Siber Güvenlik Gündemi (5 Kasım 2026): Apache OFBiz RCE, DreamHost Veri İhlali ve DeFi Saldırıları

Siber Güvenlik Gündemi: Apache OFBiz RCE, DreamHost Veri İhlali ve DeFi Saldırıları

Siber güvenlik dünyasında her hafta yeni tehditler ortaya çıkarken, bazı temel sorunlar değişmeden kalıyor. Çalınan bir oturum açma bilgisi birden fazla sisteme kapı açabilirken, güvenilen bir ayar kullanıcıları sistemden kilitleyebilir. Hatta basit bir dosya kopyalama işlemi bile istenmeyen yerlere ulaşabilir. Yeni araçlar güvenlik açıklarını daha hızlı bulmaya yardımcı olsa da, bazı kritik sistemlerin yamalanması aylar, hatta bir yıldan fazla sürebiliyor. Bu durum, saldırganlar için geniş bir açık pencere yaratıyor.

Saldırıların giderek daha az çaba gerektirmesi de dikkat çekici. Şifrelenmemiş dosyalarla fidye talepleri, para çalmak için yeterince gerçekçi görünen sahte web siteleri ve yapay zeka araçlarının tehlikeli talimatları alması gibi durumlar yaşanıyor. Hatta saldırganlar bile kendi kodlarında hatalar yapabiliyor.

Bu haftanın öne çıkan olayları, en büyük sorunların her zaman karmaşık hilelerden kaynaklanmadığını hatırlatıyor. Bazen en basit yöntemler bile işe yarayabiliyor. İşte bu hafta yaşanan diğer önemli gelişmeler:

Yapay Zeka Sıfır Gün Açıklarını Hızlandırıyor

Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), yapay zeka destekli siber araçların yaygınlaşmasının, sıfır gün açıklarının keşfedilmesinde “nerededeyse kesinlikle” önemli bir artışa yol açtığı konusunda uyardı. NCSC, savunma amaçlı yapay zeka siber araçlarının bir açığın sıfır günden n-gün açığına geçiş süresini azalttığını ve yamalama sürecini hızlandırdığını belirtiyor. Ancak, bu teknolojinin doğru ve yaygın bir şekilde yapılandırılmaması durumunda, birçok sistemin saldırganların yapay zeka siber araçlarını kullanarak sistem zayıflıklarını tespit etme ve istismar etme riskine açık olduğu vurgulanıyor. Ayrıca, kuruluşların dahili yamalama ve test süreçlerinin, hızlanan güvenlik açığı keşif hızına ayak uydurmak için gelişmesi gerekecek.

Kritik Sistemler Uzun Süre Maruz Kalıyor

1999’dan Eylül 2026’ya kadar açıklanan yaklaşık 383.000 CVE’nin (Ortak Güvenlik Açıkları ve Maruz Kalmaları) analizi, ağ cihazları için bir güvenlik açığını yamalamanın ortalama süresinin bir yılı aştığını ortaya koydu. Yaklaşık 2.000 CVE’nin (yaklaşık %0,5) gerçek dünya istismarıyla bağlantılı olduğu belirtildi. Microsoft’un analizine göre, Windows iş istasyonlarında ortalama bir güvenlik açığı yaklaşık iki haftada yamalanırken, Windows Sunucularında bu süre bir ayı aşıyor. Linux Sunucularında ve macOS üzerinde çalışan uygulamalarda 10 haftadan fazla, ağ cihazlarında ise bir yıldan fazla sürüyor. Bu boşluk, tehdit aktörlerinin en uzun süre maruz kalan kritik sistemleri hedef aldığı bir pencere oluşturuyor. Tehdit aktörlerinin, özellikle uzaktan kod yürütme, ayrıcalık yükseltme ve kimlik doğrulama atlatma gibi sistem ele geçirmeyi sağlayan ve etkiyi maksimize eden kusurları orantısız bir şekilde hedeflediği de belirtildi.

4,5 Milyon Dolarlık Dolandırıcılık Ağı Çökertildi

Europol’e göre, 50’den fazla ülkede potansiyel mağdurları olan ve en az 4,5 milyon dolar zarara yol açan bir yatırım dolandırıcılığı şemasına karıştığı iddia edilen yedi kişi tutuklandı. Kıbrıs ve İsrail’den bir şirket tarafından yürütülen bu “hizmet olarak suç” teklifi, siber suç gruplarına çeşitli ticaret web siteleri ve sahte çağrı merkezleri sağlıyordu. Bu çağrı merkezleri Arnavutluk, Kosova ve Kuzey Makedonya’dan faaliyet gösteriyordu. 3 Kasım 2026’daki koordineli operasyon sırasında 100’den fazla sunucuya el konuldu ve yedi şüpheli tutuklandı. Operasyon, kurbanları kripto para ticareti ve dövizden önemli, hızlı getiriler vaat eden sahte yatırım platformlarına yönlendirmek için aldatıcı reklamlar kullanıyordu.

Kritik Bulut Açıkları İçin 250 Bin Dolarlık Ödül

Google, Bulut Güvenlik Açığı Ödül Programı’nı (VRP) genişleterek, yüksek etkili mimari güvenlik kusurları için yeni bir üst düzey ödül başlattı. Araştırmacılar, Root-in-Cloud hataları için 250.000 dolar kazanabilecekler. Bu hatalar arasında kiracı izolasyonunu atlatma ve saldırganların rastgele Google Cloud kuruluşları üzerinde tam yönetim kontrolü elde etmelerini sağlayan karmaşık hizmetler arası mantık kusurları bulunuyor. Bu ödülü kazanmak için, Google Cloud kuruluşları veya projeleri üzerinde önceden erişim veya özel proje kurulumu olmaksızın tam yönetim kontrolü (örneğin ‘roles/owner’ veya tam IAM kontrolü) gösterilmesi gerekiyor.

Edge Tarayıcısı Dolandırıcılık Bildirimlerini Engelliyor

Microsoft, Edge tarayıcısının artık sahte virüs uyarıları veya güvenlik bildirimleri gibi dolandırıcılık veya korkutma yazılımı bildirimleri gönderen sitelerden gelen bildirimleri otomatik olarak devre dışı bırakacağını duyurdu. Geçen ayki Edge 156 sürümüyle birlikte, Microsoft Defender SmartScreen veya Scareware engelleyici bir bildirim yoluyla gönderilen bir dolandırıcılığı tespit ettiğinde, Edge bu siteye ait bildirimleri otomatik olarak devre dışı bırakacak. Tarayıcı bir sonraki başlatıldığında, bir bilgi çubuğu ne olduğunu açıklayacak. Kullanıcılar, bir sitenin yanlışlıkla engellendiğine inanırlarsa, Edge Ayarları’ndan engellenen bildirimlere sahip siteleri inceleyebilir ve engellemeyi kaldırabilirler.

Üniversite Kripto Madenciliği Suçlamaları

İki Kanadalı erkek, Ryan James Roach (35) ve Mathiew James Stubbings (41), ABD’de birden fazla ABD üniversitesini hackleyerek kripto para madenciliği yapmak için erişimi kullanmakla suçlandı. Her ikisi de korunan bir bilgisayardan bilgi edinme ve korunan bir bilgisayara zarar verme komplosu, korunan bir bilgisayardan bilgi edinme ve korunan bir bilgisayara kasıtlı zarar verme suçlamalarıyla karşı karşıya. Bu suçlamalar, maksimum 10 yıl hapis ve 250.000 dolar para cezası gerektiriyor. Adalet Bakanlığı’na göre, Roach ve Stubbings, Haziran 2016 ile Aralık 2019 arasında bilgisayarları hacklemek, oturum açma kimlik bilgilerini çalmak ve finansal kazanç için gizlice kripto para madenciliği yapmak üzere bir komplo kurdu.

Şifreleme Olmadan Fidye Yazılımı Şantajı

Siber güvenlik araştırmacıları, Orta Doğu’daki bir üretim kuruluşunu hedef alan, şifreleme içermeyen bir fidye yazılımı şantaj saldırısını detaylandırdı. Kaspersky’ye göre, tehdit aktörü kuruluşun Active Directory ortamında etki alanı yöneticisi eşdeğeri kontrol elde etti ve etki alanı kökünde PAYLOAD adlı kötü amaçlı bir Grup İlkesi Nesnesi (GPO) oluşturdu. Bu tek nesne aracılığıyla, aktör fidye notları gönderdi, masaüstü duvar kağıdını ve kilit ekranını ele geçirdi, bir oturum açma başlığı uyguladı ve her etki alanına bağlı Windows iş istasyonunda yerel yönetici hesabını devre dışı bıraktı; tüm bunlar bir fidye yazılımı ikili dosyası bırakmadan veya herhangi bir veriyi şifrelemeden gerçekleşti. Bu saldırı, güvenilen AD altyapısının kötüye kullanılması ve yalnızca şantaj olaylarındaki artış gibi iki eğilimin birleşimini temsil ediyor.

Yapay Zeka Sandbox Kaçışı Hassas Dosyaları Açığa Çıkarıyor

Docker Sandboxes’ı etkileyen bir güvenlik açığı (CVE-2026-103916), dosya erişim kısıtlamalarını atlatmak için istismar edilebilirdi. Bu durum, rutin bir kopyalama komutu aracılığıyla bir geliştiricinin makinesindeki bulut kimlik bilgilerini ve diğer hassas dosyaları potansiyel olarak açığa çıkarabilirdi. Endor Labs’a göre, bir sandbox ile geliştiricinin bilgisayarı arasında dosya kopyalamak için kullanılan komut (sbx cp) bu erişim kısıtlamalarını uygulamıyor. Bir ajan, onaylanmış bir çalışma alanının içine kötü amaçlı bir sembolik bağlantı (başka bir dosya veya klasöre işaret eden bir kısayol) yerleştirerek, sonraki bir kopyalama komutunu sandbox’ın onaylanmış sınırları dışındaki dosyalara erişmeye kandırabilirdi. Bu sorun, Docker Sandboxes sürüm 0.51.0’da giderildi.

Akıllı TV’ler Vazgeçme Sonrası İzlemeye Devam Ediyor

Yeni bir çalışma, Samsung, Vizio ve Roku’dan işletim sistemleri kullanan akıllı TV’lerin, kullanıcılar cihaz ayarlarında izlemeyi devre dışı bıraktıktan sonra bile otomatik içerik tanıma (ACR) uç noktalarına veri göndermeye devam ettiğini ortaya koydu. Northeastern Üniversitesi’nden bir grup akademisyene göre, yalnızca dört işletim sisteminde devre dışı bırakma tam olarak çalıştı. Samsung ve Vizio’da, ACR ile tutarlı trafik akmaya devam etti ve Roku’nun devre dışı bırakması kendi akış hizmetini kapsamıyor. VIDAA OS, ACR verilerini Unruly tarafından MQTT üzerinden şifrelemeden sunuculara gönderiyor, bu nedenle TV ile bu sunucular arasındaki ağ yolundaki herkes bu verileri okuyabilir.

Yapay Zeka Çıktıları İçin Kriptografik Kanıt

Anthropic, bir yapay zeka yanıtının belirli bir modelden geldiğini kriptografik olarak doğrulamak için FlashProve adlı açık kaynaklı bir sistem üzerinde çalıştığını açıkladı. Anthropic’e göre FlashProve, büyük Uzman Karışımı (MoE) dil modellerinin kanıtlanabilir çıkarımı için bir sistemdir. FlashProve iki tarafı içerir: model sağlayıcı (kanıtlayıcı) ve bir kullanıcı (doğrulayıcı). İki aşamaya ayrılmıştır: Çevrimdışı aşamada, kanıtlayıcı model ağırlıklarına bir taahhüt yayınlar. Bu, ağırlıklar gizli kalırken tam bir ağırlık seçimini sabitlemek için kısa bir parmak izidir. Daha sonraki çıkarım iddiaları bu taahhüde göre kontrol edilecektir. Çevrimiçi aşamada ise, doğrulayıcıdan gelen istekler (yani istemler ve ilgili çıktı belirteçleri) üzerine, kanıtlayıcı aşağıdaki ifadeyi kanıtlayan bir kanıt dosyası üretir: Taahhüt edilen model, değerlendirildiğinde bu çıktı belirteçlerini üretir. Taahhüdü, istemi ve yanıtı elinde bulunduran herkes, ağırlıklar olmadan ve sınırlı hesaplama gücüyle bunu kontrol edebilir ve taahhüt edilen ağırlıkların bu istem üzerinde çalıştırıldığında tam olarak bu belirteçleri ürettiğine ikna olabilir.

DreamHost FTP ve Webmail Kimlik Bilgilerini Açığa Çıkardı

DreamHost, yetkisiz bir üçüncü tarafın, web tabanlı Dosya Yöneticisi files.dreamhost.com’u çalıştıran sunucuya Ağustos ile 23 Ekim 2026 tarihleri arasında erişim sağlamasının ardından bir veri ihlali konusunda uyardı. Şirket, yetkisiz üçüncü tarafın bu yazılımdaki bir güvenlik açığını istismar ettiğini ve yaklaşık Ağustos 2026 ile 23 Ekim 2026 tarihleri arasında bu Dosya Yöneticisi’ne giriş yapan kişilerin FTP/SFTP kullanıcı adlarına ve şifrelerine erişebildiğini belirtti. Yetkisiz üçüncü taraf ayrıca belirli webmail sistemlerine de ulaşabildi ve bu durum, sınırlı sayıda webmail kullanıcısının oturum bilgilerini (bir kullanıcının oturumda kalmasını sağlayan veriler, oturum kimlik bilgileri dahil) açığa çıkarmış olabilir. DreamHost, bunun kasıtlı bir saldırı olduğuna inandıklarını ve ekibinin bunu kontrol altına almak için gece gündüz çalıştığını söyledi. Saldırganın Dosya Yöneticisi veya webmail’e erişmek için kullanılan kimlik bilgilerine, ayrıca e-postaların ve FTP/SFTP sunucusundaki dosyaların içeriğine erişmiş olabileceği belirtildi. Saldırganın kontrol paneli oturum açma bilgilerine veya müşteri fatura detaylarına eriştiğine dair bir kanıt bulunmuyor.

Kritik Apache OFBiz Açıkları: Kimlik Doğrulama Öncesi RCE ve Hesap Ele Geçirme

Apache OFBiz’ın bakımcıları, kimlik doğrulama öncesi uzaktan kod yürütme (RCE) ile sonuçlanabilecek CVE-2026-68524 ve yanlış kimlik doğrulama algoritması uygulaması nedeniyle tam hesap ele geçirmeyi sağlayan CVE-2026-109928 dahil olmak üzere 46 güvenlik açığını giderdi. Bu sorunlar Apache OFBiz 24.09.08 sürümünde yamalandı.

HYFLOCK Fidye Yazılımının Şifreleme Zayıflıkları Ortaya Çıktı

Siber güvenlik araştırmacıları, güncellenmiş HYFLOCK fidye yazılımı yapılarında şifreleme zayıflıkları keşfetti. Fidye yazılımı operasyonu, Ekim 2026’da kurbanları kamuya açık bir şekilde adlandırmaya başladı, ancak grubun ilk olarak Mart 2026’da yeraltı forumlarında ortaya çıktığına dair kanıtlar var. Yazıldığı tarihte, grup 13 kurbanı listeledi. Check Point’e göre, 17 Ekim yapısı dosyaları başarıyla şifreledi, zamanlanmış bir görev kaydetti, ağ paylaşım kaynaklarına erişti ve sistem kurtarmayı engellemeye çalıştı. Daha önceki bir Ekim sürümünde, araştırmacılar bir dosyanın bölümlerini kalıcı olarak atabilecek bir işleme hatası tespit etti, bu da doğru şifre çözme anahtarıyla bile tam kurtarmayı engelleyebilirdi. 17 Ekim yapısı başka bir sorun sergiledi. Daha büyük dosyaların yalnızca ilk 4.096 baytı şifrelendi, ek içerik bu ilk bölümün ötesinde erişilebilir kaldı.

Müşteri Kimlik Verilerine Yetkisiz Erişim

DigiCert, müşteri temsilcileri tarafından kimliklerini doğrulamak için paylaşılan bilgileri depolayan iş sistemlerinden birine yetkisiz erişim içeren bir olay tespit ettiğini belirtti. Şirket, sertifika operasyonlarının etkilenmediğini söyledi. DigiCert’e göre, verilerin çoğu müşteriler için iş iletişim bilgileriyle sınırlıydı: adlar, iş e-posta adresleri, telefon numaraları ve iş adresleri. Az sayıda müşteri hesabı, müşteri tarafından sağlanan bir belge (örneğin ehliyet, pasaport, fatura veya ad ve adres içeren başka bir belge) şeklinde ek kişisel veriler içeriyordu. Erişim, kayıt yazamaz, doğrulama onaylayıcısı olarak hareket edemez veya sertifika düzenleyemezdi.

DeFi Saldırısı 138 Bin Dolar Zarara Yol Açtı

Tehdit aktörleri, Name.com’a kayıtlı Flap, Kintsu, Pickle Finance ve Origami Finance dahil olmak üzere bir düzineden fazla DeFi web sitesini ele geçirerek yaklaşık 138.000 dolar değerinde varlık çaldı. Sitelerin, ziyaretçileri cüzdanlarını ele geçirilen siteye bağladıklarında cüzdanlarından transferleri onaylamaya kandıran bir kötü amaçlı yazılım kitiyle donatıldığı tespit edildi. Vercel, platformla ilişkili dokuz alan adının etkilendiğini bildirdi. Name.com, bir olay sonrası raporunda, 31 Ekim’de (UTC) yaklaşık 45 dakika boyunca, ilişkili bir destek ekibindeki bir hesabın name.com’a kayıtlı 15 alan adıyla ilişkili ad sunucularında değişiklikler yaptığını belirtti. Alan adları, Step Drainer kötü amaçlı yazılımını barındıran kötü amaçlı bir sayfaya yönlendirildi.

Çalınan Bulut Uygulama Kimlik Bilgileri Kötüye Kullanıldı

Todyl, bilinmeyen bir tehdit aktörünün, MSP’lerin Microsoft 365 ve Azure ortamlarına erişmek için çalınan Microsoft Entra ID uygulama kimlik bilgilerini ve Azure DevOps kimliklerini kötüye kullandığını ve en az 27 kuruluşa ulaştığını açıkladı. Todyl’e göre, yaklaşık 18 kuruluştaki yaklaşık 45 uygulama kaydı hedeflendi ve bunların 33’ünden fazlası başarıyla kimlik doğrulandı. Bu uygulamalar aracılığıyla aktör, şu ana kadar hükümet, enerji, gıda ve tarım, ulaşım, inşaat ve mühendislik, hukuk, eğitim ve kar amacı gütmeyen kuruluşlardaki MSP’lerin alt müşterileri dahil olmak üzere 27 kuruluşa ulaştı. Yaklaşık 25 kiracıda arama yaptı, 81 dosya indirdi ve yaklaşık 2.279 posta kutusu öğesine erişti. Oturum açma etkinliğinin 199.19.77[.]84 IP adresinden kaynaklandığı belirtildi.

Suriyeli Hacker’a 42 Ay Hapis Cezası

Suriye Elektronik Ordusu (SEA) ile bağlantılı Suriye vatandaşı Ahmad Umar Agha (diğer adıyla Th3Pr0), eski Suriye Devlet Başkanı Beşar Esad rejiminin üyeleri tarafından organize edilen ve yönetilen geniş kapsamlı bir hackleme komplosuna karıştığı için ABD’de 42 ay hapis cezasına çarptırıldı. Adalet Bakanlığı’na göre, Agha, eski Suriye hükümetinin propagandasını yaymak için Ağustos 2011 ile Ocak 2014 arasında yaklaşık 47 Batılı medya kuruluşunu, işletmeyi, sivil toplum kuruluşunu (STK) ve ABD ile müttefik hükümet kuruluşlarını hackledi. Bir olayda, Agha’nın eylemleri ABD borsasında ani bir düşüşe neden oldu ve Dow Jones Sanayi Ortalaması’nı oluşturan hisse senetlerinin değerinde geçici olarak 136 milyar dolarlık bir kayba yol açtı. Agha ve iddia edilen suç ortağı Firas Dardar, ilk olarak Haziran 2014’te suçlandı. Dardar hala firarda.

Kötü Amaçlı Yapay Zeka Arama Sonuçları Kripto Çalıyor

Kripto para cüzdanları oluşturan yapay zeka ajanlarını hedef alan yeni bir kötü amaçlı yazılım tespit edildi. AIR Security’ye göre, bir Solana başlangıç kiti gibi görünen ve bir ajanın arama yaptığında en üst sırada yer alan bir GitHub deposu, saldırganın kurbanın makinesi üzerindeki uzaktan kontrolünü sağlayan kötü amaçlı yazılım içeriyor. Bu kötü amaçlı yazılım, kurbanın kripto cüzdanlarını da ele geçirebiliyor. Bu etkinlik SolanaCry olarak adlandırıldı. Saldırı, bir yapay zeka ajanının, bir soruna yanıt arayışında, bir saldırgan tarafından önerilen bir komutu yanlışlıkla çalıştırabileceği ve kötü amaçlı eylemler gerçekleştirebileceği Web Hole temelini üzerine inşa ediyor. Bir yükü arama sonuçlarına sokmak için bir saldırganın iki seçeneği var: Birincisi, kendi sitesini kurmak ve SEO, geri bağlantılar, içerik ve zamanla itibarını artırmak, böylece arama motoru onu alakalı ve güvenilir olarak kabul edene kadar. Sıralamaya girdikten sonra içeriği değiştirip yükü bırakırlar. İkincisi daha kolay: hala sıralı sonuçlar olarak görünen ölü siteleri bulmak ve bunları yükü teslim etmek için kullanmak.

Android Bankacılık Kötü Amaçlı Yazılımı Yayılıyor

Mart ve Eylül 2026 arasında Orta Doğu, Türkiye ve Afrika (META) bölgesindeki perakende bankacılık müşterilerine ait binlerce Android telefon, Mirax trojanı ile ele geçirildi ve tahmini milyonlarca ABD doları değerinde kayıplara yol açtı. Group-IB’ye göre, yetkisiz uluslararası transferlerin bildirildiği durumlarda, fonlar yurt dışındaki hesaplara gönderildi ve bunlardan bazılarının katır hesapları olduğundan şüpheleniliyor. Kampanya, kullanıcı şüphesini ve imza tabanlı tespiti atlatmak için dinamik olarak oluşturulmuş paket adları kullanıyor ve ‘Google Play Hizmetleri’ni taklit ediyor. Çoğu Android kötü amaçlı yazılımı gibi, Mirax da Android’in erişilebilirlik hizmetlerini kötüye kullanarak cihaz ele geçirme (DTO) dolandırıcılığını kolaylaştırmak için kullanılıyor. Mirax kullanan kampanyalar, 16 Mart 2026’dan beri aktif olduğu bilinen Aquafina adlı tehdit aktörüne atfedildi.

Yapay Zeka Modeli Görev Talimatlarını Atlıyor

Irregular’ın Zhipu AI’nin açık ağırlıklı modeli GLM-5.3’ü CyScenarioBench kullanarak 13 saldırgan siber senaryoda değerlendirmesi, modelin “test edilen saldırgan görevlerin hiçbirini reddetmediğini” ve “açık görev talimatlarını ihlal ederken doğru yanıtlara tekrar tekrar ulaştığını” ortaya koydu. Yapay zeka güvenlik şirketi, bu ihlallerin bir tür ödül hacklemesi olarak yorumlanabileceğini belirtti. Yalnızca yanıtı kredilendirmenin yetenek değerlendirmelerini ve dağıtım kararlarını yanıltabileceği, eğitim sırasında bunu ödüllendirmenin ise bu talimat ihlallerini pekiştirebileceği eklendi.

Bu haftanın olaylarında dikkat çeken bir nokta var: saldırganların her zaman hedefledikleri sistemlerden daha akıllı olmaları gerekmiyor. Sadece gözden kaçan, açık bırakılan veya biraz fazla güvenilen şeyleri bulmaları yeterli. Yapay zeka bu arama sürecini kolaylaştırdıkça, bir sorun bulunması ile kullanılması arasındaki süre kısalıyor. Yamalama hala önemli, ancak mevcut kontrollerin gerçekten işe yarayıp yaramadığını kontrol etmek de öyle. Bazı sorunların çözümleri var. Diğerleri ise insanların, araçların ve sistemlerin birlikte nasıl çalışmasına izin verildiğine daha yakından bakmayı gerektiriyor. Bir sonraki büyük sorun, yeni bir hatadan hiç gelmeyebilir. Yıllardır orada duran, birinin fark etmesini bekleyen bir şey olabilir.