Uzaktan destek aracındaki kritik açık aktif olarak sömürülüyor

Uzaktan destek yazılımı BeyondTrust Remote Support'ta bulunan kritik bir kimlik doğrulama atlatma açığı, yaması yayımlanmadan haftalar önce gerçek saldırılarda kullanıldı. ABD siber güvenlik ajansı CISA, CVE-2026-102764 kodlu açığı 16 Ekim 2026'da "aktif sömürülen açıklar" kataloğuna ekledi ve federal kurumlara 19 Ekim'e kadar yama uygulama zorunluluğu getirdi.

Olayda ne oldu?

Üreticinin BT26-05 kodlu güvenlik bildirimine göre açık, ürünün iç bileşenlerinin gelen mesajların kaynağını doğru biçimde doğrulamamasından kaynaklanıyor. Bu da kimliği doğrulanmamış bir saldırganın, kullanıcı etkileşimine gerek kalmadan cihaz üzerinde dosya işlemleri yapabilmesine imkân tanıyor. Rapid7'in analizine göre açığın CVSS v4 puanı 9.3 ve Remote Support'un 26.2.3 ile önceki sürümleri etkileniyor.

Zaman çizelgesi en az açığın kendisi kadar dikkat çekici. Üreticinin açıklamasına göre ilk iki ihlal 29 Ağustos 2026'da gerçekleşti, olay 28 Eylül'de tespit edildi ve yama 8 Ekim'de yayımlandı. Yani açık, kapatılmadan önce yaklaşık altı hafta boyunca sessizce kullanıldı. Olay müdahalesini yürüten Mandiant, saldırıyı casusluk odaklı bir tehdit grubuna atfediyor. Bulut (SaaS) müşterilerinin otomatik olarak yamandığı, kendi sunucusunda barındıran müşterilerin ise yamayı elle uygulaması gerektiği belirtiliyor.

Neden önemli?

Uzaktan destek ve uzaktan erişim araçları tanımı gereği ayrıcalıklı konumdadır: kurumdaki çok sayıda sisteme meşru şekilde bağlanır, çoğu zaman kimlik bilgilerini saklar veya aktarır. Rapid7'in aktardığına göre saldırganlar bu olayda cihaza web kabuğu ve tünelleme aracı yerleştirdi, root yetkisine yükseldi, kimlik bilgisi kasasını okumayı denedi ve izlerini gizlemek için günlükleri sildi.

Asıl ders ürün markasıyla ilgili değil. İnternete açık her yönetim arayüzü — uzaktan destek paneli, RMM konsolu, VPN cihazı, güvenlik duvarı yönetim portalı — saldırgan için tek hamlede çok sayıda sisteme ulaşma fırsatıdır. Yamanın yüklenmesi de tek başına yeterli değil: üretici, yamanın saldırganın geride bıraktığı kalıcılık mekanizmalarını kaldırmadığını, bu nedenle yama sonrası inceleme yapılması gerektiğini açıkça belirtiyor.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'de KOBİ ölçeğindeki işletmelerin çoğu bu ürünü kullanmıyor olabilir. Ancak aynı işlevi gören, çok daha yaygın araçlar kullanılıyor: uzak masaüstü bağlantıları, RMM ajanları, VPN cihazları, kamera ve NVR arayüzleri, sunucu ve depolama yönetim panelleri. Bu bileşenlerin ortak özelliği bir kez kurulup yıllarca güncellenmeden çalışmaları ve çoğu zaman envanterde bile yer almamalarıdır.

KVKK tarafında da karşılığı var: bir uzaktan erişim bileşeni üzerinden kişisel veri içeren sistemlere erişilmesi, veri sorumlusu için ihlal bildirimi yükümlülüğü doğurur. Bu olayda ihlalin bir ay boyunca fark edilmemiş olması, "tespit süresi" konusunun en az "önleme" kadar önemli olduğunu gösteriyor.

Kamer Bilişim olarak ne öneriyoruz?

• İnternete açık yönetim arayüzlerinizin envanterini çıkarın. Uzak masaüstü, VPN, firewall yönetim portalı, NVR, yazıcı ve sunucu panellerinden hangilerinin dışarıdan erişilebilir olduğunu tespit edin. Dışarıdan erişilmesi zorunlu olmayan her arayüzü kapatın; zorunlu olanları ise yalnızca belirli IP adresleri veya VPN arkasından erişilebilir hale getirin.
• Uzaktan erişim bileşenleri için ayrı bir güncelleme takvimi kurun. Sunucu ve istemci yamalarını takip eden ekipler çoğu zaman ağ cihazlarını ve destek araçlarını atlar. Bu bileşenler için üretici güvenlik bildirimlerine abone olun ve yamayı gün içinde uygulayabileceğiniz bir bakım penceresi tanımlayın.
• Günlükleri cihazın dışına aktarın ve yama sonrası doğrulama yapın. Saldırganların ilk işi yerel günlükleri silmek oluyor. Cihaz günlüklerini merkezi bir sunucuya aktarın; kritik bir açık yamandıktan sonra da yetkili hesaplarda, oturum kayıtlarında ve beklenmeyen dosyalarda inceleme yapın, gerekiyorsa saklanan kimlik bilgilerini değiştirin.

İstanbul Anadolu Yakası'ndaki ofis, üretim tesisi ve şubelerinizde hangi yönetim arayüzlerinin internete açık olduğunu bilmiyorsanız, başlangıç için bir dış yüzey envanteri çıkarmak en hızlı adımdır. Kamer Bilişim olarak 2006'dan bu yana kurumsal ağ, sunucu ve güvenlik duvarı yönetimi yapıyoruz; mevcut altyapınızı gözden geçirmemizi isterseniz iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: Rapid7 — "CVE-2026-102764: Critical BeyondTrust Remote Support Authentication Bypass Exploited in the Wild"; BeyondTrust güvenlik bildirimi BT26-05; CISA Known Exploited Vulnerabilities kataloğu, 16 Ekim 2026.