🚨 Şu an aktif saldırı altındaki açıklar: MikroTik, WordPress, iPhone, Citrix (Ekim 2026)

[Kalkan]

Son kontrol: 21 Ekim 2026, 19:00 (TR). Bu liste, ABD siber güvenlik ajansı CISA’nın “bilinen ve aktif istismar edilen açıklar” (KEV) kataloğundaki son eklemelerden ve üreticilerin resmi duyurularından hazırlandı. Amaç savunma: neyi güncellemen gerektiğini bilmen. Saldırı kodu ya da istismar adımı paylaşılmaz.

KEV nedir, neden önemli?

• CISA, gerçek saldırılarda kullanıldığı kanıtlanan açıkları bir listede topluyor (13 Ekim itibarıyla 1.739 açık, son güncelleme 8 Ekim).
• Bu listedeki bir ürünü kullanıyorsan “bir gün güncellerim” deme lüksün yok.
• CISA’nın Haziran 2026’daki yeni talimatına (BOD 26-04) göre ABD kamu kurumları, internete açık ve tam kontrol veren KEV açıklarını 3 gün içinde kapatmak zorunda. Son eklemelerin hepsinde bu 3 günlük süre var. Bu, açıkların ne kadar hızlı istismar edildiğini gösteriyor.

Evde ve küçük işletmede seni doğrudan ilgilendirenler

1. MikroTik RouterOS: şifresiz yönetici ele geçirme (“MikroTrick”)

• Açıklar: CVE-2026-67279 ve CVE-2026-86060. Birlikte kullanılınca, internete açık bir MikroTik yönlendiricide şifre bilmeden yönetici yetkisi alınabiliyor. Giriş noktası SSH servisi.
• Durum: Saldırıların, yamadan bir gün önce, 2 Eylül 2026’da başladığı bildiriliyor. Saldırganlar yetkili hesap açıp yapılandırmaları çaldı. Bir rapora göre internette 122.500 savunmasız yönlendirici vardı.
• Neden önemli: MikroTik, Türkiye’de kablosuz internet servis sağlayıcılarında, sitelerde, otellerde ve küçük ofislerde çok yaygın.
• Ne yapmalı?
  • RouterOS’u güncelle: 7.24.2, 7.23.4 ya da daha yeni; eski seride 6.49.21 (MikroTik’in Eylül 2026 güvenlik duyurusu).
  • SSH, Winbox ve web yönetimini internete açma. Yalnızca yerel ağdan ya da VPN’den erişilsin.
  • Kullanıcı listesine bak: tanımadığın bir yönetici hesabı varsa cihaz ele geçirilmiş olabilir. Bu durumda güncelleme yetmez; yapılandırmayı sıfırdan, temiz kur ve tüm şifreleri değiştir.

2. WordPress çekirdeği: CVE-2026-87902

• Açık: Sayfa şablonu seçen fonksiyonda dosya yolu hatası. Belirli sunucu ayarlarında giriş yapmadan kod çalıştırmaya kadar gidebiliyor. 4.7.0’dan 7.1.1’e kadar tüm sürümler etkileniyor.
• Durum: 22 Eylül’de 7.1.2 ile kapatıldı. Yayından birkaç saat sonra saldırı denemeleri görüldü; CISA 25 Eylül’de KEV’e ekledi.
• Ne yapmalı?
  • WordPress’i 7.1.3’e (6 Ekim; 7 güvenlik düzeltmesi daha) ya da kendi dalının son güvenlik sürümüne güncelle.
  • Otomatik güvenlik güncellemelerini kapatma.
  • Sunucuda kullanmadığın PHP araçlarını (ör. PEAR) kaldır.

3. iPhone, iPad ve Mac: CVE-2026-86950 (CoreGraphics)

• Açık: Kötü amaçlı hazırlanmış bir dosya açıldığında kod çalıştırılabilen bellek hatası.
• Durum: Apple, açığın belirli kişileri hedef alan “son derece gelişmiş” bir saldırıda kullanılmış olabileceğini açıkladı. 28 Eylül’de kapattı.
• Ne yapmalı? iOS / iPadOS 26.7.1, macOS Tahoe 26.7.1 ya da Sequoia 15.8.1 sürümüne güncelle. iOS 27’ye geçtiysen etkilenmiyorsun.
  • Ayarlar → Genel → Yazılım Güncelleme. "Otomatik Güncellemeler"i aç.

Kurumlarda çalışanlar için

Ürün	CVE	Ne oluyor?	KEV’e eklenme
Citrix NetScaler ADC / Gateway	CVE-2026-88771, -88772, -88779	Kimlik doğrulamasız komut çalıştırma, bellek hatası, servis dışı bırakma	27 Eylül, 4 Ekim
Fortinet FortiMail	CVE-2026-104286	Kimlik doğrulamasız rastgele dosya yazma	1 Ekim
Cisco Catalyst SD-WAN Manager	CVE-2026-76504	Kimlik doğrulamasız yönetici erişimi	30 Eylül
Microsoft SharePoint	CVE-2026-65660	Ağ üzerinden kod çalıştırma	25 Eylül
Zammad (destek talebi sistemi)	CVE-2026-102489, -102490	Oturum sabitleme + root’a yükselme zinciri	2 Ekim
WSO2 API Manager	CVE-2026-5430	Dosya yükleme ile kod çalıştırma	24 Eylül

• NetScaler kullanıyorsan: yamayı yüklemek yetmez. CISA, Citrix’in yayımladığı belirtileri (IOC) tarayıp adli inceleme yapılmasını istiyor; cihaz önceden ele geçirilmiş olabilir.
• 8 Ekim’de eklenen eski açıklar: ISC BIND (CVE-2015-5477), Apache Struts (CVE-2016-3081), ProFTPD (CVE-2015-3306), ONLYOFFICE Docs (CVE-2021-3199), Strapi (CVE-2023-22894). 5–10 yıllık açıkların bugün hâlâ istismar edilmesi, güncellenmeyen eski sunucuların en büyük risk olduğunu gösteriyor. Bunlardan birini hâlâ çalıştırıyorsan güncelle ya da kapat.

Microsoft Ekim güncellemesi (13 Ekim): Windows’ta aktif saldırı altındaki açık

• Rekor paket: Microsoft bu ay yaklaşık 1.400 açık kapattı (BleepingComputer 1.411, CrowdStrike 1.413 sayıyor; fark sayım yönteminden). 70’i kritik.
• Aktif istismar edilen: CVE-2026-96951 (Windows Shell). İnternetten indirilen dosyalara konan “Web işareti” (Mark of the Web) korumasını atlatıyor. Normalde indirilen bir dosyayı açarken Windows seni uyarır ya da engeller. Bu açıkla saldırgan, zararlı dosyanın uyarısız açılmasını sağlayabiliyor. CVSS 8.8. CISA, ABD kurumlarına 16 Ekim’e kadar yamalamalarını emretti.
• Önceden duyurulan iki açık daha (saldırı görülmedi): .NET Framework’te WDAC korumasını atlatma (CVE-2026-108398, Google Project Zero buldu) ve MessagePack-CSharp’ta hizmet dışı bırakma (CVE-2026-92707).
• Şirketler için: Active Directory ve AD FS’de birkaç kritik açık var; önce bunları yamalayın.
• Destek bitiyor: Windows 11 24H2 Home ve Pro bu ay son güvenlik güncellemesini aldı. Bilgisayarın 24H2’deyse (Ayarlar → Sistem → Hakkında) Windows Update’ten yeni sürüme geç. Windows 11 23H2 Enterprise/Education da gelecek ay destek dışı kalıyor.
• Ne yapmalı? Ayarlar → Windows Update → Güncelleştirmeleri denetle, kur ve yeniden başlat. Yeniden başlatmadan yama tamamlanmaz.
• Ayrıca: internetten inen ve beklemediğin dosyaları (özellikle e-postadan gelen .zip, .iso, .lnk) açma. Bu açık tam olarak o uyarıyı ortadan kaldırıyor.

Kaynak: BleepingComputer, Malwarebytes, CyberScoop.

20 Ekim: Palo Alto GlobalProtect VPN açığı fidye yazılımı çetelerinin elinde

• CVE-2026-0257 (Palo Alto PAN-OS GlobalProtect): VPN portalında ve ağ geçidinde kimlik doğrulamayı atlatma açığı. Saldırgan şifresiz, iki adımlı doğrulamayı (MFA) da atlayarak şirket ağına VPN bağlantısı kurabiliyor. Mayıs’tan beri KEV listesinde.
• Yeni olan: Palo Alto’nun araştırma birimi Unit 42, 19 Ekim güncellemesinde açığın artık fidye yazılımı grupları (Qilin ve Inc) tarafından kullanıldığını bildirdi. Saldırganlar VPN’den girip RDP/SMB ile yayılıyor, sanal sunuculardaki (ESXi/vCenter) korumaları kapatıp şifreleri çalıyor.
• Şirketinde GlobalProtect varsa: Palo Alto’nun resmi duyurusundaki düzeltilmiş sürüme geç. Sadece yamalamak yetmez: GlobalProtect kayıtlarında Haziran’dan beri tanımadığın cihaz adlarıyla başarılı giriş var mı, BT ekibine baktır. Varsa olay müdahalesi başlatılmalı.
• Evde kullanıcıysan bu seni doğrudan ilgilendirmez; ama iş bilgisayarınla şirket VPN’ine bağlanıyorsan BT’nin güncelleme isteklerini erteleme.

Kaynak: Unit 42, 19 Ekim güncellemesi.

21 Ekim: Cisco Secure Email Gateway’de aktif saldırı

• CVE-2026-76519 (CVSS 9.8): Cisco’nun kurumsal e-posta ağ geçidinde (AsyncOS) giriş yapmamış bir saldırgan cihaza dosya yazabiliyor; başarılı olursa root yetkisiyle komut çalıştırabiliyor. Cisco 14 Ekim’de duyurdu ve açığın gerçek saldırılarda kullanıldığını doğruladı.
• Etkilenme şartı: File Reputation (AMP) bir posta politikasına atanmış ve Content Scanner Tools 25.3.0.5525’ten eski. Secure Email and Web Manager ve Secure Web Appliance etkilenmiyor.
• Ne yapmalı? AsyncOS 15.5.5-014 ya da 16.5.0-780’e geç veya Content Scanner Tools’u 25.3.0.5525+ yap (yeniden başlatma gerekmiyor). 16.0 dalı için düzeltme yok, düzeltilmiş bir sürüme taşınmak gerekiyor. Geçici çözüm yok.
• Ele geçirilmiş sanal cihazlar için Cisco, güncellemek yerine yeni şifrelerle sıfırdan kurulum öneriyor. Her küme üyesinde sistem loglarındaki “System Security” taraması sonucuna bak; “temiz” çıkması tek başına yeterli değil, güvenlik duvarı loglarını da incele.
• Ev kullanıcısını ilgilendirmez; şirketinde Cisco e-posta güvenlik cihazı varsa BT ekibine ilet.

Kaynak: The Hacker News (Cisco güvenlik duyurusu, 14 Ekim).

21 Ekim akşam: Plex Media Server’da “Plex2Shell” (evde film/dizi sunucusu kuranlar)

• CISA 20 Ekim’de Plex Media Server’daki dört açığı (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656) aktif istismar listesine ekledi. Aynı gün listeye Siemens Software Center (CVE-2026-110936, ClickFix saldırılarında kullanıldı) ve Japon EG Secure Solutions’ın SiteGuard Server Edition’ı (CVE-2026-106931) da girdi.
• Araştırmacıya göre dört açık zincirlenince internete açık bir Plex sunucusunda şifresiz uzaktan kod çalıştırılabiliyor. Saldırganlar bunu sunuculara kripto para madencisi ve proxy zararlısı kurmak için kullanıyor.
• Ne yapmalı? Plex Media Server’ı güncelle. Açıklar 3 Ağustos 2026’da çıkan 1.43.3.10861 sürümünde kapatılmıştı; o tarihten beri güncellemediysen sunucun açık. Plex’te otomatik güncellemeyi aç; uzaktan erişime ihtiyacın yoksa kapat, modem üzerinden Plex için açtığın portu kaldır.
• Sunucu son aylarda yavaşladıysa ya da fanı sürekli çalışıyorsa, tanımadığın işlemlere bak; madenci bulaşmış olabilir.

Kaynaklar: CISA KEV kataloğu, 20 Ekim eklemeleri, The Hacker News, 21 Ekim.

21 Ekim akşam: PHP2Shell (henüz KEV’de değil ama acil)

• PHP’deki iki kritik açık (CVE-2026-109618, CVE-2026-109619) için yamalar 21 Ekim ~17:00’de (TR) çıktı: 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35. Cloudflare ve watchTowr istismar denemeleri görüyor; başarılı sızma henüz doğrulanmadı. Ayrıntı ve adım adım güncelleme: PHP2Shell konusu

Bu hafta web sitesi sahiplerini ilgilendiren diğer acil konular: Rank Math PRO arka kapısı ve UpdraftCentral anahtar sızıntısı → Web · Sunucu kategorisi

Genel kural: 5 dakikalık kontrol listesi

1. Modem / yönlendirici yönetim paneli internete açık mı? Kapat.
2. Telefon, bilgisayar, tarayıcı otomatik güncelleniyor mu? Aç.
3. Site, CMS ya da eklenti kullanıyorsan otomatik güvenlik güncellemesi açık mı?
4. Kullanmadığın sunucu, servis, eski test sitesi var mı? Kapat.
5. Yedeğin var mı? 3-2-1 yedekleme kuralı

Yeni bir sunucu kurduysan: Yeni Linux sunucuda ilk 10 dakika

Senin kullandığın bir ürün listede mi? Güncellerken sorun yaşarsan aşağıya yaz, birlikte bakalım. (Lütfen sunucu adresi, IP ya da şifre paylaşma.)

Kaynaklar: CISA KEV kataloğu (katalog sürümü 2026.10.08; resmi veri, GitHub yansısı), CISA BOD 26-04 ve Cloud Security Alliance özeti. MikroTik: The Hacker News, Cybernews, eSecurity Planet. WordPress: Help Net Security, 23 Eylül, WordPress sürüm duyuruları. Apple: Help Net Security, 29 Eylül, Infosecurity Magazine, Apple güvenlik bülteni (About the security content of iOS 26.7.1 and iPadOS 26.7.1 - Apple Support). Patch Tuesday: Help Net Security Ekim tahmini, 9 Ekim, Malwarebytes, Eylül paketi. Kontrol tarihi: 13 Ekim 2026.