Ne oldu? Palo Alto Networks GlobalProtect’teki kimlik doğrulama atlatma açığını (CVE-2026-0257) Qilin ve INC fidye yazılımı grupları istismar ediyor. Unit 42, tehdit özetini 19 Ekim 2026’da güncelleyerek bu grupları adıyla andı. Kontrol tarihi: 25 Ekim 2026 (TR).
Açık ve geçmişi
- CVE-2026-0257: GlobalProtect portal ve ağ geçitlerini etkileyen kimlik doğrulama atlatma; saldırganın yetkisiz VPN oturumu kurmasına izin veriyor. CVSS 7.8.
- Palo Alto açığı 13 Mayıs’ta açıkladı ve yamaladı, başta orta önemli saydı. 29 Mayıs’ta danışma belgesini güncelleyerek yamasız cihazlarda sınırlı istismar denemeleri gördüğünü söyledi; CISA aynı gün açığı KEV kataloğuna ekledi.
- Yani yama aylardır var — ama güncellenmemiş kenar cihazları fidye grupları için güvenilir bir giriş kapısına dönüştü.
Kim, nasıl?
- Unit 42, Qilin’i Spikey Scorpius, INC’i Tarnished Scorpius adıyla takip ediyor. Haziran’dan beri süren incelemede hedefler arasında eğitim, finans, sağlık, üretim ve kamu var.
- Tipik senaryo: açıkla ağa giriş → MFA’yı aşıp VPN oturumu kurma → yatay hareket. Bir vakada saldırganlar VPN ağ geçidinden vCenter’a geçmiş, ESXi sunucularında güvenlik denetimlerini kapatmış ve bir etki alanı denetleyicisinin sanal diskinden kimlik bilgisi çekmiş. Bazı olaylarda erişim bir Veeam açığıyla (CVE-2023-27532) zincirlenmiş.
- Arctic Wolf, Haziran 2026’daki Qilin saldırılarında açığın ilk erişim için kullanıldığını ve
C:\PerfLogs\win.exeyolunda sahnelenen bir Qilin yüküne işaret eden kayıt (registry) girdileri bulduğunu bildirdi. ReliaQuest ise Cobalt Strike, BloodHound ve SharpHound kullanımı ile Qilin ve Settra etkinliği gözlemledi.
Ne yapmalısın?
- GlobalProtect portal/ağ geçidi çalıştırıyorsan PAN-OS’u güncel tut ve CVE-2026-0257 yamasının uygulandığını doğrula.
- Yalnızca yamaya güvenme: açık aylardır istismar edildiği için cihazın daha önce ele geçirilmiş olabileceğini varsay. VPN oturum günlüklerini, beklenmeyen MFA kayıtlarını ve vCenter/ESXi tarafındaki olağandışı etkinliği incele.
- Veeam, vCenter ve etki alanı denetleyicisi gibi kritik iç sistemleri segmentle; kenar cihazından bu sistemlere giden yolları sınırla.
Kaynaklar: Cybersecurity Dive, Help Net Security, Unit 42 tehdit özeti güncellemesi (19 Ekim). Kontrol tarihi: 25 Ekim 2026.