Palo Alto VPN açığı beş aydır fidye saldırılarında kullanılıyor

Palo Alto Networks'ün güvenlik duvarı işletim sistemi PAN-OS'ta mayıs ayında yamalanan bir kimlik doğrulama atlatma açığı, aradan beş ay geçmesine rağmen fidye yazılımı grupları tarafından aktif olarak sömürülmeye devam ediyor. Şirketin kendi tehdit istihbarat ekibi Unit 42, 19-20 Ekim 2026'da yayımladığı güncellemelerde saldırıların sürdüğünü doğruladı.

Açık ne yapıyor?

CVE-2026-0257 olarak kayıtlı zafiyet, PAN-OS'un GlobalProtect portal ve ağ geçidi bileşenini etkiliyor. Saldırgan, geçerli bir kullanıcı adı ve şifre olmadan VPN oturumu açabiliyor; Unit 42'nin bulgularına göre çok faktörlü kimlik doğrulama (MFA) da bu yolla atlatılabiliyor. Palo Alto açığı 13 Mayıs 2026'da duyurdu ve yamasını yayımladı, ABD'li CISA aynı gün zafiyeti "bilinen sömürülen açıklar" (KEV) kataloğuna ekledi. Buna rağmen Rapid7, 17 Mayıs'tan itibaren birden fazla müşteri ortamında başarılı sömürü tespit ettiğini bildirdi.

Neden önemli?

Buradaki asıl risk açığın kendisi değil, sonrasında olanlar. Unit 42'nin incelediği vakalarda saldırganlar VPN erişimi elde ettikten sonra uzaktan yönetim araçlarıyla ağı tarıyor, RDP ve SMB üzerinden yan geçiş yapıyor, kimlik bilgilerini topluyor ve son adımda fidye yazılımını devreye alıyor.

Bir vakada saldırganlar VPN ağ geçidinden VMware vCenter yönetim arayüzüne geçti, ESXi sunucularındaki execInstalledOnly korumasını kapattı ve etki alanı denetleyicisinin sanal diskinden (VMDK) kimlik bilgilerini çevrimdışı olarak çıkardı. Unit 42 bu yöntemi "son derece gelişmiş" olarak tanımlıyor, çünkü işletim sistemi içinde çalışan EDR ürünlerini tamamen devre dışı bırakıyor. Ekip ayrıca saldırganların bu açığı Veeam yedekleme altyapısındaki CVE-2023-27532 ile birlikte kullandığını gözlemledi; yani yedekler de aynı zincirin hedefi.

Sömürüyü yürüten gruplar arasında Qilin ve INC bulunuyor. ReliaQuest Threat Research ise Settra fidye yazılımı operatörlerinin de aynı açığı kullandığını bildirdi. Unit 42, saldırıların eğitim, finans, sağlık, teknoloji, konaklama, üretim, hukuk ve danışmanlık, kamu, ulaştırma ve lojistik, enerji ile toptan-perakende olmak üzere 11 sektöre yayıldığını açıkladı. Etkilenen kuruluş sayısı açıklanmadı.

Türkiye ve KOBİ tarafındaki karşılığı

Bu senaryo Türkiye'deki orta ölçekli işletmeler için fazlasıyla tanıdık bir yapıya oturuyor: internete açık bir güvenlik duvarı üzerinde VPN, arkasında sanallaştırma sunucusu, aynı ağda yedekleme sunucusu ve etki alanı denetleyicisi. Tek bir yamalanmamış ağ geçidi, bu zincirin tamamını saldırgana açıyor.

Hukuki tarafı da var. 6698 sayılı Kanun kapsamında kişisel veri ihlallerinin KVKK'ya en kısa sürede, en geç 72 saat içinde bildirilmesi gerekiyor. 7545 sayılı Siber Güvenlik Kanunu ise kurumlara güvenlik önlemlerini alma ve olayları bildirme yükümlülüğü getiriyor. Fidye saldırısında yedekler de şifrelenirse, olay müdahalesi ve bildirim süreci teknik bir sorundan hızla idari bir sorumluluğa dönüşüyor.

Kamer Bilişim olarak ne öneriyoruz?

• Güvenlik duvarınızın sürümünü bu hafta kontrol edin. PAN-OS kullanıyorsanız 13 Mayıs 2026 sonrası yamanın uygulanmış olduğunu doğrulayın. Ayrıca GlobalProtect yönetim arayüzlerinin (4443 ve 3879 portları) internete açık olup olmadığını denetleyin; Unit 42 ve Hackread'in aktardığı tavsiye bu arayüzlere erişimi kısıtlamak yönünde. Aynı kontrol diğer markaların VPN ağ geçitleri için de geçerli: yamalanmamış bir ağ geçidi marka ayrımı yapmıyor.
• Yedeğinizi ağdan ayırın. Saldırı zincirinin Veeam açığıyla birleştirilmesi, yedekleme sunucusunun artık varsayılan hedef olduğunu gösteriyor. Yedeklerin en az bir kopyası etki alanına üye olmayan, ayrı kimlik bilgileriyle erişilen ve değiştirilemez (immutable) bir ortamda tutulmalı. Geri dönüş testi yapılmamış yedek, yedek sayılmaz.
• Sanallaştırma ve yönetim katmanını ayrı bir güvenlik bölgesine alın. vCenter, ESXi ve etki alanı denetleyicisi yönetim arayüzleri kullanıcı ağından ve VPN havuzundan erişilebilir olmamalı. Yönetici hesapları için ayrı MFA, yönetim erişimi için atlama sunucusu (jump host) ve bu arayüzlerdeki oturum açma kayıtlarının merkezi olarak toplanması, saldırganın en çok işine yarayan adımı en pahalı adım hâline getiriyor.

İstanbul Anadolu Yakası'ndaki işletmelere güvenlik duvarı ve VPN yapılandırması, yedekleme mimarisi ve sunucu bakımı konusunda yerinde ve uzaktan destek veriyoruz. Mevcut kurulumunuzun bu zincire karşı ne kadar dayanıklı olduğunu birlikte gözden geçirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: The Register, 20 Ekim 2026 — "Palo Alto's firewall OS has been under attack from multiple ransomware groups since June"; Hackread, 22 Ekim 2026; Palo Alto Networks Unit 42 güncellemeleri (19-20 Ekim 2026).