Ne oldu? Group-IB ve NyxLab, kurumların internete açık güvenlik duvarı ve VPN cihazlarını hedef alan geniş bir kampanyayı 23 Ekim 2026’da yayımladı. Kontrol tarihi: 24 Ekim 2026 (TR).
Olayın özeti
- Hedef cihazlar: Fortinet FortiGate ve FortiWeb, Palo Alto Networks GlobalProtect, PAN-OS ve Prisma Access.
- Araştırmacılar ağ cihazı kayıtları ve LDAP dökümleri dahil 70.000’den fazla açığa çıkmış kimlik bilgisi buldu.
- Saldırgan k0t (CryptoFeel, Member19, QazWsxShop adlarıyla da biliniyor). İlk kez Ekim 2025’te görülmüş. Ağlara ilk erişimi satan bir “erişim simsarı” ya da Qilin ve The Gentlemen fidye yazılımı gruplarıyla bağlantılı bir ortak olabileceği değerlendiriliyor; bağın niteliği net değil.
- Ele geçirmelerin önemli kısmı Şubat-Haziran 2026 arasında olmuş.
- Kurbanların dağılımı: yaklaşık %38 Asya-Pasifik, %31,9 Latin Amerika, %15,8 Avrupa, %12,7 Orta Doğu ve Kuzey Afrika.
Nasıl giriyorlar?
- İnternete açık cihazları FOFA ve ZoomEye gibi arama motorlarıyla buluyorlar.
- Bilinen açıkları kullanıyorlar: CVE-2025-64446 (FortiWeb yol geçişi) ve CVE-2026-0257 (PAN-OS / Prisma Access kimlik doğrulama atlatma). Açık yoksa şifre deneme (brute force) yapıyorlar.
- İçeri girince VPN üzerinden ağa bağlanıp Active Directory’yi tarıyor, uzaktan erişim araçlarıyla kalıcılık kuruyor, verileri Rclone ile bulut depolamaya kaçırıyorlar.
Ne yapmalısın?
- FortiWeb ve PAN-OS / GlobalProtect cihazlarında bu iki açığın yamalı olduğundan emin ol. CVE-2026-0257’nin fidye çeteleri tarafından kullanıldığını daha önce de yazmıştık: aktif istismar edilen açıklar
- VPN ve yönetim girişlerinde çok adımlı doğrulama (MFA) zorunlu olsun; varsayılan ya da zayıf şifre kalmasın.
- Yönetim panelini internete açık bırakma.
- Cihaz yamalıysa bile, Şubat-Haziran arasında açık kaldıysa VPN ve LDAP şifrelerini yenile.
Kaynaklar: Group-IB araştırması “Stray Cat, Open Doors”, The Hacker News, GBHackers. Kontrol tarihi: 24 Ekim 2026.