Palo Alto Networks'ün mayısta yamaladığı GlobalProtect VPN açığı CVE-2026-0257, Qilin, Inc ve Settra fidye yazılımı gruplarınca hâlâ kullanılıyor. Araştırmacılar yamanın tek başına yetmediği, yama öncesi kurulan erişimin ayrıca aranması gerektiği konusunda uyarıyor.
Palo Alto Networks'ün PAN-OS güvenlik duvarı yazılımındaki GlobalProtect VPN açığı, mayıs ayında yamalanmasına rağmen aylardır fidye yazılımı gruplarının kurumsal ağlara açılan kapısı olmayı sürdürüyor. CVE-2026-0257 kodlu açık, kimliği doğrulanmamış bir saldırganın çerez doğrulamasındaki eksiklikten yararlanarak yetkisiz bir VPN oturumu kurmasına izin veriyor.
Palo Alto Networks açığı 13 Mayıs 2026'da duyurup yamasını yayımladı ve ilk değerlendirmesinde riski "orta" seviye olarak derecelendirdi. Açık bugün CVSS 4.0 ölçeğinde 7,8 puanla "yüksek" seviyede derecelendiriliyor ve 29 Mayıs'ta ABD siber güvenlik ajansı CISA'nın aktif sömürülen açıklar (KEV) kataloğuna eklendi. Rapid7, 17 Mayıs'tan itibaren müşteri ortamlarında başarılı sömürü girişimleri gözlemlediğini bildirdi. Palo Alto'nun olay müdahale birimi Unit 42 ise haziran başından bu yana bu açıkla bağlantılı saldırıları incelediğini açıkladı. 19 Ekim'de güncellenen Unit 42 tehdit brifinginde saldırıların arkasında Qilin ve Inc fidye yazılımı gruplarının bulunduğu belirtildi; güvenlik firması ReliaQuest ise aynı açığı kullanan Settra operatörlerini ve ilk erişim satıcılarını tespit etti.
Neden önemli?
Saldırganlar açığı yalnızca ağa girmek için kullanmıyor. Unit 42'nin bulgularına göre VPN oturumu kurulduktan sonra çok faktörlü doğrulama atlanıyor, ağ içinde meşru BT yönetim araçlarıyla yanal hareket ediliyor ve fidye yazılımı çalıştırılmadan önce kimlik bilgisi ile veri çalma araçları devreye sokuluyor. Raporlanan bir olayda saldırganlar VPN ağ geçidinden vCenter sunucusuna ulaşmış, ESXi hipervizörlerindeki güvenlik kontrollerini devre dışı bırakmış ve etki alanı denetleyicisinin sanal diskinden kimlik bilgilerini çevrimdışı çıkarmış.
En can alıcı nokta ReliaQuest'in uyarısı: yamayı uygulamak, yamadan önce kurulmuş erişimi ortadan kaldırmıyor. Erişim kurumun kendi VPN'i üzerinden geldiği için trafik normal uzaktan çalışma gibi görünüyor ve klasik izleme ekranlarında dikkat çekmiyor. ReliaQuest sömürünün önümüzdeki üç ay boyunca sürmesini "yüksek olasılıklı" görüyor.
Türkiye ve KOBİ tarafındaki karşılığı
Bu tablo yalnızca Palo Alto kullanan kurumları ilgilendiren bir vaka değil. İstanbul Anadolu Yakası'ndaki pek çok KOBİ, inşaat ofisi, denizcilik acentesi ve lojistik firması saha ekiplerini, muhasebe birimini ve yöneticilerini güvenlik duvarı üzerindeki SSL VPN ile ofise bağlıyor. Bu cihazlar çoğu zaman bir kez kurulup unutuluyor; üreticinin "orta" seviye dediği güncellemeler ise öncelik listesinin en altına düşüyor. CVE-2026-0257 bu alışkanlığın nasıl sonuçlandığını net biçimde gösteriyor: mayısta orta riskli görülen bir açık, ekimde fidye yazılımı kampanyalarının giriş noktası olarak raporlandı.
KVKK tarafında da sonucu ağır. VPN üzerinden gerçekleşen bir saldırıda kişisel veri sızması olursa, 6698 sayılı Kanun kapsamında Kurul'a en kısa sürede ve her halükârda 72 saat içinde ihlal bildirimi yapılması gerekiyor. Böyle bir incelemede "güncellemeyi geç uyguladık" açıklaması, teknik tedbir eksikliği olarak değerlendiriliyor.
Kamer Bilişim olarak ne öneriyoruz?
- Yamadan sonra tüm VPN oturumlarını sonlandırın. Güncellemeyi kurmak tek başına yeterli değil. Aktif SSL VPN oturumlarını kapatın, VPN kullanan hesapların parolalarını ve varsa istemci sertifikalarını yenileyin, gerekmeyen kimlik doğrulama çerezi özelliklerini kapatın.
- Geriye dönük kayıt incelemesi yapın. Mayıs ayından bugüne VPN günlüklerinde beklenmedik hesap-cihaz eşleşmelerini, alışılmadık coğrafi konumları ve tanımadığınız istemci adlarını arayın. Yama öncesinde kurulmuş bir erişim ancak bu şekilde ortaya çıkar.
- Güncellemeyi takvime bağlayın, önem derecesine bırakmayın. İnternete açık her cihaz için aylık güncelleme ve çeyreklik yapılandırma gözden geçirme rutini kurun; dışarıya açık olması gerekmeyen yönetim arayüzlerini kapatın ve VPN erişimini etki alanı denetleyicisi, hipervizör yönetimi ile yedekleme sunucularından ağ bölümlemesiyle ayırın.
Kurumunuzun güvenlik duvarı ve VPN yapılandırmasının güncel olup olmadığından emin değilseniz, mevcut durumu birlikte gözden geçirelim. Bize iletişim sayfasından ulaşabilirsiniz.
Kaynak: eSecurity Planet, Help Net Security, The Register, Palo Alto Networks Unit 42
Kaynak: eSecurity Planet