2023 yılından bu yana aktif olarak istismar edilen Cisco Catalyst SD-WAN Controller ve Manager bileşenlerindeki kritik bir sıfır-gün açığı (CVE-2026-20127, CVSS 10.0) kimlik doğrulamasını atlayarak saldırganlara yönetici ayrıcalıkları sağlıyor. Bu zafiyet, Avustralya Siber Güvenlik Merkezi’nin bildirimleri sonrası Cisco tarafından takip edilmekte ve yüksek derecede sofistike bir tehdit aktörü tarafından kullanıldığı belirtiliyor.
Saldırı Zinciri ve Teknik Detaylar
Bu haftanın öne çıkan tehditleri arasında, Çin bağlantılı UNC2814 grubunun Google Sheets API üzerinden C2 trafiğini gizleyen GRIDTIDE arka kapısı ile 42 ülkede hedef aldığı siber casusluk operasyonları yer alıyor. Ayrıca ABD’de eğitim ve sağlık sektörlerini hedef alan UAT-10027 kampanyası, DNS-over-HTTPS (DoH) kullanarak Dohdoor arka kapısını dağıtıyor. Anthropic Claude Code’daki kritik güvenlik açıkları ise uzaktan kod çalıştırma ve API anahtarı sızdırmaya olanak tanıdı.
Hangi Sistemler Risk Altında?
SolarWinds Serv-U, Broadcom VMware Aria Operations, Google Chrome, HPE Telco Service Activator, Zyxel, Trend Micro Apex One gibi birçok kritik altyapı ve yazılımda yeni CVE’ler yayımlandı. Ayrıca SonicWall SSL VPN cihazları için artan tarama faaliyetleri ve Mirai tabanlı Zerobot botnetinin n8n AI otomasyon platformu ile Tenda yönlendiricilerindeki zafiyetleri hedef alması dikkat çekiyor.
Kritik Siber Kampanyalar ve Operasyonlar
OpenAI, ChatGPT’yi kötüye kullanan Çinli istihbarat bağlantılı hesapları kapatırken, Rusya Telegram CEO’su Pavel Durov hakkında terör faaliyetlerini kolaylaştırmak suçlamasıyla soruşturma başlattı. ABD-İsrail ortak operasyonu sırasında İranlı dua uygulamasının hacklenip teslim olma mesajları göndermesi, akıllı TV uygulamalarının küresel proxy ağına dönüştürülmesi ve Genisys reklam dolandırıcılığı operasyonu gibi olaylar da öne çıktı.
Siber Güvenlik Ekipleri İçin Pratik Öneriler
- SD-WAN ve VPN cihazlarında CVE-2026-20127 gibi kritik yamaları acilen uygulayın.
- DNS-over-HTTPS (DoH) trafiğini izleyerek anormal C2 iletişimlerini tespit edin.
- EDR ve SIEM sistemlerinde AI tabanlı yanal hareket (AILM) göstergelerini takip edin.
- API anahtarlarının erişim izinlerini kısıtlayın ve kullanımını düzenli olarak denetleyin.
- Phishing ve kimlik avı saldırılarına karşı e-posta güvenliği çözümlerini güçlendirin.
- Ağ segmentasyonu ile kritik altyapı ve bulut servislerini izole edin.
- Olay müdahale planlarını güncelleyerek yeni tehdit vektörlerine karşı hazırlıklı olun.
- Üçüncü taraf SDK ve uygulamaların güvenlik incelemesini artırın, özellikle proxy SDK gibi ağ trafiğini yönlendiren bileşenlere dikkat edin.
Kurumsal Senaryo: Eğitim ve Sağlık Sektörleri
ABD’de UAT-10027 kampanyası kapsamında eğitim ve sağlık kurumları hedef alınmakta, DNS-over-HTTPS kullanılarak Dohdoor arka kapısı dağıtılmaktadır. Bu durum, hassas hasta verileri ve eğitim materyallerinin sızdırılması riskini doğurmakta, kurumların IAM politikalarını güçlendirmesi ve DoH trafiğini detaylı analiz etmesi gerekmektedir.
Alınabilecek Önlemler
Yöneticiler, Cisco SD-WAN bileşenleri ve diğer kritik altyapı yazılımlarında yayımlanan yamaları hızlıca uygulamalı, MFA ve Zero Trust prensiplerini benimsemeli. Ayrıca, API anahtarlarının güvenliği için IAM politikaları sıkılaştırılmalı, log yönetimi ile anormal erişimler tespit edilmelidir. Bulut güvenliği ve ağ segmentasyonu stratejileri gözden geçirilerek, saldırı yüzeyinin daraltılması sağlanmalıdır.