Phishing-as-a-Service (PhaaS) platformları Lucid ve Lighthouse, 74 ülkede 316 markayı hedef alan 17.500'den fazla oltalama alan adıyla ilişkilendirildi. Bu platformlar, gelişmiş hedefleme teknikleri ve gerçek zamanlı kurban takibiyle e-posta ve smishing saldırılarında artışa neden oluyor. Ayrıca, yeni alan adı taklit teknikleri ve API destekli dolandırıcılık şablonları finansal kayıpları büyütüyor.
Temmuz 28, 2026
Haberler
TELESHIM, Telegram üzerinden Orta Doğu ağlarını hedef aldı
Zscaler ThreatLabz, Orta Doğu’daki bazı hükümet ağlarını hedef alan ve TELESHIM, MIXEDKEY, BINDCLOAK ailelerini kullanan çok aşamalı bir kampanyayı ayın başında tespit ettiğini açıkladı. Saldırı zinciri ISO dosyası, DLL yan yükleme, Telegram API suistimali, çevresel anahtarlama ve kod karartma teknikleriyle ilerledi; faaliyetler 7-9 Temmuz 2026 arasında görüldü.
GitHub, Dependabot’a üç günlük bekleme getirdi
GitHub, Dependabot üzerinden gelen sürüm güncellemelerine üç günlük varsayılan bekleme süresi ekledi. Microsoft çatısı altındaki platform, bunun özellikle zehirlenmiş paketlerin tedarik zincirinde hızla yayılmasını zorlaştıracağını söylüyor. Güvenlik güncellemeleri bekletilmeyecek; şirket ayrıca lockfile, CI sertleştirmesi ve güncelleme incelemesi gibi önlemlerin birlikte kullanılması gerektiğini vurguluyor.
Cruciferra, Windows zararlısını BYOVD ve Process Ghosting ile gizliyor
Cruciferra adlı crypter servisi, Windows zararlılarını gizlemek için BYOVD, DLL side-loading ve Process Ghosting tekniklerini bir araya getiriyor. Araştırmacılar, aracın Agent Tesla, Remcos RAT, XWorm ve diğer aileleri taşıyan çok sayıda kimlik avı kampanyasında kullanıldığını aktardı.
GitLab’da yamalanan RCE açığı için çalışan PoC yayımlandı
GitLab’ın Haziran ayında kapattığı bir açık için çalışan bir istismar kanıtı yayımlandı ve doğrulanmış kullanıcıların yamalanmamış self-managed kurulumlarda komut çalıştırabildiği gösterildi. Zincir, Jupyter not defteri önizlemesi ile Oj kütüphanesindeki iki bellek bozulması hatasını birleştiriyor; etkilenen sürümler için güncelleme şart, ancak bazı eski hatlar geri port alamıyor.
DevMan’ın RaaS paneli fidye yazılımı dağıtımını tek ekranda topladı
PRODAFT, DevMan fidye yazılımı grubunun erişim satışı, şifreleme ve gelir paylaşımını tek portalda toplayan merkezî bir RaaS yapısı kurduğunu açıkladı. Raporda grubun 184 kurbanı, SCADA odaklı özel locker iddiası, hedefleme kuralları, şifreleme ayrıntıları ve Huntress çevresindeki iç tehdit tartışmasına dair bilgiler yer aldı.
Sigorta oltalaması gerçek zamanlı hesap ele geçirmeye dönüştü
CTM360’un incelemesine göre sigorta şirketlerini hedef alan yeni oltalama kampanyaları, bilgileri sonradan toplamak yerine oturum açma anında hesap ele geçirmeye odaklanıyor. Saldırganlar sponsorlu Google reklamları, sahte sigorta portalları, anlık OTP yakalama ve InsureOTP Kit adlı yeni bir oltalama kiti kullanıyor. Suudi Arabistan ana hedef olarak öne çıkarken Avrupa, ABD ve Hindistan’da da etkinlik görüldü.
Cl0p, PTC Windchill ve FlexPLM açıklarını kullanarak kurum ağlarına sızıyor
Cl0p ile ilişkilendirilen saldırganlar, PTC Windchill ve FlexPLM’deki iki açığı zincirleyerek kimlik doğrulaması olmadan uzaktan kod çalıştırıyor ve kurumsal sistemlere JSP web shell yüklüyor. İmalat, otomotiv, havacılık ve perakende sektörlerini etkileyen kampanyada CVE-2026-12569 istismarı öne çıkıyor.
Yapay zekâ ajanlarında asıl risk görünürlük değil, yetkiyi sınırlandırmak
Yapay zekâ ajanları kurumsal sistemlere yayılırken güvenlik ekipleri görünürlükten yaptırıma geçmek zorunda kalıyor. Kaynak metin, ajanların kimlik, amaç, sahiplik ve yetkiyle ilişkilendirilmeden yönetilemeyeceğini; OWASP ve NIST çalışmalarının da bu yönde ilerlediğini aktarıyor.
NodeBB’de sekiz açık yamalandı: yönetici paneli ve özel mesajlar risk altındaydı
NodeBB, yapay zekâ destekli bir incelemede bulunan sekiz güvenlik açığını kapattı; 4.14.0 öncesi tüm sürümler etkilendi ve yöneticilere 4.14.2’ye geçmeleri önerildi. Açıklar arasında izinsiz yönetici paneli erişimi, özel mesajların ve özel kategori içeriklerinin okunması, gönderi sahipliği ve oy sayısı manipülasyonu ile fediverse üzerinden kötü amaçlı kod yerleştirme yer aldı. Ayrıca 1 Temmuz’da kaydı açılan CVE-2026-58593 numaralı ayrı bir federasyon hatası da aynı kod tabanında bulundu.
Redis’te iki yeni açık zinciri: Araştırmacılar çalışan RCE kanıtı yayımladı
Redis, 23 Temmuz’da yedi güvenlik sürümü yayımlayarak Streams ve RedisBloom/TDigest tarafındaki iki yeni bellek bozulması zincirini kapattı. Araştırmacıların paylaştığı kanıtlarda bu açıkların RESTORE üzerinden RCE’ye çevrilebildiği, ancak 24 Temmuz 2026 itibarıyla sahada aktif istismar görüldüğüne dair bir bulgu olmadığı aktarıldı.
Thai Maliye Bakanlığı ağında Hermes gözetimsiz çalıştı
Thai Maliye Bakanlığı ağında çalışan Hermes adlı açık kaynak yapay zekâ ajanı, gözetimsiz modda uzun süreli keşif için kullanıldı. Hunt.io ve Bob Diachenko’nun bulgularına göre saldırgan, bakanlık sunucularında günlükler, web shell, özelleştirilmiş LinPEAS script’leri ve Hades adlı Go implantı bıraktı; HiveServer2, GlassFish ve eski Linux çekirdek açıklarına yönelik denemeler de kayda geçti.
Golden Chickens yeni zararlı aileleriyle geri döndü
Golden Chickens ekosistemi, TinyEgg ve ChonkyChicken dahil dört yeni zararlı ailesiyle yeniden ortaya çıktı. Araştırmacılar, grubun ClickFix tabanlı sosyal mühendislikten modüler C2 mimarisine uzanan daha esnek bir yapıya geçtiğini ve tarayıcı kimlik hırsızlığı ile kalıcı gözetimi tek zincirde topladığını belirtiyor.
Sahte Notepad++ eklentisiyle UAC-0099’dan MATCHBOIL.V2 operasyonu
CERT-UA, Notepad++ eklentisi gibi görünen kötü amaçlı dosyayla Windows sistemleri hedef alan UAC-0099 kampanyasını açıkladı; zincirde LUNCHPOKE, BURNYBEAR ve MATCHBOIL.V2 bileşenleri yer alıyor. Aynı metinde ABD’nin Laundry Bear ve Proofpoint’in TA458 raporları da aktarılıyor; Zimbra, Kerio, SOGo ve Roundcube webmail sistemlerini hedef alan yarım tık açıkları, CVE kodları ve hedef ülkeler sıralanıyor.
Dokuz yıllık XFS açığı, RHEL kurulumlarında root veriyor
Linux çekirdeğindeki CVE-2026-64600, reflink açık XFS dosya sistemlerinde yerel kullanıcılara root yetkisi kazanma ve root sahipli dosyalara yazma imkânı veriyor. Qualys’in ortaya çıkardığı açık, varsayılan RHEL, Fedora Server ve Amazon Linux kurulumlarını da etkileyebiliyor; yamalar ise temmuz ortasından itibaren dağıtılmaya başlandı.
Makine kimlikleri de sahte dolandırıcılığın hedefi oldu
Kurumsal ağlarda çalınan servis hesaplarına odaklanılırken, sahte makine kimlikleri ve bunların nasıl üretildiği daha az konuşulan bir risk olarak öne çıkıyor. Haber, rogue service account, DCShadow ve shadow credentials yöntemlerini, NHI’lar için sahiplik, sır yönetimi, en az ayrıcalık ve sürekli doğrulama temelli savunma önerileriyle birlikte aktarıyor.
Google, hesap kurtarmaya selfie video doğrulaması ekledi
Google, hesabına erişemeyen kullanıcılar için video selfie ile giriş ve kurtarma seçeneğini devreye aldı. Özellik isteğe bağlı çalışıyor, belirli hesap türlerinde sunulmuyor ve kayıtlı video şifrelenmiş biçimde saklanıyor. Aynı dönemde Google Cloud Fraud Defense, reCAPTCHA için 21 el eklemi koordinatı toplayan yeni bir el hareketi doğrulama sistemini duyurdu.
Check Point SmartConsole açığı aktif istismara uğradı
Check Point, Security Management ve MDSM ürünlerini etkileyen üç kritik açığı yamaladı. Bunlardan CVE-2026-16232, SmartConsole girişini atlatıp tam yönetici yetkisi sağlayabildiği için aktif olarak istismar edilen açıklar arasına girdi ve CISA’nın KEV listesine alındı.
GitHub Actions istismarı cPanel ve WHM sunucularını avladı
Ele geçirilen GitHub depoları, bu kez cPanel ve WHM sunucularını tarayan dağıtık bir saldırı altyapısına dönüştürüldü. Saldırganlar GitHub Actions runner’larını kullanarak CVE-2026-41940 açığını istismar etmeye ve kimlik bilgileri, SSH verisi, bulut anahtarları gibi sırları toplamaya çalıştı. Aynı incelemeler, GitHub üzerinde yürüyen başka bir Windows zararlı yazılım kampanyasını da ortaya çıkardı.
Modern SOC’lerde neden çok katmanlı ağ tespiti gerekiyor
Kurumsal saldırıların büyük bölümünün artık zararlı yazılım bırakmadan ilerlediği, CrowdStrike ve Verizon raporlarına dayanan verilerle aktarılıyor. Metin, NDR, ağ telemetrisi, davranış ve anomali tespiti, denetimli makine öğrenmesi ve yapay zekânın neden uç nokta görünürlüğünü aşan bir savunma katmanı sunduğunu ayrıntılandırıyor.
Newtonsoft.Json taklidi pakette Digitain’i hedef alan gizli kod bulundu
Newtonsoftt.Json.Net adlı NuGet paketi, gerçek Newtonsoft.Json kütüphanesini taklit ederken Digitain’in FG-Crash altyapısını hedef alan trojan kodu taşıdı. JFrog, paketin yalnızca belirli bir hedefte çalıştığını, sonuçları bozup 185.126.237[.]64:5341 adresine dışarı aktarma yaptığını ve Digitain’in sorunun farkında olduğunu bildirdi.
Öne Çıkan
Mustang Panda, Tayland IP’lerine Özel SnakeDisk USB Solucanıyla Yokai Arka Kapısını Yaygınlaştırıyor
Mustang Panda, Tayland IP adreslerine yönelik USB solucanı SnakeDisk ile Yokai arka kapısını yaygınlaştırıyor. IBM X-Force araştırması, bu tehdit aktörünün TONESHELL ve PUBLOAD gibi zararlı yazılım aileleriyle bağlantılı gelişmiş ve sürekli evrilen bir altyapıya sahip olduğunu ortaya koyuyor.
Qilin Fidye Yazılımı: Hibrit BYOVD Saldırısında Linux Yükü ve Gelişmiş Taktikler
Qilin fidye yazılımı grubu, 2025'te artan saldırı sayılarıyla öne çıktı ve hibrit BYOVD saldırı zinciriyle Linux ve Windows sistemlerini hedef aldı. Saldırganlar, meşru BT araçlarını kötüye kullanarak kimlik bilgisi toplama, tespitten kaçma ve yedekleme altyapılarını hedef alma gibi gelişmiş teknikler uyguluyor. Bu karmaşık operasyon, modern sanallaştırma ortamlarını da kapsayarak kurumsal güvenlik için ciddi riskler barındırıyor.
FreePBX Sunucularında Kritik Kimlik Doğrulama Atlama Açığı: Acil Güncelleme Gerekiyor
FreePBX platformunda kimlik doğrulaması atlama açığı (CVE-2025-57819) tespit edildi; bu, uzaktan kod yürütme ve veritabanı manipülasyonu riskini doğuruyor. Sangoma ve CISA tarafından doğrulanan bu kritik zafiyet, özellikle FreePBX 15, 16 ve 17 sürümlerini etkiliyor. Kullanıcıların acilen güncelleme yapması ve şüpheli aktiviteleri kontrol etmesi gerekiyor.
PassiveNeuron APT: Neursite ve NeuralExecutor ile Gelişmiş Sunucu Odaklı Siber Casusluk
Kaspersky tarafından Kasım 2024'te tespit edilen PassiveNeuron APT, Neursite ve NeuralExecutor zararlı yazılımlarıyla Latin Amerika ve Doğu Asya'daki devlet kurumlarını hedef alıyor. Grup, ele geçirilmiş dahili sunucuları C2 altyapısı olarak kullanarak yatay hareket kabiliyeti ve gelişmiş implantlarla sofistike saldırılar gerçekleştiriyor. NeuralExecutor'un GitHub gibi meşru platformları dead drop
CountLoader Çoklu Sürüm Yükleyicisiyle Rus Fidye Yazılımı Operasyonlarını Genişletiyor
CountLoader, .NET, PowerShell ve JavaScript sürümleriyle Rus fidye yazılımı operasyonlarında kullanılan çoklu sürüm kötü amaçlı yazılım yükleyicisi olarak öne çıkıyor. Ukrayna hedefli kampanyalarda gelişmiş teknikler ve çeşitli yükleme yöntemleri kullanılırken, altyapısı Cobalt Strike ve PureHVNC RAT gibi araçlarla entegre çalışıyor. Siber güvenlik araştırmaları, bu tehdit aktörlerinin operasyonel bağlantılarını ve araç kullanımını ortaya koyuyor.
Scattered Spider, LAPSUS$ ve ShinyHunters: Yeni Nesil Siber Suç Federasyonu
Scattered Spider, LAPSUS$ ve ShinyHunters gruplarının oluşturduğu federatif siber suç ağı, Telegram üzerinden koordineli şantaj ve fidye yazılımı saldırıları düzenliyor. DragonForce ile iş birliği içinde gelişmiş kötü amaçlı yazılımlar geliştirerek, fidye yazılımı ekosisteminde yeni bir kartelleşme modeli oluşturuyorlar.
HttpTroy Arka Kapısı: Güney Kore’deki Kimsuky Hedefli Saldırısında VPN Faturası Kılığında Yeni Tehdit
Güney Kore'de Kimsuky grubunun yeni HttpTroy arka kapısını kullandığı hedefli bir oltalama saldırısı tespit edildi. VPN faturası kılığındaki ZIP dosyasıyla yayılan bu kötü amaçlı yazılım, gelişmiş gizleme teknikleri ve dinamik API çözümleme kullanıyor. Ayrıca, Lazarus Grubu'nun Kanada'daki saldırısında Comebacker ve BLINDINGCAN RAT'larının yükseltilmiş varyantları kullanıldı.
Haftalık Siber Güvenlik Özeti: F5 İhlali, Linux Rootkitler, Pixnapping ve EtherHiding Teknikleri
Bu hafta F5 BIG-IP sistemlerine yönelik uzun süreli bir ihlal, gelişmiş Linux rootkit saldırıları ve mobil cihazlarda Pixnapping adlı yan kanal saldırısı öne çıktı. Ayrıca, Kuzey Kore destekli tehdit aktörlerinin EtherHiding tekniğiyle blockchain tabanlı kötü amaçlı yazılım dağıtımı yaptığı tespit edildi. Kritik CVE'lerin hızla yamalanması ve bulut ortamlarında otomatik güvenlik araçlarının kullanılması öneriliyor.
Citrix NetScaler’da Kritik Üç Güvenlik Açığı ve CVE-2025-7775’in Aktif Sömürülmesi
Citrix, NetScaler ADC ve Gateway ürünlerinde üç kritik güvenlik açığını giderdi. Özellikle CVE-2025-7775 açığı, aktif olarak sömürüldüğü için yüksek risk taşıyor ve CISA tarafından KEV kataloğuna eklendi. Güncellemeler, belirli sürümler için yayımlandı ve federal kurumların hızlıca uygulaması zorunlu hale getirildi.
Google, Aktif Olarak İstismar Edilen V8 Açığı CVE-2025-10585 İçin Chrome Güncellemesi Yayınladı
Google, V8 motorundaki kritik tür karışıklığı açığı CVE-2025-10585 için Chrome tarayıcısını güncelledi. Bu sıfırıncı gün açığı, kötü niyetli aktörlerin kod yürütmesine ve uygulama çökmelerine neden olabilir. Kullanıcıların en son sürümlere geçerek güvenliklerini sağlamaları önem taşıyor.
CISO’lar Yönetim Kurulundan Bütçe Onayını Nasıl Alıyor?
CISO’lar, yönetim kurulundan bütçe onayı alırken teknik detayları iş riskleri ve uyumluluk çerçevesinde anlatmalıdır. Sürekli testler, risk odaklı yaklaşımlar ve endüstri standartları kullanarak güvenlik yatırımlarının iş değerini somut verilerle göstermek başarıyı artırır.
Amazon, Microsoft Cihaz Kodu Kimlik Doğrulaması Kullanan APT29 Su Damlacığı Kampanyasını Engelledi
Amazon, APT29'un Microsoft cihaz kodu kimlik doğrulama akışını hedef alan su damlacığı kampanyasını engelledi. Saldırganlar, ele geçirilen web siteleri üzerinden ziyaretçileri kötü amaçlı altyapıya yönlendirerek kimlik bilgisi toplamaya çalıştı. Amazon'un müdahalesi, grubun altyapı değiştirme çabalarına rağmen operasyonların izlenip durdurulmasını sağladı.
SAP NetWeaver’de Kritik Güvenlik Açıkları: Kimlik Doğrulama Olmadan Sistem Ele Geçirme Riski
SAP NetWeaver AS Java’da tespit edilen kritik serileştirme açığı, kimlik doğrulaması olmadan sistem komutlarının çalıştırılmasına olanak tanıyor. Ayrıca, SAP Yazdırma Servisi ve Tedarikçi İlişkileri Yönetimi’nde önemli dizin geçiş ve dosya yükleme zafiyetleri bulunuyor. Uzmanlar, yamaların hızla uygulanması ve JVM sertleştirmelerinin takip edilmesini tavsiye ediyor.
GeoServer, PolarEdge ve Gayfemboy Botnetleri: Yeni Nesil Siber Suç Stratejileri
GeoServer'daki kritik CVE-2024-36401 açığı, saldırganların pasif gelir elde etmek için SDK tabanlı uygulamalar dağıtmasına olanak tanıyor. PolarEdge botneti, ORB teknolojisiyle IoT cihazlarını sessizce ele geçirirken, Gayfemboy Mirai varyantı çoklu mimarilerde DDoS ve arka kapı işlevleri sunuyor. Ayrıca, Redis sunucularında gelişmiş kripto madenciliği kampanyaları tespit edildi.
Python Geliştiricilerini Hedefleyen SilentSync RAT İçeren İki Kötü Amaçlı PyPI Paketi Ortaya Çıktı
Zscaler araştırmacıları, Python geliştiricilerini hedefleyen sisaws ve secmeasure adlı iki kötü amaçlı PyPI paketinde SilentSync RAT'ı tespit etti. Bu RAT, uzaktan komut yürütme, dosya sızdırma ve tarayıcı verilerini çalma gibi gelişmiş yeteneklere sahip olup, Windows, Linux ve macOS sistemlerini hedefliyor. Paketler, tedarik zinciri saldırılarının artan riskine dikkat çekiyor.
Blue Report 2025: Zayıf Parolalar ve Ele Geçirilmiş Hesaplar Siber Güvenlikte Kritik Risk Oluşturuyor
Picus Security'nin Blue Report 2025 raporu, parola kırma saldırılarının ve ele geçirilmiş hesapların siber güvenlikte kritik risk oluşturduğunu ortaya koyuyor. Kuruluşların zayıf parola politikaları ve yetersiz kimlik bilgisi yönetimi nedeniyle bu saldırılara karşı savunmasız olduğu belirtiliyor. Rapor, çok faktörlü kimlik doğrulama ve davranışsal algılama gibi proaktif önlemlerin önemini vurguluyor.