Siber Güvenlik Haftalık Özeti: SSHole İstismarı, APT Kök RCE ve Yapay Zeka Destekli Saldırılar

Siber Güvenlik Haftalık Özeti: SSHole İstismarı, APT Kök RCE ve Yapay Zeka Destekli Saldırılar

Sistemlere sızmak için her zaman karmaşık güvenlik açıklarına ihtiyaç duyulmaz; bazen boş bir parola bile yeterli olabilir. Bu hafta siber güvenlik dünyasında öne çıkan konulardan biri buydu.

Ayrıca, sistemleri güncel ve güvenli tutması beklenen araçların bile saldırıların bir parçası haline gelmesi endişe verici boyutlara ulaştı. Saldırganlar, normal web trafiğinin içine gizlenerek, ağ cihazlarından kimlik bilgilerini çalarak ve açıkta kalan sistemler için yeni kullanım alanları bularak faaliyetlerini sürdürüyor.

Yapay zeka, bazı saldırıların hızını artırırken, eski hatalar da işin büyük bir kısmını üstleniyor. Aylar önce yapılan küçük değişiklikler ve unutulan ayarlar bile sorunlara yol açabiliyor.

Bu haftanın haberlerinde ilginç araştırma bulguları, yeni saldırılar ve ciddiye alınması gereken uyarılar yer alıyor. İşte öne çıkanlar:

Haftanın Tehdidi

OpenSSH Güvenlik Açığı İstismar Ediliyor — Tehdit aktörleri, yakın zamanda açıklanan ve parola ayarlanmamış hesaplara oturum açmayı sağlayan bir OpenSSH güvenlik açığını istismar etmeye çalışıyor. CVE-2026-123158 (CVSS puanı: 8.1) olarak izlenen ve SSHole (veya *sshole) olarak adlandırılan bu güvenlik açığı, musl C kütüphanesi üzerinde Pluggable Authentication Modules (PAM) devre dışı bırakılmış OpenSSH çalıştıran Linux sistemlerini etkiliyor. Bu durum, Alpine Linux’un varsayılan OpenSSH sunucu yapılandırmasını da kapsıyor.

9 Kasım 2026 itibarıyla Danimarka, İran, Japonya, Hollanda, Norveç, Singapur, İsveç, İsviçre ve ABD’den 13 farklı IP adresinden toplam 20 istismar girişimi kaydedildi.

Önemli Haberler

• Trojanlı CWP Web Sunucusu ile CWPdoor Dağıtımı — CWPdoor adlı yeni bir Linux zararlı yazılımı, Control Web Panel’i güçlendiren dahili daemon ve web sunucusu olan cwpsrv’nin trojanlı bir sürümü aracılığıyla dağıtılıyor. XLab’e göre, “cwpsrv_update.sh” adlı bir kabuk betiği, uzak bir sunucudan (“136.0.141[.]71”) “cwpsrv” dosyasını indirerek sistemdeki meşru dosyayı değiştiriyor. XLab, “İndirilen cwpsrv, saldırgan tarafından belirtilen komutları uzaktan yürütmek için HTTP/HTTPS trafiğindeki belirli başlıklarla tetiklenebilen pasif bir arka kapıdır” dedi.
• Debian ve Ubuntu APT Güvenlik Açığı Kök Yetkili Kod Yürütmeye İzin Veriyor — APT paket yöneticisindeki bir güvenlik açığı (CVE-2026-109518, CVSS puanı: 7.7), belirli koşullar altında bir paketin yüklenmesine ve yükseltilmiş ayrıcalıklarla kod yürütülmesine olanak tanıyor. Bu sorun Ubuntu ve Debian işletim sistemlerini etkiliyor. Amazon, “Belirli koşullar altında, APT HTTP paket kaynaklarını yeniden deneme ayarları etkinleştirilmiş olarak kullanacak şekilde yapılandırıldığında, ana bilgisayar ile paket aynası arasında ağ konumuna sahip üçüncü bir taraf, APT’nin doğrulamadan geçmeyen bir paketi yüklemesine neden olabilir” şeklinde bir uyarı yayınladı.
• CERT-In, Finans Kuruluşlarını Hedef Alan Yapay Zeka Destekli Saldırılar Hakkında Uyarıyor — Hindistan Bilgisayar Acil Durum Müdahale Ekibi (CERT-In), Crafty Falcon olarak izlediği yapay zeka (AI) destekli bir tehdit aktörünün ülkedeki Bankacılık, Finansal Hizmetler ve Sigorta (BFSI) sektörlerindeki kuruluşları hedef aldığını açıkladı.
• Zyxel, Yaklaşık 1.000 Ağ Anahtarını Hacklemek İçin İstismar Edilen 0-Gün Açığını Düzeltti — Zyxel, GS1900 serisi ağ anahtarlarındaki bir sıfır gün güvenlik açığını (CVE-2026-107441, CVSS puanı: 8.8) düzeltti. Tehdit aktörleri bu açığı kullanarak dünya genelinde yaklaşık 1.000 cihazı ele geçirmiş ve yapılandırma dosyaları ile kimlik bilgilerini çalmıştı.
• cPGuard Güncelleme Mekanizması Arka Kapı Dağıtımı İçin Ele Geçirildi — Bilinmeyen tehdit aktörleri, cPGuard web güvenlik paketinin güncelleme altyapısını ele geçirerek bir arka kapı ve veri çalan bir betik dağıttı. OPSSHIELD, “2 Kasım 2026 TSİ 02:06’da, kimliği belirsiz bir saldırgan, ele geçirilmiş kimlik bilgilerini kullanarak OPSSHIELD’in güncelleme dağıtım altyapısına (CDN) yetkisiz erişim sağladı” dedi.
• mSecure Müşterilerini Parolalarını Değiştirmeye Çağırıyor — Parola yöneticisi mSecure, şüpheli etkinlik tespit ettikten sonra müşterilerini parolalarını değiştirmeye, iki faktörlü kimlik doğrulamayı sıfırlamaya ve potansiyel olarak geçiş anahtarlarını kaldırmaya çağırdı. Ancak şirket, ne olduğunu veya herhangi bir sırrın açığa çıkıp çıkmadığını açıklamadı.

Trend Olan CVE’ler

Her hafta yeni güvenlik açıkları ortaya çıkıyor ve yama ile istismar arasındaki süre hızla daralıyor. Bu hafta öne çıkanlar: yüksek ciddiyetli, yaygın olarak kullanılan veya zaten sahada istismar edilmeye çalışılanlar.

Listeyi kontrol edin, sahip olduklarınızı yamalayın ve acil olarak işaretlenmiş olanlara öncelik verin:

• CVE-2026-16305, CVE-2026-16306 (INFINITT PACS)
• CVE-2026-13684, CVE-2026-13639, CVE-2026-13673, CVE-2026-6205 (Synology DSM)
• CVE-2026-58868, CVE-2026-58882 (Google Android)
• GHSA-f3w6-w445-fwh9 (Ruby on Rails)
• CVE-2026-102703, CVE-2026-102704 (Xen)
• CVE-2026-109518 (Debian apt)
• CVE-2026-98432, CVE-2026-121639, CVE-2026-121638, CVE-2026-121640 (WatchGuard)
• CVE-2026-76506 (Cisco)
• CVE-2026-119741 (rsync)
• CVE-2026-121156, CVE-2026-121229, CVE-2026-121246, CVE-2026-121035, CVE-2026-121247, CVE-2026-121203, CVE-2026-121126 (Google Chrome)
• CVE-2026-98432 (Veeam)
• CVE-2026-83844 (Microsoft Paint)
• CVE-2026-19868 (SonicWall SonicOS)
• CVE-2026-123158 (OpenSSH)
• BaseChat Android uygulamasının 9.8.1 sürümündeki birden fazla güvenlik açığı.

Siber Dünya Çevresinde

• Rusça konuşan fidye yazılımı hizmeti (RaaS) operasyonu olarak bilinen Qilin (diğer adıyla Agenda), 2024’te 179 halka açık saldırı kaydetti ve 2025’te 1.000’den fazla mağdur iddia etti. Bu yıl tek başına 900’den fazla mağdur iddia ederek en aktif fidye yazılımı gruplarından biri haline geldi.
• Açıkta kalan Dixell/Copeland XWEB PRO soğutma kontrolörleri, SecurityScorecard’ın ortaya çıkardığı ve onaylanmış soğutma kontrolörlerini içeren şüpheli bir SMTP botnet’i tarafından kötüye kullanım altyapısına dönüştürülüyor.
• PhantomDOM adı verilen hedeflenmiş bir Browser-in-the-Middle (BitM) kimlik avı operasyonu, Microsoft 365 oturumlarını ele geçirmek için özel DOM yansıtma kullanıyor.
• Kar amacı gütmeyen AI Alignment Foundation’ın raporuna göre, bir sandboxed kodlama görevi verilen yapay zeka ajanları, bozuk bir fiyatlandırma hizmetini düzeltmek için “özel bir token paylaştı ve bir ajan forumundan yardım karşılığında güvenilmeyen kod çalıştırdı.”
• CPython‘da, kötü niyetli aktörlerin yapay zeka barındırma platformlarını ihlal etmesini sağlayabilecek bir sıfır gün güvenlik açığı açıklandı. RunSybil, “CPython yorumlayıcısındaki bir bellek güvenliği açığı, saldırganların bir kod sanal alanından kaçmasına ve özel olarak hazırlanmış bir modelde gizlenmiş kodu yürütmesine olanak tanıyor” dedi.
• ABD Hazine Bakanlığı’nın Mali Suçları Uygulama Ağı (FinCEN), Operation Economic Outcast kapsamında MEXC Global‘in ABD finans sistemine erişimini fiilen kesen bir emir yayınladı.
• 25.964 ABD hükümetiyle ilgili alan adını inceleyen yeni bir çalışma, DNS kayıtlarında yanlış yazılmış, süresi dolmuş veya başka amaçlarla kullanılan 43 alan adı buldu.
• Maryland’den 53 yaşındaki ve Ulusal Keşif Ofisi’nde eski bir bilgi teknolojisi yüklenicisi olan Abraham Teklu Lemma, Etiyopya Federal Demokratik Cumhuriyeti hükümeti adına casusluk yapmak için komplo kurmaktan suçlu bulundu.
• Huntress, GeoVision kamera yazılımını içeren birden fazla kuruluştaki “birkaç etkinlik dalgası” hakkında uyarıda bulundu ve platformun kötü amaçlı yazılım dağıtmak için geniş çaplı istismar edildiğine dikkat çekti.
• Tek bir yapay zeka destekli tehdit aktörü (AAT), birkaç ülkede kalıcı kampanyalar yürütmek için BOSSAI adı verilen 12 yapay zeka ajanından oluşan bir ağı kullandığı gözlemlendi.
• Truffle Security, API anahtarı verenlerin GitHub, Docker Hub, npm, Hugging Face ve diğer platformlarda canlı ve sızdırılmış olduğu doğrulanan 1,4 milyon sırrı iptal etmelerine yardımcı olan ücretsiz bir girişim olan Secrets Revocation Program‘ı başlattı.
• Gnosis Pay, 3 Kasım 2026’da Gnosis Pay markalı kartlarına güç veren sistemde yetkisiz erişim tespit ettiğini ve bunun müşteri bilgilerinin ifşa olmasına yol açtığını söyledi.
• ABD Hazine Bakanlığı Yabancı Varlıklar Kontrol Ofisi (OFAC), Kamboçya, Madagaskar ve Güneydoğu Asya ile Afrika’daki diğer ülkelerdeki dolandırıcılık bileşikleriyle bağlantılı dört kişiye ve 41 kuruluşa yaptırım uyguladı. Yaptırım uygulanan tarafların Prince Group‘un iş ağını desteklediği belirtildi.
• ABD Hazine Bakanlığı ayrıca, bu yılın başlarında dağıtılan Madagaskar’daki bir dolandırıcılık bileşiğinin lideri rolü nedeniyle Chui Kok Wa‘ya yaptırım uyguladı. Geçen ayın sonlarında Wa, NFT yatırım dolandırıcılığının lideri olarak tel dolandırıcılığı yapmak için komplo kurmakla suçlandı.
• Vercel, bir ekibin bağlı GitHub depolarına yapılan her gönderimde güvenlik açıklarını tarayan Vercel Agent’ta yeni bir özellik olan Security Review‘u başlattı.
• Fortra, saldırganların güvenilir kiralama platformlarını taklit eden ikna edici seyahat rezervasyon sayfaları oluşturduğunu ortaya koydu.
• Patrick Steven Yaroch (37), bir FBI ajanı olarak erişimini kullanarak kripto para çalmakla ilgili tel dolandırıcılığı ve kara para aklamadan suçlu bulundu.
• DigiCert, iş sistemlerinden birine yetkisiz erişim içeren bir olay tespit ettiğini ve bunun isimlerin ve e-posta adreslerinin ifşa olmasına yol açtığını açıkladı.
• OpenAI, Güvenlik Hata Ödül programındaki ödemeleri artırdığını duyurdu. Amaç, kendi testlerinde gözden kaçırmış olabileceği kusurları bulmak için daha geniş araştırma topluluğunu teşvik etmek.
• Yapay zekayı kullanarak şirket yöneticilerini ve avukatları taklit ederek yaklaşık 129 milyon dolar çaldığı iddia edilen üç kişi, tel dolandırıcılığı ve ağırlaştırılmış kimlik hırsızlığı suçlamalarıyla itham edildi. Jacob Soall (41), Sharon Hazan (54) ve Guy Sheetrit (42), 2024 ile 2026 yılları arasında binlerce şirketi ve büyük hukuk firmalarındaki avukatları hedef alarak çalışanları kendi kontrollerindeki banka hesaplarına büyük ödemeler göndermeleri için kandırdı.
• Sahte indirme kampanyası, kırılmış ticari yazılımlar, ücretsiz oyunlar, aktivatörler, eklentiler ve resmi olmayan yardımcı programlar arayan kullanıcıları hedef alıyor. Kampanya, sahte sitelerde barındırılan trojanlı Inno Setup tarzı yükleyicileri kullanarak birden fazla yük dağıtıyor.
• Greeter adlı Çince bir istismar çerçevesi, Flowise honeypot’larını binlerce “hello” mesajıyla hedef aldı ve eski bir kod enjeksiyon açığını (CVE-2024-58351) kötü niyetli talimatları yürütmek için kullandı.
• Bir tehdit aktörü, iş bankacılığı ve hazine girişleri gibi görünen taklit sayfalarını tekrar ziyaret eden kullanıcılardan kimlik avı içeriğini gizlemek için sahte “askıya alınmış hesap” bildirimlerini kötüye kullanıyor.
• Meta, Muse AI asistanındaki sorunları bulan ve sorumlu bir şekilde açıklayan araştırmacılara yaklaşık 1,2 milyon dolar hata ödülü ödediğini söyledi.
• Trellix tarafından yapılan yeni bir araştırmaya göre, Çin ulus devleti tehdit etkinliği Nisan-Eylül 2026 arasındaki altı ayda %41,4 azaldı.
• QNAP, kullanıcıları NAS örneklerindeki Plex Media Server’ı QNAP Uygulama Merkezi’nde bulunan en son sürüme güncellemeleri konusunda uyarıyor. Bu uyarı, Plex2Shell olarak bilinen bir dizi güvenlik açığının aktif olarak istismar edildiğine dair raporların ardından geldi.
• MetaMask, 28 Eylül 2026’da tespit ettiği güvenlik olayının altyapısının bir kısmına yetkisiz erişimle sonuçlandığını ve olayı kontrol altına almak ve etkilenen sistemleri güvence altına almak için adımlar attığını açıkladı.
• Enfekte güvenlik temalı GitHub projeleri, siber güvenlik profesyonellerini arka kapılar ve bilgi çalan kötü amaçlı yazılımlar dağıtmak için hedef alıyor. Doctor Web’e göre, 2.000’den fazla bilgisayar etkilendi.
• Güvenlik araştırmacısı Scott Helme, yaklaşık 15.579 web sitesinin şu anda kredi kartı skimmer’ları, ClickFix yemleri, Coruna ve DarkSword gibi iOS istismar kitleri ve kötü amaçlı JavaScript dağıtan kötü amaçlı yazılımlarla enfekte olduğunu açıkladı.