BeyondTrust Remote Support'ta bulunan CVE-2026-102764 kodlu kritik açık, duyurulmadan önce ağustos ayından beri saldırılarda kullanılmış. Olay, uzaktan destek araçlarının kendisinin bir saldırı yolu olabileceğini gösteriyor.
BeyondTrust, kurumsal uzaktan destek ürünü Remote Support üzerindeki kritik bir güvenlik açığını 15 Ekim 2026'da duyurdu. CVE-2026-102764 kodlu açık CVSSv4 ölçeğinde 9.3 puan aldı. Zafiyet, kimlik doğrulaması yapmamış bir saldırganın cihaz üzerinde dosya işlemi yapmasına izin veriyor; yani internete açık bir destek sunucusuna, hiçbir şifre bilinmeden dosya yüklenebiliyor.
Daha önemlisi, açık duyurulmadan önce kullanılmıştı. BeyondTrust'ın yayımladığı rapora göre bilinen iki ihlal 29 Ağustos 2026 tarihine dayanıyor: biri şirketin kendi barındırdığı bir örnek, diğeri bir müşterinin kendi sunucusundaki kurulum. İlk ihlal 28 Eylül'de tespit edilip kontrol altına alındı. Google'ın tehdit istihbaratı birimi Mandiant, saldırıyı daha önce UNC5221 adıyla izlenen ARMORY CASTLE grubuna bağlıyor. ABD siber güvenlik kurumu CISA ise açığı 16 Ekim'de aktif olarak sömürülen zafiyetler kataloğuna ekledi ve federal kurumlara yama için 19 Ekim'e kadar süre tanıdı.
Bu haber neden diğer açıklardan farklı?
Sorun tek bir üründe değil, bir ürün kategorisinde. Uzaktan destek ve uzaktan erişim yazılımları tanımı gereği ayrıcalıklıdır: kullanıcı bilgisayarlarına bağlanır, yönetici hesaplarını saklar, sunuculara atlama noktası olur. Mandiant'ın anlattığı saldırı zinciri de tam olarak bunu kullanmış. Saldırganlar cihaza bir web kabuğu yükledikten sonra root yetkisi almış, cihazın kimlik kasasındaki yönetici parolalarını çekmiş, kendi yetki rollerini yükseltmiş ve ardından sıradan destek oturumları üzerinden iç ağdaki bilgisayarlara erişmiş. Günlük kayıtları da silinmiş.
Bunun pratik sonucu şu: yamayı geçmek tek başına yeterli değil. Hem BeyondTrust hem Mandiant, sömürü penceresinde internete açık ve yamasız kalmış cihazların ihlal edilmiş varsayılmasını, temiz bir imajdan yeniden kurulmasını ve kimlik bilgilerinin bu işlemden sonra değiştirilmesini öneriyor. Parolaları yamadan önce değiştirmek, hâlâ erişimi olan bir saldırgana yeni parolaları teslim etmek anlamına geliyor.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'deki KOBİ'lerin çoğu BeyondTrust Remote Support kullanmıyor. Ama neredeyse hepsi bir uzaktan erişim aracı kullanıyor: bakım firmasının RMM ajanı, VPN cihazı, atlama sunucusu, ücretsiz bir uzak masaüstü programı ya da doğrudan internete açılmış bir RDP portu. Bu araçların envanteri çoğu zaman tutulmaz, ayrı bir yama takvimi olmaz ve tek bir parolayla korunur. Oysa bu haberdeki saldırı, tam da bu katmanı hedef alıyor.
İkinci boyut KVKK tarafı. Destek aracı üzerinden iç ağa erişilen bir olayda kişisel veri içeren sistemlere de erişilmiş olabilir. Bu durumda veri sorumlusunun ihlali Kurula bildirme yükümlülüğü doğar. Bu nedenle olayı sadece bir "yama işi" olarak görmemek, erişim kayıtlarını saklamak ve bir olay müdahale planına sahip olmak gerekiyor.
Kamer Bilişim olarak ne öneriyoruz?
- Uzaktan erişim envanterinizi çıkarın. Kurumunuza dışarıdan bağlanabilen her aracı tek bir listede toplayın: RMM ajanları, VPN cihazları, uzak masaüstü yazılımları, açık RDP ve VNC portları, tedarikçilerin kullandığı hesaplar. Listede olmayan bir aracı yamalayamaz, kapatamazsınız.
- Yönetim arayüzlerini internete kapatın. Destek ve ağ cihazlarının yönetim panelleri ya yalnızca VPN üzerinden ya da IP kısıtlamasıyla erişilebilir olmalı. Yönetici girişlerinde çok faktörlü doğrulama zorunlu tutulmalı, tedarikçi hesapları süreli ve ayrı tanımlanmalı.
- Yama ile ihlal senaryosunu ayrı planlayın. Kritik cihazların günlük kayıtlarını cihaz dışında, merkezi bir yerde saklayın; zafiyet duyuruları için sorumlu bir kişi ve azami müdahale süresi belirleyin; yedeklerinizin temiz bir sürüme geri dönmeye yetip yetmediğini yılda en az bir kez gerçekten test edin.
Ağ altyapısı, güvenlik duvarı, sunucu yönetimi ve kurumsal bakım anlaşmalarıyla İstanbul Anadolu Yakası genelinde hizmet veriyoruz. Kurumunuzdaki uzaktan erişim yapısını birlikte gözden geçirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: BeyondTrust güvenlik bildirimi (BT26-05), Google Threat Intelligence / Mandiant, CISA ve Rapid7 analizleri.
Kaynak: CISA