Güvenlik · 1 Kasım 2026
Çin Bağlantılı Hackerlar VMware ESX Sıfır Gün Açığını Kullandı
Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenliği Ajansı, Broadcom VMware ESX sistemlerini etkileyen bir güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi.
CrowdStrike tarafından ortaya çıkarılan durum, Warp Panda olarak bilinen Çin bağlantılı bir tehdit aktörünün, Amerika Birleşik Devletleri hukuk sektörünü hedef alan saldırılarda bu açığı silahlandırdığını gösteriyor. CVE-2026-41709 olarak tanımlanan ve 2.7 CVSS puanına sahip olan bu açık, yetersiz günlükleme sorunundan kaynaklanıyor. Bu durum, yönetici erişimine sahip kötü niyetli bir aktörün, belirli işlemleri kayıt altına alınmadan gerçekleştirmesine olanak tanıyor.
CrowdStrike'ın 2026 Hukuk Tehdit Ortamı Raporu, Warp Panda'nın denetim izi görünürlüğünü azaltmak amacıyla 2026 yılı başlarında bu açığı bir sıfır gün açığı olarak kullandığını ortaya koydu. Armory Castle, Clay Typhoon ve VerdantBamboo olarak da takip edilen bu grup, gizli ve kalıcı erişimi sürdürmek için özel kötü amaçlı yazılımlar ve sıfır gün açıklarıyla internete açık uç cihazları istismar ediyor. Grup, denetim günlüklerini atlayarak, bulut oturum belirteçlerini toplayarak ve sahte çok faktörlü kimlik doğrulama cihazları kaydederek tespit edilmekten kaçınıyor.
Saldırı yöntemleri, başlangıç erişimi elde etmek için uç cihazların istismar edilmesini ve ardından dikkat çekmeden kalıcı erişim sağlamak amacıyla BRICKSTORM ve SharpStorm gibi özel yazılımları dağıtmak için VMware vCenter ortamlarına geçiş yapılmasını içeriyor. Bazı sızmalarda, kimlik bilgisi tabanlı uyarılar oluşturmadan Microsoft 365 ortamlarına erişmek için kullanıcı oturum belirteçlerini çıkarmak amacıyla bulut hizmetleri hedef alındı. Bir vakada, şifre değiştirilse bile kalıcı erişimi sağlamak için ele geçirilen bir hesaba yeni bir çok faktörlü kimlik doğrulama cihazı kaydedildiği belirtiliyor.
Broadcom, Temmuz 2026'da yayınladığı bir bildiriyle sorunun giderildiğini açıkladı. Mandiant ise bu grubun, SAWFLY ve BARECLAW gibi kötü amaçlı yazılımları iletmek için BeyondTrust Remote Support sistemindeki kritik bir açığı istismar ettiğini bildirdi. Federal Sivil Yürütme Kolu ajanslarının, aktif istismar nedeniyle düzeltmeleri 11 Kasım 2026 tarihine kadar uygulamaları öneriliyor.