Fidye grupları Palo Alto VPN açığını haziran ayından beri kullanıyor

Palo Alto Networks güvenlik duvarlarının uzaktan erişim bileşeni GlobalProtect'te mayıs ayında açıklanan kimlik doğrulama atlatma zafiyeti, aradan beş ay geçmesine rağmen aktif biçimde sömürülüyor. Palo Alto Networks'ün kendi tehdit araştırma birimi Unit 42'nin 19 Ekim'de güncellediği rapora göre açığı artık en az üç fidye yazılımı grubu, kurumsal ağlara ilk erişim sağlamak için kullanıyor.

Açık tam olarak ne yapıyor?

CVE-2026-0257 kodlu zafiyet, GlobalProtect portal ve ağ geçidi bileşenlerinde "kimlik doğrulama atlatma çerezi" (authentication override cookie) özelliğinin etkin olduğu ve belirli bir sertifika yapılandırmasının bulunduğu kurulumları etkiliyor. Güvenlik duvarı bu çerezleri bütünlük doğrulaması yapmadan kabul ettiği için, kimliği doğrulanmamış bir saldırgan geçerli bir VPN oturumu açabiliyor. The Hacker News'in aktardığı CVSS puanı 7.8. Fiziksel ve sanal PAN-OS güvenlik duvarlarının yanı sıra Prisma Access de etkilenenler arasında.

Zafiyetin asıl kritik yönü, çok faktörlü kimlik doğrulamayı (MFA) devre dışı bırakması. Saldırgan kullanıcı adı ve parolaya ihtiyaç duymadan ağın içine giriyor; yani uzaktan erişim güvenliğini yalnızca MFA'ya dayandıran mimariler bu açık karşısında koruma sağlamıyor.

Neden beş ay sonra hâlâ gündemde?

Palo Alto Networks açığı 13 Mayıs 2026'da duyurdu ve zafiyet aynı gün ABD siber güvenlik ajansı CISA'nın aktif sömürülen zafiyetler kataloğuna (KEV) eklendi. Rapid7, 17 ve 21 Mayıs'ta iki ayrı saldırı dalgası bildirdi. 29 Mayıs'ta kamuya açık bir kanıt kodu (PoC) yayımlandıktan sonra sömürü hacmi arttı; Unit 42 olay müdahale ekipleri haziran başından itibaren bu açıkla ilişkili sızma vakalarını incelemeye başladı.

Unit 42, açığı kullanan gruplar arasında Qilin ve Inc fidye yazılımı operasyonlarını isimlendiriyor; ReliaQuest ise listeye Settra'yı ekliyor. Saldırganlar VPN erişimini elde ettikten sonra meşru uzaktan yönetim (RMM) araçlarıyla ağ keşfi yapıyor, RDP ve SMB üzerinden yayılıyor, ardından kimlik bilgisi toplama, veri sızdırma ve fidye yazılımı aşamalarına geçiyor. Unit 42'nin belgelediği bir vakada saldırgan VPN ağ geçidinden vCenter sunucusuna geçmiş, ESXi ana makinelerinde güvenlik kontrollerini kapatmış ve bir etki alanı denetleyicisinin sanal disk dosyasından kimlik bilgilerini çevrimdışı olarak çıkarmış. Help Net Security'nin aktardığına göre ReliaQuest sömürünün önümüzdeki üç ay boyunca sürmesini bekliyor.

Türkiye ve KOBİ tarafındaki karşılığı

Raporlarda öne çıkan sektörler sağlık, eğitim, kamu ve enerji. Ancak olayın KOBİ tarafı başka bir yere bakıyor: bu bir "büyük kurum zafiyeti" değil, bir uzaktan erişim mimarisi zafiyeti. Türkiye'de ofis dışı çalışma, şube bağlantısı ve tedarikçi erişimi için kurulan VPN yapıları çoğu zaman bir kez yapılandırılıp bir daha dönülmeyen sistemler. Üç pratik sonuç çıkıyor:

• Güvenlik duvarı yazılım güncellemeleri, sunucu ve istemci yamalarından daha sık erteleniyor; "kesinti olur" endişesi güncellemeyi aylarca bekletiyor.
• Mayısta yamalanmamış bir cihaz, bugün yamalansa bile geriye dönük risk taşıyor. ReliaQuest'in uyarısı açık: yama, yamadan önce kurulmuş erişimi tek başına ortadan kaldırmayabilir.
• 7545 sayılı Siber Güvenlik Kanunu ve KVKK'nın veri güvenliği yükümlülükleri açısından, kamuya duyurulmuş ve kataloglanmış bir zafiyeti aylarca açık bırakmak savunulabilir bir pozisyon değil.

Kamer Bilişim olarak ne öneriyoruz?

• Güvenlik duvarı envanterinizi ve çalışan yazılım sürümünü bu hafta doğrulayın. PAN-OS kullanıyorsanız üretici bülteninde belirtilen sürüme yükseltin; yükseltme planlanana kadar kimlik doğrulama atlatma çerezi özelliğini kapatın ya da bu özellik için ayrı bir sertifika tanımlayın. Yönetim arayüzünün internete açık olup olmadığını da kontrol edin.
• Yamadan sonra tüm VPN oturumlarını sonlandırın ve geriye dönük log incelemesi yapın. Mayıstan bugüne GlobalProtect kayıtlarında tanımadığınız kaynak IP adreslerini, beklenmeyen cihaz adlarını ve mesai dışı oturumları arayın. Marka ne olursa olsun, uzaktan erişim loglarının en az 6 ay saklandığından emin olun.
• Uzaktan erişimi tek bir katmana yüklemeyin. MFA tek başına yeterli değil; cihaz uyumluluk kontrolü, kaynak IP kısıtlaması, VPN sonrası ağ segmentasyonu ve ayrıcalıklı hesaplar için ayrı erişim yolu ile katmanlandırın. Yedeklerinizin ağdan izole (offline veya değiştirilemez) bir kopyasının bulunduğunu ayrıca doğrulayın.

Güvenlik duvarı sürüm kontrolü, uzaktan erişim yapılandırmasının gözden geçirilmesi veya log incelemesi için iletişim sayfasından bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer lokasyonlarda uzaktan destek veriyoruz.

Kaynak: Help Net Security, Palo Alto Networks Unit 42, The Hacker News