Uzaktan destek sunucusundaki kritik açık aktif olarak sömürülüyor

Kurumsal uzaktan destek altyapısında kritik bir güvenlik açığı, yama yayınlanmadan önce hedefli saldırılarda kullanıldı. BeyondTrust Remote Support ürününü etkileyen CVE-2026-102764 kodlu açık, CVSS ölçeğinde 9,3 puanla derecelendirildi ve CISA 16 Ekim 2026 tarihli duyurusunda yamanın ivedilikle uygulanmasını istedi.

Olay nedir?

Açık, cihazın iç mesajlaşma bileşenlerinin gelen mesajların kaynağını yeterince doğrulamamasından kaynaklanıyor. Üreticinin açıklamasına göre bu durum, belirli koşullarda uzaktan dosya işlemleri yapılmasına imkân veriyor. Gözlemlenen saldırılarda bu yetenek, dosya yükleme ve ardından cihaz üzerinde root yetkisi elde etmeye kadar ilerledi.

Etkilenen sürümler, kendi sunucusunda barındırılan (self-hosted) Remote Support 26.2.3 ve öncesi. 24.3.1 ile 26.2.3 arasındaki sürümlerde BT26-05-RS yamasının elle uygulanması, 24.3.1'den eski sürümlerde ise önce desteklenen bir sürüme yükseltilmesi gerekiyor. Bulut (SaaS) müşterileri 9 Ekim 2026 itibarıyla otomatik olarak yamalandı. Aynı kod tabanını paylaşan Privileged Remote Access ürününde sömürülebilir bir yol bulunmadı, ancak önlem amaçlı bir yama yayınlandı.

Mandiant ve Google Threat Intelligence Group, faaliyeti Armory Castle (eski adıyla UNC5221) olarak izlenen, Çin bağlantılı olduğu değerlendirilen bir casusluk grubuna atfediyor. Aynı grup daha önce Citrix NetScaler ve Ivanti Connect Secure ürünlerinde sıfırıncı gün açıklarını kullanmıştı. İlk sömürü faaliyeti 29 Ağustos 2026'ya kadar geriye gidiyor; yani açık yaklaşık altı hafta boyunca yama olmadan kullanıldı.

Neden önemli?

Uzaktan destek sunucusu, sıradan bir sunucu değil. Teknik ekibin müşteri ve çalışan bilgisayarlarına ayrıcalıklı erişimini yöneten, kimlik bilgilerini saklayan ve oturumları başlatan merkezi bir köprü. Bu köprüyü ele geçiren saldırgan, tek tek uç noktaları kırmak zorunda kalmıyor.

Saldırganların gözlemlenen davranışı bu riski doğruluyor: cihaza PHP tabanlı bir web shell yerleştirildi, SOCKS5 tüneli kuran bir araç çalıştırıldı, yük dengeleyici yapılandırması bu tüneli internete açacak şekilde değiştirildi, kimlik bilgisi kasası boşaltılmaya çalışıldı ve ele geçirilen yönetici hesaplarıyla alt sistemlere destek oturumları açılarak belgeler dışarı aktarıldı. Kritik ayrıntı şu: kurulan kalıcılık mekanizmaları yeniden başlatmadan ve yapılandırma sıfırlamasından sonra da ayakta kalıyor. Ayrıca cihaz üzerindeki kayıtlar silindiği için, inceleme yalnızca cihaz dışında tutulan kayıtlarla anlamlı sonuç veriyor.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'deki orta ölçekli şirketlerin çoğu BeyondTrust kullanmıyor; ancak neredeyse hepsi işlevsel olarak aynı şeyi yapan bir araç kullanıyor: uzaktan destek yazılımı, VPN yoğunlaştırıcı, RMM paneli ya da hizmet aldığı BT firmasının destek altyapısı. Bu olayın asıl mesajı ürün adında değil, sınıfta. Ayrıcalıklı erişim sağlayan ve internete açık duran her bileşen, bugün birinci sınıf hedef.

İkinci nokta sorumluluk tarafında. 6698 sayılı kanun kapsamında veri sorumlusu, işlemeyi kendi altyapısında yapmasa da uygun güvenlik düzeyini sağlamakla yükümlü. Destek altyapısı üzerinden gerçekleşen bir erişim, kişisel veriye ulaşıldığında bildirim yükümlülüğünü doğurur. Üçüncü nokta ise zamanlama: sömürü altı hafta boyunca sessiz kaldığına göre, "yamayı geçen hafta uyguladık" cümlesi tek başına yeterli bir cevap değil.

Kamer Bilişim olarak ne öneriyoruz?

• Ayrıcalıklı erişim envanterini çıkarın ve yönetim arayüzlerini internetten kapatın. Uzaktan destek, VPN ve yönetim panellerinin yönetici giriş sayfaları yalnızca VPN veya atlama sunucusu (jump host) üzerinden erişilebilir olmalı; internete açık kalması gereken tek şey son kullanıcı istemci trafiği.
• Yamadan sonra kimlik bilgilerini döndürün, önce değil. Bu tür cihazlar başka sistemlerin şifrelerini de barındırdığı için, yamadan önce yapılan rotasyon yeni şifreyi aynı saldırgana teslim eder. Doğru sıra: yama, inceleme, sonra rotasyon.
• Kayıtları cihazın dışına alın ve geriye dönük tehdit avı yapın. Beklenmeyen saatlerdeki yönetici girişleri, tanımsız PHP yolları, rol değişiklikleri ve kayıt boşlukları aranmalı. Kalıcılık yeniden başlatmayla temizlenmediği için, şüphe giderilemiyorsa temiz ve yamalı bir imajdan yeniden kurulum tek güvenli yol.

Uzaktan erişim altyapınızın envanterini çıkarmak, yönetim arayüzlerinin internete açıklık durumunu kontrol etmek veya mevcut destek araçlarınız için geriye dönük inceleme yapmak istiyorsanız, iletişim sayfamız üzerinden bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek sağlıyoruz.

Kaynak: The Hacker News (16 Ekim 2026), Beazley Security Labs BSL-A1231 (15 Ekim 2026), SC World (16 Ekim 2026), CISA duyurusu (16 Ekim 2026)