# 🔥 Fidye çeteleri Palo Alto GlobalProtect açığına yüklendi: Qilin ve INC, yamalı VPN kusurundan içeri giriyor

**URL:** <https://sibernobet.com/t/fidye-ceteleri-palo-alto-globalprotect-acigina-yuklendi-qilin-ve-inc-yamali-vpn-kusurundan-iceri-giriyor/199>\
**Category:** Siber Haberler · Güncel\
**Tags:** fidye-yazilimi, siber-haberler, palo-alto, vpn\
**Created:** [Ekim 24, 2026, 11:58ös UTC](https://sibernobet.com/t/fidye-ceteleri-palo-alto-globalprotect-acigina-yuklendi-qilin-ve-inc-yamali-vpn-kusurundan-iceri-giriyor/199 "2026-10-24T23:58:35Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\
**Post date:** [Ekim 24, 2026, 11:58ös UTC](https://sibernobet.com/t/fidye-ceteleri-palo-alto-globalprotect-acigina-yuklendi-qilin-ve-inc-yamali-vpn-kusurundan-iceri-giriyor/199/1 "2026-10-24T23:58:35Z")

</div>

> **Ne oldu?** Palo Alto Networks GlobalProtect’teki kimlik doğrulama atlatma açığını (CVE-2026-0257) **Qilin ve INC** fidye yazılımı grupları istismar ediyor. Unit 42, tehdit özetini **19 Ekim 2026** ’da güncelleyerek bu grupları adıyla andı. **Kontrol tarihi: 25 Ekim 2026 (TR).**

## Açık ve geçmişi

- **CVE-2026-0257:** GlobalProtect portal ve ağ geçitlerini etkileyen kimlik doğrulama atlatma; saldırganın yetkisiz VPN oturumu kurmasına izin veriyor. CVSS **7.8**.
- Palo Alto açığı **13 Mayıs** ’ta açıkladı ve yamaladı, başta orta önemli saydı. **29 Mayıs** ’ta danışma belgesini güncelleyerek yamasız cihazlarda sınırlı istismar denemeleri gördüğünü söyledi; **CISA aynı gün açığı KEV kataloğuna ekledi.**
- Yani yama aylardır var — ama güncellenmemiş kenar cihazları fidye grupları için güvenilir bir giriş kapısına dönüştü.

## Kim, nasıl?

- Unit 42, **Qilin** ’i Spikey Scorpius, **INC** ’i Tarnished Scorpius adıyla takip ediyor. Haziran’dan beri süren incelemede hedefler arasında eğitim, finans, sağlık, üretim ve kamu var.
- Tipik senaryo: açıkla ağa giriş → **MFA’yı aşıp** VPN oturumu kurma → yatay hareket. Bir vakada saldırganlar VPN ağ geçidinden vCenter’a geçmiş, ESXi sunucularında güvenlik denetimlerini kapatmış ve bir etki alanı denetleyicisinin sanal diskinden kimlik bilgisi çekmiş. Bazı olaylarda erişim bir **Veeam açığıyla (CVE-2023-27532)** zincirlenmiş.
- Arctic Wolf, Haziran 2026’daki Qilin saldırılarında açığın ilk erişim için kullanıldığını ve `C:\PerfLogs\win.exe` yolunda sahnelenen bir Qilin yüküne işaret eden kayıt (registry) girdileri bulduğunu bildirdi. ReliaQuest ise Cobalt Strike, BloodHound ve SharpHound kullanımı ile Qilin ve Settra etkinliği gözlemledi.

## Ne yapmalısın?

- GlobalProtect portal/ağ geçidi çalıştırıyorsan **PAN-OS’u güncel tut** ve CVE-2026-0257 yamasının uygulandığını doğrula.
- Yalnızca yamaya güvenme: açık aylardır istismar edildiği için cihazın daha önce ele geçirilmiş olabileceğini varsay. VPN oturum günlüklerini, beklenmeyen MFA kayıtlarını ve vCenter/ESXi tarafındaki olağandışı etkinliği incele.
- Veeam, vCenter ve etki alanı denetleyicisi gibi kritik iç sistemleri segmentle; kenar cihazından bu sistemlere giden yolları sınırla.

_Kaynaklar: [Cybersecurity Dive](https://www.cybersecuritydive.com/news/ransomware-targeting-palo-alto-networks-vulnerability/833474/), [Help Net Security](https://www.helpnetsecurity.com/?p=388600), [Unit 42 tehdit özeti güncellemesi (19 Ekim)](https://unit42.paloaltonetworks.com/). Kontrol tarihi: 25 Ekim 2026._