Siber güvenlik şirketi Sekoia'nın Tehdit Algılama ve Araştırma (TDR) ekibi, 4 Kasım 2026'da yayımladığı «Poisoned Source» raporunda iOS ve Android cihazları hedef alan büyük ölçekli bir sulama deliği (watering-hole) kampanyasını ortaya koydu. Sekoia'ya göre orta-yüksek güven düzeyiyle Rusya dış istihbaratına bağlı APT29 (Midnight Blizzard veya Cozy Bear) grubuyla ilişkilendirilen kampanyada yaması daha önce yayımlanmış açıklar kullanılırken, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) aynı gün zincirde yer alan CVE-2024-27834 açığını Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.
Nasıl bulaşıyor
Sekoia'ya göre saldırı, ziyaretçilerin güvendiği meşru internet sitelerinin ele geçirilmesi veya sahte siteler kurulması yoluyla başlıyor. BleepingComputer'ın aktardığına göre ele geçirilen siteler arasında Ukraynalı bir gaz üreticisi, ABD kimya sektöründen bir ticaret birliği ve Bulgaristan'da askeri ilişkili bir site yer aldı; ayrıca America250 ve Raffles London at The OWO adlarını kullanan ve gerçek siteden içerik aktaran ortadaki adam (AiTM) sayfaları tespit edildi. Rapora göre 27 Ağustos ile 3 Eylül 2026 tarihleri arasında Plerdy SEO izleme betiğinin ele geçirilmesiyle çoğunluğu Ukrayna'da bulunan binlerce siteye de kod enjekte edildi.
Sitelerdeki JavaScript kodu ziyaretçinin cihazını ve tarayıcı sürümünü profillendirdikten sonra uygun istismar zincirini seçiyor. Yaması kurulmamış cihazlarda ek bir kullanıcı etkileşimi gerekmeden, yalnızca sayfanın açılmasıyla zincir çalışabiliyor.
Android ve iPhone'da ne çalınıyor
Sekoia raporuna göre Android cihazlarda (143 sürümü hariç Chrome 139–145 arası) Chrome açığı CVE-2026-3910 ile Qualcomm Adreno GPU açığı CVE-2025-27038 birlikte kullanılıyor. Zincirin sonunda devreye giren AndroSnitch adlı bileşen; tarayıcı çerezlerini, kayıtlı giriş bilgilerini, gezinme geçmişini ve kayıtlı Wi-Fi parolalarını topluyor. Sekoia, istismar kodunun Samsung Galaxy S25 Ultra modeli tespit edildiğinde çalışmayı durdurduğunu kaydetti.
iPhone tarafında ise sürüme göre iki ayrı zincir belirlendi. iOS 16.7 çalıştıran cihazlarda CVE-2025-43529 ve CVE-2024-27834 açıkları kullanılarak Safari çerezleri alınıyor. iOS 18.5 sürümlerinde ise daha önce DarkSword ile ilişkilendirilen CVE-2025-43529'un yanı sıra CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 ve CVE-2025-43520 açıkları zincirlenerek WhatsApp ve Telegram veritabanları, Keychain kimlik bilgileri, konum verileri ve fotoğraflar hedef alınıyor.
CISA kataloğuna göre 4 Kasım 2026'da KEV listesine eklenen ve federal kurumlar için son düzeltme tarihi 18 Kasım 2026 olarak belirlenen CVE-2024-27834 (The Hacker News aktarımına göre CVSS puanı 5,5), işaretçi doğrulamasının aşılmasına yol açıyor. Apple bu açığı Mayıs 2024'te iOS ve iPadOS 16.7.8 ile 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 ve Safari 17.5 güncellemeleriyle kapatmıştı.
Ne yapmalısınız
Apple ve Google kampanyada kullanılan tüm güvenlik açıkları için daha önce yama yayımlamış durumda. Sekoia'ya göre incelenen zararlı yüklerde kalıcılık mekanizması bulunmadığından cihazı yeniden başlatmak etkinliği durduruyor; ancak ele geçirilmiş site yeniden açılırsa bulaşma tekrarlanabiliyor. Kullanıcıların ve kurumların alabileceği önlemler şunlardır:
- Android cihazlarda Chrome tarayıcısını 145 sürümünün üzerine çıkarın ve cihazın güvenlik güncellemelerini uygulayın; Chrome'un son güvenlik sürümü için Google Chrome 157 güvenlik güncellemesi haberimize bakabilirsiniz.
- iPhone, iPad ve Mac cihazlarda en güncel iOS, iPadOS ve macOS güvenlik güncellemelerini yükleyin.
- Şüpheli bir siteyi ziyaret ettiğinizi düşünüyorsanız telefonunuzu yeniden başlatın ve yamaları tamamlamadan aynı adrese tekrar girmeyin.
Bilinmeyenler
Sekoia ve Android Authority aktarımlarına göre hedef alınan sitelerin profili diplomatları ve Ukrayna bağlantılı kişileri işaret etse de kampanyadan toplam kaç cihazın etkilendiği bilinmiyor. Türkiye'de bu kampanyadan etkilenen kullanıcı veya kurum bulunup bulunmadığına dair de açıklanmış bir veri yer almıyor.
Kaynaklar
- Sekoia — Poisoned Source: APT29 watering holes target mobile devices with n-day exploits, 4 Kasım 2026
- BleepingComputer — Hackers use n-day exploits in zero-click attacks on iOS, Android devices, 4 Kasım 2026
- CISA — Known Exploited Vulnerabilities Catalog (CVE-2024-27834), 4 Kasım 2026
- The Hacker News — Hackers Exploit Patched Apple Flaw, CISA Says, 5 Kasım 2026
- Android Authority — Hackers used Chrome and Snapdragon GPU flaws, 5 Kasım 2026
Temsili görsel: iPhone ve Android telefonlar — GillyBerlin, Wikimedia Commons (CC BY 2.0). Görsel kırpıldı ve yeniden boyutlandırıldı. Haber konusuyla doğrudan bağlantılı bir olay görseli değildir.
Sık sorulan sorular
Bu kampanyada kullanılan güvenlik açıklarının yaması var mı?
Evet. Sekoia raporuna göre saldırılarda daha önce yaması yayımlanmış (n-day) açıklar kullanıldı; CISA'nın KEV kataloğuna eklediği CVE-2024-27834 de Apple tarafından Mayıs 2024'te kapatılmıştı.
Telefonu yeniden başlatmak zararlı yazılımı durdurur mu?
Sekoia'ya göre incelenen zararlı yüklerde kalıcılık mekanizması bulunmuyor; cihazı yeniden başlatmak zararlı etkinliği durduruyor ancak ele geçirilmiş site yeniden ziyaret edilirse bulaşma tekrarlanabiliyor.
Hangi cihaz ve tarayıcı sürümleri risk altında?
Raporda Android tarafında 143 sürümü hariç Chrome 139 ile 145 arası sürümler, iOS tarafında ise iOS 16.7 ve iOS 18.5 üzerindeki yamalanmamış sürümler hedef alınan ortamlar arasında sayılıyor.
