE için temel oluşturan 26.502 ham bulgu ortaya çıkardığını belirtti. Bu, CVE-2026-64563 gibi sekiz CVE için çalışan root ayrıcalık yükseltme açıklarını içeriyor.

Microsoft’a göre, “CVE-2026-64563, Linux çekirdeğinin paylaşılan yeniden boyutlandırılabilir hash tablosu olan rhashtable’da tek satırlık bir durum sıfırlama hatasıdır.”

Orta Asya’da Yapay Zeka Destekli Casusluk

Açıkta kalan bir Silent Lynx sunucusu, Nisan’dan Ekim 2026’ya kadar Orta Asya hükümetlerini ve kritik altyapıyı hedef alan siber casusluk operasyonlarını ortaya çıkardı. CloudSEK’e göre, “Dizin, grubun araçlarını, bölgedeki hükümet ve kritik altyapı kuruluşlarına yönelik aktif saldırılardan elde edilen verileri ve operatörün bunları çalıştırmak için güvendiği yapay zeka ajanını içeriyordu.”

Yüklenici Erişimi Fidye Yazılımı Saldırılarını Besliyor

Citrus adlı yeni bir Rusça konuşan fidye yazılımı grubu, kurumsal ortamlardaki Windows sistemlerini hedef alıyor. Saldırganların, ele geçirilmiş yüklenici hesapları aracılığıyla erişim sağladığı ve saldırının sonraki aşamalarında yapay zeka tarafından oluşturulan PowerShell betiklerini, toplu iş dosyalarını ve komutları kullandığı tespit edildi.

Kaspersky’den Stanislav Larinsky, “Citrus, yapay zeka tarafından oluşturulan içeriğin ele geçirilmiş sistemlerdeki manuel saldırı faaliyetlerini destekleme şekliyle öne çıkıyor” dedi.

Kötü Amaçlı Yapay Zeka Ajanları OAuth Onayını İstismar Ediyor

Proofpoint, “OAuth onay istismarının bir sonraki evrimi” olarak tanımlanan BluePhishing adlı yeni bir tekniğin ayrıntılarını açıkladı. Bu teknik, kötü niyetli aktörlerin ilk erişim için Microsoft Entra Agent ID gibi ajan kimliklerini kullanmasına olanak tanıyor.

Proofpoint, “BluePhishing, kurbanları ilk erişim için kötü amaçlı bir ajan planına onay vermeye sosyal mühendislikle ikna ediyor” dedi.

Yapay Zeka Yaş Kontrolleri Dünya Çapında Genişliyor

Meta, yapay zeka yaş tahmini teknolojisini dünya çapında genişleterek milyonlarca genci Instagram’da otomatik olarak Genç Hesap korumalarına yerleştireceğini duyurdu. Meta, “Yapay zeka teknolojisini kullanarak, yetişkin doğum günü kullansalar bile genç olduğundan şüphelendiğimiz kişileri buluyor ve onları Genç Hesap korumalarına yerleştiriyoruz” dedi.

Exchange Geçişleri için OAuth Desteği

Microsoft 365 Posta Kutusu Çoğaltma Hizmeti (MRS), Microsoft 365 ile şirket içi Exchange ortamı arasında posta kutularını taşırken bir kimlik doğrulama yöntemi olarak OAuth desteği ekledi. Microsoft, “OAuth for MRS yapılandırıldıktan sonra, kiracı yöneticileri bir OAuth geçiş uç noktası oluşturabilir ve bunu geçiş toplu işlemlerinde veya işe alım ve işten çıkarma taşıma işlerinde kullanabilir” dedi.

NTLM İmzalama Röle Saldırılarına Karşı Güçlendirildi

Microsoft, 10 Kasım 2026’dan itibaren Windows’a ek korumalar ekleyerek, Uzaktan Yordam Çağrısı Çalışma Zamanı’ndaki kritik bir uzaktan kod yürütme güvenlik açığı olan CVE-2026-118737’yi (CVSS puanı: 8.1) ele aldı. Microsoft, “Bu güncellemeler, NTLM mesaj imzalama iyileştirmelerinin ilk aşamasını temsil ediyor” dedi. Windows sunucuları, Mayıs 2027’den itibaren varsayılan olarak NTLM imzalamayı zorunlu kılmaya başlayacak.

Açıkta Kalan Bulut Kimlik Bilgileri 18 Ay Boyunca Kaldı

Birleşik Krallık Konut, Topluluklar ve Yerel Yönetim Bakanlığı’nın (MHCLG) yürütme ajansı olan Planlama Müfettişliği’ni etkileyen, şimdi yamalanmış bir güvenlik açığı hakkında ayrıntılar ortaya çıktı. Sorun, GitHub deposuna düz metin olarak işlenmiş eksiksiz bir Microsoft Entra ID uygulama kimlik bilgisini içeriyordu.

ControlPlane’e göre, “Dalından kaldırılmış olmasına rağmen, taahhüt zorla itme yoluyla yetim bırakıldı ve GitHub’ın ham nesne CDN’si aracılığıyla 18 ay boyunca alınabilir durumda kaldı.”

Sahte Yazılım Siteleri Bilgi Hırsızlığı Yazılımı Yayıyor

Bir SEO zehirlenmesi kampanyası, Chocolatey paket yöneticisini ve Microsoft Aktivasyon Betikleri (MAS) aracını taklit eden sahte web sitelerini kullanarak Python tabanlı bir kötü amaçlı yazılım olan Armorsteal’ı dağıtıyor. Zscaler’a göre, “Yükleyici, uzaktan erişim, gözetim ve bilgi hırsızlığı yetenekleri sağlayan bir Python 3.11 çalışma zamanı ortamı ve üç ana bileşen dağıttı.”

Yerelleştirilmiş Kimlik Avı Bankacılık Truva Atı Dağıtıyor

Yeni bir Grandoreiro bankacılık kötü amaçlı yazılım kampanyası, Arjantin, Şili, Kolombiya, Meksika ve Peru’daki kullanıcıları, her bölgeye özel olarak uyarlanmış ülke bazlı kimlik avı yemleri aracılığıyla hedef alıyor. Arctic Wolf’a göre, “Kampanya, çoğunlukla İspanyolca olan yerelleştirilmiş kimlik avı yemleri kullanıyor; bazıları İspanyolca konuşan ülkeleri hedeflerken bile Portekizce kullanıyor.”

Yapay Zeka Arama Sonuçları Dolandırıcılık Siteleri Tarafından Hedef Alınıyor

Palo Alto Networks Unit 42, 26 alanda dolaylı bir istem enjeksiyonu (IDPI) kampanyası tespit ettiğini belirtti. Unit 42, “Bunlar, yapay zeka destekli arama sonuçlarını manipüle etmek için black-hat Üretken Motor Optimizasyonu (GEO) deniyor” dedi. Bu siteler, kullanıcı bilgilerini toplamak için tasarlanmış dolandırıcılık siteleri gibi görünüyor.

PyPI Sürüm Doğrulama Sinyalleri Ekliyor

Python Paket Dizini (PyPI), proje sayfalarına bir güvenlik sekmesi ekleyerek geliştiricilere güvenlik sinyallerine kolay erişim sağladı. PyPI, “Yeni güvenlik sekmesi, sürüm kaynak durumlarını iletiyor ve dosya başına onayları görüntülüyor, böylece sürüm dosyalarının nereden geldiğini doğrulamak için özel bir yer sağlıyor” dedi.

100’den Fazla Alan Adı Kimlik Bilgisi Hırsızlığı Yazılımı Yayıyor

RevStealer olarak bilinen bilgi hırsızlığı yazılımı, oyun hileleri ve yapay zeka araçlarını yem olarak kullanan “endüstriyel ölçekli, finansal amaçlı bir kampanya” kapsamında yayılıyor. Bağımsız düşman araştırma grubu Akatsuki Legion’a göre, yük, 100’den fazla birbirine bağlı alan adı, Anthropic’in Claude Opus 5’ini taklit eden Truva atlı Electron uygulamaları ve ele geçirilmiş YouTube dağıtım kanalları aracılığıyla dağıtılıyor.

Yapay Zeka Altyapısı Bir Saldırı Hedefi Haline Geliyor

Sekoia’ya göre, tehdit aktörleri son birkaç aydır yapay zeka orkestrasyon platformlarını giderek daha fazla hedef alıyor. Bunun nedeni, “API anahtarlarını, kurumsal verileri ve harici araçlara erişimi yoğunlaştırmalarıdır” dedi. Buna, CVE-2025-59528 ve CVE-2026-41264 gibi birden fazla güvenlik açığından etkilenen Flowise de dahildir.

Yapay Zeka Destekli Kimlik Avı Kitleri Çoğalıyor

LevelBlue, BlackApex, DarkApex, SPY, XXX101-TOKEN, OGPARKER1, W1-TOKEN ve ALIBOBO-TOKEN adlı bir kimlik avı kitleri ailesinin ayrıntılarını açıkladı. Bu kitler, paylaşılan belge yemleri kullanarak cihaz kodu kimlik avı saldırılarını kolaylaştırmak için kullanılıyor.

LevelBlue, “Tüm yemlerinde, kaynak, doğrudan bir dil modeline verilen istemlerden veya bir yapay zeka kodlama asistanıyla çalışan bir kişiden olsun, yapay zeka tarafından oluşturulan kodla ilişkilendirdiğimiz özellikleri gösteriyor” dedi.

Yapay Zeka Signal Güvenlik Özelliklerini Doğruluyor

Google’ın DeepMind’i, yazılımı doğrulamak ve amaçlandığı gibi çalıştığını matematiksel olarak kanıtlamak için insan uzmanları ve yapay zeka ajanlarını bir araya getiren AlphaProof Code’u tanıttı. Bu çok ajanlı yapay zeka çerçevesi, Signal protokolünün referans uygulaması olan libsignal’ın temel güvenlik özelliklerini makine kodu düzeyinde kanıtlamak için kullanıldı.

DeepMind, “Libsignal’a uygulandığında, ajanlarımız yaklaşık 6,5 milyon satır makine tarafından kontrol edilen Lean kanıt kodu üretti” dedi.

Bu hafta bazı saldırılar dikkatlice planlanmış, diğerleri ise eski hatalara, güvenilir hesaplara veya yanlış bir şeye tıklayan birine dayanıyordu. Yapay zeka, saldırıları oluşturmayı kolaylaştırırken araştırmacıların sorunları daha hızlı bulmasına yardımcı olarak her iki tarafta da ortaya çıkıyor. Araçlar değişmeye devam ediyor, ancak saldırganlar hala işe yarayan her şeyi kullanmaktan mutlu görünüyor.

İyi haber şu ki, bu tehditlerin bazıları durduruluyor ve savunmalar yavaş yavaş yetişiyor. Kötü haber ise, bir hatayı düzeltmek, bir dosyayı kaldırmak veya bir saldırganı engellemenin her zaman sorunun ortadan kalktığı anlamına gelmemesidir. Bazen hasar, herkesin beklediğinden daha uzun sürer. Bir sonraki manşetler gelmeden önce akılda tutulması gereken bir nokta.