Google, Android için Eylül 2026 güvenlik güncellemelerinde 200 zafiyeti kapattı. Aynı dönemde tarayıcı içi oltalama, zararlı uzantılar, sahte e-ticaret mağazaları ve yapay zekâ destekli saldırı zincirleri farklı kampanyalarda öne çıktı.
Listede kritik seviyede bir Wi-Fi belleği bozulması açığı da yer alıyor: CVE-2026-28662. Açık, etkileşim gerektirmeden uzaktan kod çalıştırmaya kadar varabilecek bir risk taşıyor. Jamf’ta kurumsal strateji yöneticisi Adam Boynton, bu zafiyet yamalanmadığı takdirde ayrıcalık yükseltme ve uzaktan istismar için kapı aralayabileceğini belirtti. Açık için NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-28662.
Google aynı hafta Chrome için de önemli bir takvime geçti. Şirket, büyük sürümler için iki haftalık yayın döngüsüne, güvenlik yamaları içinse haftalık güncellemelere yöneldi. Kararın arkasında, yapay zekâ destekli zafiyet keşfinin ve düzeltme hacmindeki artışın olduğu aktarılırken, Google yamaların yayımlanması ile uç noktalara ulaşması arasındaki boşluğu küçültmek istediğini söylüyor. Chrome 2021’de altı haftadan dört haftaya inmiş, benzer hızlanma Microsoft, Mozilla ve Brave tarafında da görülmüştü.
Android yamaları tek başına haftanın tek büyük başlığı değildi. Tarayıcı eklentileri üzerinden yürüyen kampanyalarda, Axiom Trade ve Padre kullanıcılarını hedef alan dört kötü amaçlı uzantı tespit edildi. J7Tracker, VREO ve Orbit Tracker adlarını taşıyan eklentiler oturum belirteçleri ile cüzdan verilerini toplamaya odaklandı. Chrome ve Firefox üzerinde yayılan bu kampanyada, uzantılar kimliği doğrulanmış kullanıcı bilgilerini, cüzdan bağlantılı paket verilerini, Firebase erişim belirteçlerini ve uygulama durumunu çekip saldırgan kontrolündeki Vercel altyapılarına gönderen aynı modülü kullanıyordu. Socket’in incelemesi, Chrome’daki aynı yayımlayıcının daha önce MockApe ticaret eklentisini taklit eden GhostApe ve GhostApe Color uzantılarıyla da ilişkilendirildiğini ortaya koydu.
Yapay zekâ, bu kez saldırı tarafında otomasyona dönüştü. İngilizce dışı konuşan bir tehdit aktörünün Anthropic Claude Code, Alibaba Qwen ve DeepSeek modellerini kullanarak Afganistan, Tayland, Tayvan ve ABD’deki devlet ve finans sistemlerine karşı sızma faaliyetlerini otomatikleştirdiği bildirildi. Hedefler arasında Tayvan’daki Kuomintang Party History Archives, Endonezya Dışişleri Bakanlığı, Çin ana karasındaki devlet ve eğitim sistemleri ile Vietnam’ın Da Nang kentindeki endüstriyel sunucular da vardı.
Hunt.io’nun aktardığına göre saldırgan, SecFlow adlı bir yapay zekâ orkestrasyon çerçevesiyle kampanya hedeflerini özel ajanlara görev olarak dağıttı. Bu yapı keşif, istismar, veri toplama ve raporlamayı ayrı çalışanlara bölüyor; her ajana araçlar, hedef bilgileri, ortak depolama alanı ve ağ rotaları sağlıyordu. Saldırganın istismar ettiği açıklardan bazıları Shellshock, Spring4Shell, Ghostcat, Shiro deserialization, Log4Shell, Grafana ve Nexus path traversal açıkları ile Nacos kimlik doğrulama atlatma zafiyeti olarak sıralandı. İlk erişim sonrası web shell’ler devreye alındı; bu kabuklar GLUTTON adlı ayrı bir yetenekle üretiliyor, ardından keşif, ayrıcalık yükseltme, kimlik bilgisi hırsızlığı ve özel implant yükleme aşamaları geliyor. Kullanılan arka kapılardan biri, Go tabanlı uzaktan erişim ve ağ sıçrama çerçevesi SecBox olarak adlandırıldı. Kampanyanın ayrıntıları ilk kez Temmuz 2026’da gündeme gelmişti.
Kurumsal tarafta, Birleşik Krallık Ulusal Siber Güvenlik Merkezi de görünmeyen yapay zekâ kullanımını işaret etti. NCSC, onaylanmamış AI araçlarını kullanan çalışanların hassas kurumsal verileri dışarı taşıyabileceğini, bunun da kurumların tespit etmekte zorlanabileceği güvenlik riskleri doğuracağını açıkladı. Kurum, çalışanların tüketici sınıfı AI servislerine gizli ya da özel bilgileri aktarmasının veri ihlali, fikri mülkiyet kaybı ve düzenleyici yükümlülüklere uyumsuzluk riskini artırdığını vurguladı. NCSC ayrıca AI ajanlarının karmaşık yazılımlar olduğuna ve bu ajanlarda bulunabilecek kritik açıkların, istismar halinde aynı verilere, servislere ve ayrıcalıklara erişim sağlanmasına yol açabileceğine dikkat çekti.
Dolandırıcılık cephesinde ise sahte birleşme ve devralma dosyaları öne çıktı. Gen Digital’in incelemesine göre saldırganlar, üst düzey yönetici kılığına girerek hukuk ekiplerini konuşmaları WhatsApp ve kişisel e-postaya taşımaya ikna etti; amaç, sahte satın alma belgeleri üzerinden uluslararası para transferi başlatmaktı. Dosyalar, itibarlı bir danışman tarafından yürütülen, dar çevrede tutulan ve duyuruya çok az zaman kalan bir işlem izlenimi veriyordu. Kurbanlar özel sermaye, sanayi finansmanı, satış, madencilik ve enerji alanlarından seçildi. Belgeler farklı markalar taşısa da, bölüm sırası ve kullanılan hukuk dili büyük ölçüde aynıydı; hepsinde gizlilik şartı, iletişimi WhatsApp ve kişisel e-postaya yönlendiren talimatlar ve NDA tarihi ile kamu duyurusu arasına kısa bir pencere yer alıyordu.
Microsoft da Windows 11 için yaş farkındalığı API’leri ekliyor. Windows Age API adı verilen yeni yapı, uygulamaların kullanıcının çocuk, ergen ya da yetişkin olup olmadığını tam doğum tarihi olmadan öğrenmesini sağlayacak. Şirket, uygulamalara yalnızca deneyim için gereken yaş sinyalinin verileceğini, tam doğum tarihi gibi hassas kişisel bilgilerin paylaşılmayacağını belirtti. Microsoft, bu yaklaşımın korumaları çocuklar ve aileler yerine platform düzeyinde gömülü hale getireceğini savunuyor.
Bu haftanın en geniş çaplı operasyonlarından biri sahte mağazalardı. DoppelCart adı verilen kampanyanın 119.000’den fazla alan adı kullanarak sahte e-ticaret siteleri ağı kurduğu açıklandı. Ağ, ödeme kartı bilgilerini çalıyor. Siteler gerçek mağazaları ürün katalogları, açıklamalar, marka öğeleri ve görselleri kopyalayarak taklit ediyor; bazı örneklerde varlıklar doğrudan gerçek şirketlerin sunucularından çekiliyor. Toplamda 44.182 farklı marka taklit edildi ve her marka için ortanca iki klon oluşturuldu. Netby’nin aktardığına göre her sahte mağaza gerçek markanın fotoğraflarını ve sayfa metinlerini kopyalıyor, fiyatı aşağı çekiyor ve aynı markanın destek adresini de yeniden yayımlıyor; böylece şikâyetler mağazaya değil doğrudan markaya gidiyor.
Benzer biçimde, Google hizmetleri de oltalama zincirinde aracı olarak kullanıldı. KnowBe4 Threat Lab, kurbanları meşru Google servislerinden oluşan kasıtlı bir zincir üzerinden geçirip ardından kimlik bilgisi toplayan sayfalara veya uzaktan erişim araçlarına yönlendiren küresel bir phishing kampanyası ortaya çıkardı. Saldırı, Meet, Search, DoubleClick, Programmable Search Engine, Image Search ve Tag Manager dahil altı ayrı Google hizmetini çok aşamalı yönlendirme için kullanıyordu. Sayfa, Clearbit üzerinden canlı şirket logoları, üçüncü taraf bir ekran görüntüsü API’si üzerinden anlık site görüntüleri ve Google’ın herkese açık DNS altyapısı üzerinden kurbanın kurumsal e-posta alan adını doğrulama mekanizması çekiyordu. Aynı analiz, .vu alan adının da kötü niyetli altyapı kurulumunda daha sık kullanıldığını; Nisan-Temmuz 2026 arasında phishing sitelerinde yüzde 159 artış, 1.660 benzersiz alan adı ve 28.000’den fazla kötü amaçlı e-posta görüldüğünü aktardı.
Bir başka kampanyada “iCloud Sign-In Alert” başlığıyla gelen oltalama akışı, işletim sistemini tespit edip Windows kullanıcılarına uzaktan erişim aracı, Apple kullanıcılarına ise kimlik bilgisi toplayan sayfa sunuyordu. Geri kalanlar sahte bir Microsoft giriş ekranına taşınıyor, operatör Telegram üzerinden bilgilerin gerçek zamanlı akışını izliyordu.
Tarayıcı içinde oluşturulan oltalama sayfaları da gündemdeydi. Barracuda, DocuSign temalı bir kampanyada klasik oltalama sitesinin yerine kurbanın tarayıcısı içinde blob URL’ler kullanılarak üretilen bir sayfa yerleştirildiğini açıkladı. Ziyaretçiler yine meşru Microsoft servisleri üzerinden yönlendirildiği için saldırı güvenilir görünüyordu. Sayfa yalnızca o tarayıcı oturumunda var olduğu için güvenlik araçlarının önceden alıp analiz edebileceği ya da kara listeye ekleyebileceği kalıcı bir bağlantı da bırakmıyordu.
Yalnızca oltalama sayfaları değil, yazılım tedarik zinciri de hedefteydi. npm deposunda cüzdan odaklı 13 zararlı paket bulundu. InstallSafe’in incelemesine göre paket adları cüzdan, imzalama, analitik, Solana, Base veya mobil bileşen çağrışımı yapıyordu. GitHub’ın uyarısında, bu paketlerden herhangi biri kurulu ya da çalışır durumdaysa makinenin tamamen ele geçirilmiş sayılması gerektiği belirtiliyor. Aynı uyarıda cihazdaki tüm sırların ve anahtarların farklı bir sistemden derhal döndürülmesi gerektiği, paketin kaldırılmasının tek başına temizlenmiş anlamına gelmeyeceği vurgulanıyor.
Benzer bir problem MCP sunucu yapılarında da görüldü. Yayınlanmış 33.563 MCP sunucu yapısının ve 475.865 aracın analizinde, sunucu yapıların beşte ikisinde hassas veriye erişebilen ya da sonuç doğurucu bir işlem yapabilen en az bir araç bulunduğu, 13 yapının birinde ise kod ya da komut çalıştırma yeteneği olduğu tespit edildi. Island, bir aracın açıklamasının modele bağlam olarak girebildiğini, çalıştırıldığında dönen metnin de aynı bağlama taşınabildiğini hatırlattı. Buna göre bir saldırganın kötü amaçlı ikili dosyaya ihtiyacı bile olmayabiliyor; doğal dilde tek bir paragraf, modele istenmeyen eylem yaptırmak için yeterli olabiliyor. Şirket, araçların keşiften yürütmeye kadar denetlenmesini, yeteneklerinin sınırlandırılmasını, yapılandırma değişikliklerinin doğrulanmasını ve her eylemin çalışma zamanı bağlamında değerlendirilmesini önerdi.
CloudSEK’in yayımladığı bulgulara göre BigBear 2.0 adı verilen, Evilginx2 tabanlı Microsoft 365 phishing-as-a-service operasyonu 40’tan fazla ülkede yüzlerce kurumu hedef aldı. Ele geçirilen kayıtlar 461 kuruluşla bağlantılı. Saldırı paneline yönetici erişimi sağlanabildiğini belirten firma, 5.137 kimlik kaydı sızdırıldığını; bunların arasında 474 tam MFA-atlatmalı oturum, 1.032 açık metin parola ve 4.148 oturum çerezi bulunduğunu aktardı. Kayıtlar 40’tan fazla ülkede 3.331 benzersiz kurban IP’sine yayılıyor. Çok kullanıcılı panelin en az beş farklı iştirakçiye kiralandığı da raporda yer aldı.
ABD’de FBI da ilk kez kendi siber stratejisini duyurdu. Kurum, saldırganların niyet ve yetenek değişimlerini tespit etmeyi, kazanç elde etme ya da güvenli çalışma kapasitelerini bozmayı, tekniklerini ve destek ekosistemini açığa çıkarmayı, yerel ve uluslararası ortaklarla suçluları adalet önüne çıkarmayı hedeflediğini bildirdi. FBI ayrıca yaptırımlar, diplomatik adımlar ve ortak kolluk faaliyetlerine dayanak olacak kanıt ile istihbaratı sağlayacağını, mağdurları intrüzyon sonrasında destekleyeceğini ve operasyonel olarak uygun durumlarda yapay zekâ destekli savunma ve aldatma araçlarını kullanacağını açıkladı.
Operasyonel fidye yazılımı cephesinde EtherRAT zinciri de dikkat çekti. Sysinternals aracı gibi gösterilen kötü amaçlı bir MSI kurucusu üzerinden EtherRAT yükleyen kampanyada, ardından AI ile üretilmiş bir zararlı çerçeve olan TukTuk ve GoTo Resolve devreye alındı. DFIR Report, TukTuk’un Arweave’i bir dead-drop resolver olarak kullanabildiğini, implantın bu modda Arweave blokzincirinden belirli bir Drive-ID sorgulayıp şifreli bir yapılandırma bloğu çektiğini yazdı. Bu blok desteklenen tüm C2 taşıyıcıları için kimlik bilgisi havuzunu içeriyor. TukTuk sonrasında saldırgan, hands-on-keyboard faaliyete geçerek Kerberoasting yaptı, yönetici hesaplarını hedefleyen kimlik bilgisi keşfine girişti ve ele geçirilen servis hesabı bilgileriyle GoTo Resolve uzaktan yönetim araçlarını ağ içinde yatay olarak dağıttı. Son aşamada veriler bir bulut servisine sızdırıldı ve The Gentlemen fidye yazılımı yüklenerek şifreleme başlatıldı.
Singapur’da ise Singpass hesaplarını hedef alan bir dolandırıcılık ağı nedeniyle iki erkek gözaltına alındı. 25 ve 47 yaşındaki Çinli Malezyalı şüphelilerin, Singapur’daki bir cep telefonu dükkânında çalıştıkları ve işlerinden doğan fırsatları kullanarak müşterilerin Singpass hesaplarına eriştikleri öne sürüldü. Bir olayda, yeni SIM kart alan bir müşteriye mobil numarayı Singpass kaydında güncelleme teklifinde bulunulduğu, ardından bu fırsatın müşteri haberi olmadan LiquidPay hesabı açmak için kullanıldığı bildirildi. Soruşturma, aynı faaliyetle bağlantılı 170’ten fazla Singapur vatandaşı ve yabancı çalışanın Singpass hesabını ortaya çıkardı. Bu sahte hesaplar daha sonra 160’tan fazla ek LiquidPay hesabı açmak için kullanıldı.
Kripto para cüzdanı üreticisi Trezor ise üçüncü taraf e-posta sağlayıcısı Brevo’daki ihlalin ardından kullanıcıları oltalama mesajlarına karşı uyardı. Etkilenen 120 Brevo hesabı arasında Trezor’un hesabı da vardı. Şirket, “Critical Security Alert: STM32 Entropy Vulnerability” başlıklı e-postanın kendilerinden gelmediğini ve oltalama girişimi olduğunu açıkladı. Opt-in bülten veritabanında yaklaşık 347.000 e-posta adresi bulunduğu, bu adreslerin ileride başka oltalama saldırılarında kullanılabileceği de belirtildi. Brevo hesabı kötüye kullanımı önlemek için askıya alındı; e-postadaki bağlantı kullanıcıları bir uygulama indirmeye yönlendiriyor, uygulama da cüzdan yedeğini istemeyi amaçlıyordu. Alan adı daha sonra kapatıldı.
Haber akışında ayrıca 33.800’den fazla açık Plex sunucusunun yakın zamanda açıklanan zafiyetlere karşı savunmasız kaldığı, bunların yaklaşık 20.000’inin Kuzey Amerika’da bulunduğu bilgisi de yer aldı. Microsoft Teams tarafında ise dış kullanıcıların paylaştığı QR kodlarının varsayılan olarak bulanıklaştırılacağı ve kullanıcıların bunları görüntülemeden ya da taramadan önce açmak zorunda kalacağı duyuruldu. Şirket, bunun QR kodları üzerinden yürüyen oltalama ve dolandırıcılığı azaltmayı hedeflediğini söyledi ve özelliğin gelecek ay kademeli olarak dağıtılacağını belirtti.
Haftanın sonuna doğru gündeme gelen bir başka dosya da Rus vatandaşı web geliştirici Sergei Anatolyevich Filimonov’un ABD’ye iade edilmesi oldu. Filimonov, federal sigorta kapsamında finans kuruluşlarını taklit eden alan adlarıyla yürütülen ulusötesi bir siber dolandırıcılık planıyla bağlantılı olarak suçlanıyor. Adalet Bakanlığı, zanlı ve ortaklarının sahte arama motoru reklamları satın alıp banka müşterilerini sahte giriş sayfalarına yönlendirdiğini, çalınan kimlik bilgileriyle hesaplara girip bakiyeleri incelediğini ve yetkisiz havale işlemleri başlattığını açıkladı. Filimonov’un, 5.000’den fazla çalıntı oturum bilgisini tutan etkileşimli veritabanları ile hassas kimlik doğrulama verilerini toplayıp iletmeye yönelik yazılımlar geliştirdiği de iddialar arasında. Planla bağlantılı arka uç alan adlarından biri Aralık 2025’te ABD makamlarınca el konulanlar arasındaydı. Filimonov suçlamaları reddetti.
ABD’de suçunu kabul eden bir başka isim de Singapurlu Malone Lam oldu. “Anne Hathaway”, “$$$” ve “King Greavy” takma adlarını kullandığı belirtilen 22 yaşındaki Lam, 245 milyon doların üzerindeki kripto varlığın çalınması ve aklanmasında rol alan uluslararası bir siber suç yapılanmasının lideri olarak suçunu kabul etti. Adalet Bakanlığı, planın Ekim 2023’ten Mayıs 2025’e kadar sürdüğünü; suç ağının çevrim içi oyun platformlarında kurulan bağlantılardan doğduğunu ve California, Connecticut, New York, Florida ile yurt dışındaki kişileri içerdiğini bildirdi. RICO kapsamındaki yapılanma, sosyal mühendislik ve zaman zaman ev soygunlarıyla mağdurların kripto cüzdanlarını boşaltmaya yarayan bilgileri topladı. Lam’ın, hedefleri belirleyen, operasyonu koordine eden ve çalıntı varlıkların lüks harcamalara dönüşmesini sağlayan isim olduğu öne sürüldü. Paranın gece kulübü hizmetleri, pahalı çantalar, üst segment saat ve kıyafetler, kiralık evler, özel jet kiralamaları, özel güvenlik ekibi ve egzotik otomobiller için kullanıldığı aktarıldı.
Microsoft ayrıca Teams içinde dışarıdan gelen QR kodlarını gizlemeye hazırlanıyor. Dış kullanıcıların ilettiği görüntüler varsayılan olarak bulanık olacak, kullanıcılar kodu görmek veya okutmak için önce açmak zorunda kalacak. Şirket, bunun kimlik avı ve dolandırıcılık riskini azaltmak için daha bilinçli etkileşim yaratacağını belirtti. Özelliğin gelecek ay kullanıma sunulması bekleniyor.
LG tarafında ise akıllı televizyonların veri toplama iddiaları tartışma yarattı. Gamers Nexus ekibinin ortaya koyduğu bulgular, şirketin televizyonlarının reklam işini beslemek için kullanıcılar ve çevreleri hakkında geniş bilgi topladığı yönündeydi. Ekibin gözlemine göre TV, IP adreslerini, konum verilerini ve yakındaki Wi-Fi ağlarının adlarını, sinyal gücünü ve kanal numaralarını kaydediyordu. Cihaz, eşleştirilmemiş olsa bile yerel ağdaki telefon, saat, yönlendirici, termostat, hava temizleyici, sunucu anakart yönetim denetleyicisi ve PC gibi aygıtları da tarıyordu. Şirket, The Register ile paylaştığı açıklamada suçlamaların doğru olmadığını savundu. LG, ses verisinin yalnızca kumandadaki ses düğmesine basılı tutulduğunda ya da Far-Field ses tanıma özelliği etkinleştirildikten sonra “Hi LG” gibi bir uyandırma kelimesi algılandığında işlendiğini söyledi. Uyandırma kelimesi tanınmazsa hiçbir ses verisinin sunucuya gönderilmediği, tanımanın cihaz üzerinde yerel olarak yapılıp anında silindiği ifade edildi. LG ayrıca akıllı televizyonların, aynı ağdaki yakın cihazları tarayıp bağlanabilmesinin standart bir işlev olduğunu belirtti.
Haftanın ortak teması ise tek bir kapının fazla güven verilmesi oldu. Eklentiler, paketler, yönlendirmeler, oturumlar, yapay zekâ araçları ve açık servisler üzerinden ilerleyen saldırılar, tanıdık görünen her şeyin fazla yetki aldığında nasıl kötüye kullanılabildiğini gösterdi. İstismar çoğu zaman yeni bir numarayla değil, uzun süredir açık kalan bir erişim noktasıyla başladı.