BeyondTrust Açığı CVE-2026-102764: Çin Bağlantılı APT Ağustostan Beri İçeride

Selam arkadaşlar,

Uzaktan destek araçları bence kurumların en az konuşulan saldırı yüzeyi. Herkes VPN ve firewall yamalarını takip ediyor ama yardım masasının kullandığı uzaktan destek kutusu çoğu zaman "çalışıyorsa dokunma" kategorisinde kalıyor. Bu hafta BeyondTrust tarafında çıkan haber tam da bu yüzden önemli.

Ne oldu?

BeyondTrust, Remote Support (eski adıyla Bomgar) ürününde CVE-2026-102764 numaralı bir açığı yamaladı. SecurityWeek'in aktardığına göre açığın CVSS puanı 9.3; mesaj kaynağının hatalı doğrulanmasından kaynaklanıyor ve saldırganın cihaz üzerinde dosya işlemleri yapmasına izin veriyor. CISA ise açığı "kimlik doğrulama atlatma (spoofing)" olarak sınıflandırıp 16 Ekim 2026'da Bilinen Sömürülen Açıklar (KEV) kataloğuna ekledi.

Etkilenen sürümler: Remote Support 26.2.3 ve öncesi. Yama (BT26-05-RS) 24.3.1 - 26.2.3 arası sürümler için yayımlandı; daha eski sürümdeyseniz önce yükseltme yapmanız gerekiyor.

Zaman çizelgesi biraz rahatsız edici

• 29 Ağustos: İlk istismar. Biri BeyondTrust tarafından barındırılan, biri müşterinin kendi kurduğu iki cihaz hedef alınmış.
  
• 28 Eylül: BeyondTrust açığı tespit ediyor (bir güvenlik cihazı sağlayıcısına yönelik saldırı kamuoyuna yansıdıktan bir gün sonra).
  
• 30 Eylül: Yama hazır, ancak ek istismar yollarını kapatmak için test süreci uzatılıyor.
  
• 8-9 Ekim: Yama yayında; SaaS müşterilerinin hepsine 9 Ekim itibarıyla uygulanmış durumda.
  
• 16 Ekim: CISA KEV listesine ekleme ve ayrıca "acilen yamalayın" uyarısı.
  

Yani kendi sunucusunda (self-hosted) çalıştıran ve otomatik güncellemesi kapalı olan kurumlar hâlâ açık olabilir.

Kim yapmış, içeride ne yapmışlar?

Mandiant ve Google Threat Intelligence Group (GTIG), istismarı Çin bağlantılı Armory Castle grubuna bağlıyor. Aynı grup UNC5221 ve Warp Panda adlarıyla da takip ediliyor; geçmişte CitrixBleed (CVE-2023-4966) ve birden fazla Ivanti Connect Secure açığını sıfırıncı gün olarak kullanmasıyla biliniyor.

Raporda anlatılan akış özetle şöyle:

1. Cihaza ilk erişim ve Sawfly adlı hafif bir PHP web shell yerleştirme
   
2. Cihazda root yetkisine çıkış, kimlik bilgilerini toplama
   
3. Sistem, web sunucusu ve uygulama loglarını sistematik olarak silme
   
4. Ele geçirilen yönetici hesabıyla Remote Support uygulamasına geçiş, hesabın yetkilerini değiştirerek iç uç noktalara bağlanma
   
5. Ürünün kendi dosya transfer özelliğiyle yazılım envanteri gibi keşif için değerli belgeleri dışarı çıkarma
   
6. Bareclaw adlı özel SOCKS5 tünel aracıyla trafiği gizleme
   

Bence en can sıkıcı kısım dördüncü madde: saldırgan yeni bir araç bile getirmeden, kurumun zaten güvendiği uzaktan destek kanalını kullanarak iç makinelere ulaşıyor. EDR açısından bu trafik "normal yardım masası işi" gibi görünebilir.

Aynı gün KEV'e giren ikinci açık: Fortinet CVE-2025-61624

CISA aynı güncellemede CVE-2025-61624 numaralı Fortinet açığını da listeye aldı. FortiOS, FortiPAM, FortiProxy ve FortiSwitchManager ürünlerini etkileyen bir path traversal açığı bu. İstismar için okuma-yazma yetkili bir yönetici profili gerekiyor; bu yetkiyle belirli CLI komutları üzerinden keyfi dosya yazılıp silinebiliyor. Kimlik doğrulama şartı olduğu için tek başına "internetten herkes girer" türünden değil, ama çalınmış admin hesaplarıyla birleşince ciddi bir kalıcılık aracı olur.

Ne yapmalı?

• Self-hosted BeyondTrust Remote Support kullanıyorsanız sürümünüzü kontrol edin, BT26-05-RS yamasını uygulayın.
  
• Mandiant'ın tavsiyesi net: istismar penceresinde (Ağustos sonundan yamaya kadar) internete açık ve savunmasız sürümde çalışan cihazları, incelenene kadar ele geçirilmiş kabul edin.
  
• Cihazın tuttuğu veya aracılık ettiği tüm kimlik bilgilerini (yönetici hesapları, servis hesapları, kayıtlı parolalar) döndürün.
  
• Log silme izlerine bakın: log dosyalarındaki boşluklar, beklenmedik log rotasyonu, web dizininde yeni PHP dosyaları.
  
• Fortinet tarafında yönetici hesaplarının listesini ve son giriş kayıtlarını gözden geçirin, yönetim arayüzünü internete açık bırakmayın.
  

Kurumunuzda BeyondTrust ya da benzeri bir uzaktan destek ürünü kullanan varsa, bu araçların loglarını SIEM'e gönderip göndermediğinizi yorumlarda paylaşırsanız güzel bir tartışma olur. Bizim gördüğümüz kadarıyla çoğu yerde gönderilmiyor.

Kaynakça

• SecurityWeek - Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day: https://www.securityweek.com/chinese-apt...-zero-day/
  
• CISA - CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support: https://www.cisa.gov/news-events/alerts/...te-support
  
• CISA - CISA Adds Two Known Exploited Vulnerabilities to Catalog: https://www.cisa.gov/news-events/alerts/...es-catalog
  
• CISA KEV Kataloğu: https://www.cisa.gov/known-exploited-vul...es-catalog
  

Görsel: TurkTeam özgün kapak görseli