Veri merkezinde açık çerçeveli sunucu rafları ve ağ kablolaması (temsili)

ABD'li ayrıcalıklı erişim yazılımı şirketi BeyondTrust, Remote Support ürünündeki kritik bir güvenlik açığının (CVE-2026-102764) Çin bağlantılı olduğundan şüphelenilen ARMORY CASTLE adlı casusluk aktörü tarafından sıfırıncı gün olarak istismar edildiğini 15 Ekim 2026'da açıkladı. İlgili yama 8 Ekim 2026'da yayımlanırken, şirketin kendi sunucusunda kurulum çalıştıran müşterilerin güncellemeleri hemen uygulaması istendi.

Ne oldu

BeyondTrust'ın yayımladığı BT26-05 numaralı danışmaya göre, 9.3 CVSS puanlı açık, ürünün iç mesajlaşma bileşenlerinin gelen mesajların kaynağını yeterince doğrulamamasından kaynaklanıyor. Açık, uzaktaki bir saldırganın etkilenen cihazda yetkisiz dosya işlemleri yürütmesine olanak tanıyor.

Saldırganlar açığı ilk olarak 29 Ağustos 2026'da BeyondTrust tarafından barındırılan tek bir Remote Support örneğine ve müşteri tarafında kurulu tek bir cihaza karşı kullandı. BeyondTrust, faaliyeti orta-yüksek güvenle Google Threat Intelligence Group ve Mandiant'ın UNC5221 olarak izlediği, Mandiant'ın artık ARMORY CASTLE adını verdiği Çin bağlantılı aktöre bağlıyor. Küme, CrowdStrike tarafından WARP PANDA olarak izleniyor. Atıf doğrudan devlet bağlantısına değil, saldırganın geçmişteki davranış kalıplarına dayanıyor.

BeyondTrust, sensörlerinin yetki yükseltme anında alarm ürettiğini ancak üçüncü taraf bir platformdaki otomatik önceliklendirme aracının bu alarmları yanlış pozitif diyerek kapattığını bildirdi. Şirket, yüksek önem dereceli uyarıların otomatik yazılımlarca tek başına kapatılamaması için sağlayıcıyla çalıştığını aktardı.

Aynı dönemde Çin bağlantısı şüphesiyle gündeme gelen siber saldırılardan biri olan İsviçre merkezli uzay şirketi Beyond Gravity olayı ise bu vakadan bağımsız, farklı bir gelişme olarak kaydedildi.

Saldırgan ne yapıyor

BeyondTrust'ın tespitlerine göre saldırganlar, istismarın ardından sisteme web shell yerleştirerek etkileşimli çalışıyor. Ticari VPN çıkışları ile ele geçirilmiş ev ve küçük ofis yönlendiricileri üzerinden bağlanan aktör, dakikalar içinde tam yönetici yetkisine çıkıp sistem yeniden başlatılsa bile kalıcı olabilen mekanizmalar kuruyor. Cihazda kayıtlı kimlik bilgilerini toplayıp ağdaki diğer sistemlere yayılmayı hedefleyen saldırgan, sistemden ayrılmadan önce yerel günlükleri ve kullandığı araçları siliyor.

Aktörün yapay zekâ destekli araçlar kullandığı iddiası şirketin bir değerlendirmesi niteliğinde olup bu yönde somut bir adli kanıt bulunmuyor. Kurumların yama işlemlerini tamamlayabilmesi amacıyla açığın teknik ayrıntıları ve etkilenen kuruluşların kimlikleri şimdilik gizli tutuluyor.

Kim ne yapmalı

Remote Support ürününün açıktan etkilendiği doğrulandı. Privileged Remote Access (PRA) testlerinde doğrudan bir istismar yolu bulunmasa da iki ürün aynı kod tabanını kullandığı için önlem amacıyla PRA için de yama yayımlandı.

Kendi sunucusunda Remote Support veya PRA çalıştıran müşterilerin 8 Ekim 2026'da dağıtılan yamayı vakit kaybetmeden uygulaması gerekiyor. SaaS müşterilerinin altyapıları otomatik güncellendiği için ek bir işlem yapmasına gerek bulunmuyor.

Saldırgan yerel izleri sildiği için cihaz günlüklerinin anlık olarak merkezi bir SIEM sistemine aktarılması ve yönetim arayüzlerinin yalnızca güvenilir ağlara açık tutulması isteniyor. Konut veya VPN adreslerinden gelen tanınmayan yönetici oturumları ile yetki değişikliklerinin taranması, herhangi bir şüphe durumunda ise cihazın sakladığı tüm kimlik bilgilerinin yenilenerek sistem imajının alınması öneriliyor.

Kaynaklar

Kapak görseli (temsili): Carl Lender, Datacenter Server Racks (CC BY 2.0; 1200×675 uyarlandı).