CISA ve NSA, Microsoft Exchange Server ve Windows Server Update Services (WSUS) bileşenlerinde ortaya çıkan kritik güvenlik açıklarına karşı acil önlemler alınması gerektiğini duyurdu. Yönetici erişimlerinin sınırlandırılması, çok faktörlü kimlik doğrulaması (MFA) uygulanması ve sıfır güven (Zero Trust) modeli prensiplerinin benimsenmesi, kurumların siber saldırılara karşı dayanıklılığını artırıyor.
Microsoft Exchange Sunucularında Güvenlik Önlemleri
Ajanslar, özellikle kullanım ömrü dolmuş veya yanlış yapılandırılmış Exchange sunucularının hedef alındığını vurguladı. Microsoft 365’e geçiş sonrası eski Exchange sunucularının devre dışı bırakılması önerilirken, Exchange Acil Müdahale Hizmeti’nin etkin tutulması kritik önem taşıyor. Ayrıca, Exchange Yönetim Merkezi (EAC) ve uzak PowerShell erişimlerinin kısıtlanması, en az ayrıcalık ilkesi ile birlikte uygulanmalı.
Exchange Server’da antivirüs çözümleri, Windows Antimalware Tarama Arayüzü (AMSI), Saldırı Yüzeyi Azaltma (ASR), AppLocker ve Uç Nokta Tespiti ve Yanıtı (EDR) gibi modern güvenlik teknolojilerinin entegre edilmesi tavsiye ediliyor. Taşıma Katmanı Güvenliği (TLS), HTTP Strict Transport Security (HSTS) ve Genişletilmiş Koruma (EP) gibi protokollerle kimlik doğrulama ve şifreleme güçlendirilmeli, Kerberos ve NTLM yerine SMB yapılandırmaları tercih edilmeli.
WSUS Güvenlik Açığı CVE-2025-59287 ve Sömürü Faaliyetleri
CISA, WSUS bileşeninde uzaktan kod yürütmeye olanak tanıyan CVE-2025-59287 numaralı güvenlik açığına karşı güncellenmiş uyarısını yayımladı. Sophos ve diğer güvenlik firmalarının raporlarına göre, bu açığı kullanan tehdit aktörleri ABD’deki üniversiteler, teknoloji, üretim ve sağlık sektörlerindeki kuruluşlardan hassas veriler toplamaya başladı. Saldırganlar, wsusservice.exe ve w3wp.exe süreçleri üzerinden SYSTEM yetkileriyle Base64 kodlu PowerShell komutları çalıştırarak verileri webhook.site gibi dış uç noktalara aktarıyor.
Splunk’tan Michael Haag, bu açığın beklenenden daha karmaşık olduğunu belirterek, WSUS Yönetim Konsolu’nun açılması veya “Sunucu Düğümünü Sıfırla” seçeneğinin tetiklenmesiyle mmc.exe üzerinden cmd.exe’nin çalıştırıldığını ve 7053 Olay Günlüğü çökmesine neden olduğunu açıkladı. Bu teknik detay, saldırı zincirinin derinliğini ve karmaşıklığını gösteriyor.
Önerilen Güvenlik Uygulamaları ve İzleme
Kurumlar, WSUS ve Exchange sunucularında düzenli güvenlik yamalarını uygulamalı, şüpheli süreçleri ve alt süreçleri sistematik olarak izlemeli. Özellikle Base64 kodlu PowerShell komutları ve iç içe geçen PowerShell süreçleri dikkatle incelenmeli. Ayrıca, konteyner tabanlı uygulamalarda rastgele atanmış SSH portları gibi saldırı yüzeylerini azaltacak yapılandırmalar tercih edilmeli. AsyncRAT gibi uzaktan erişim araçlarının benzer teknikleri kullanabileceği göz önünde bulundurularak, uç nokta tespiti ve yanıtı çözümleri entegre edilmelidir.
Sonuç olarak, Exchange ve WSUS sunucularının güvenliği, kurumsal iletişim ve operasyonların sürekliliği açısından hayati önem taşıyor. Siber güvenlik ekiplerinin bu sistemlerin güvenlik duruşunu sürekli değerlendirmesi ve güncel tehditlere karşı hızlı aksiyon alması gerekiyor.