Cisco ve GitLab’da Kritik Açık: Siber Güvenlik Alarmı

Cisco Secure Email Gateway (SEG) cihazlarında özel hazırlanmış e‑postalar aracılığıyla root yetkisi elde edilebiliyor. Bu, saldırganların cihaz üzerinde tam kontrol sağlamasına ve tüm e‑posta trafiğini manipüle etmesine olanak tanıyor. Cisco’nun yayımladığı yamalar cihazların daha önce ele geçirilip geçirilmediğini doğrulamıyor. Bu nedenle birçok kurum, sistemlerinin hâlihazırda istismar edilip edilmediğini kesin olarak bilemiyor. Tüm fiziksel, sanal ve bulut tabanlı SEG cihazları envantere alınmalı, tek bir lider sorumlu atanmalı ve adli inceleme yapılmalı. Ayrıca e‑posta trafiği üzerinde olağan dışı davranışlar için sürekli izleme öneriliyor.

GITLAB KRİTİK ZAFİYET (CVE‑2026‑85706)

Bu açık, kimlik doğrulama olmadan dosya okuma imkânı veriyor. API anahtarları, CI/CD sırları ve kaynak kod erişimi saldırganların eline geçebiliyor. Bu durum, yazılım geliştirme süreçlerinin bütünlüğünü doğrudan tehdit ediyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), açığın aktif olarak istismar edildiğini doğruladı. Self‑managed GitLab sürümleri hızla yamalanmalı, internetten erişim sınırlandırılmalı ve loglar incelenmeli. Ayrıca CI/CD sırlarının döndürülmesi ve erişim anahtarlarının yeniden oluşturulması kritik önemde.

BERLIN HÜKÜMETİ VERİ SIZINTISI

Rhysida fidye yazılım grubu, Berlin hükümetinden çaldığı 1,4 milyon dosyayı fidye talebi reddedilince yayımladı. Çalışan kayıtları, kimlik belgeleri, acil durum planları ve iç yazışmalar gibi hassas veriler kamuya açıldı. Kamu kurumlarının fidye taleplerini reddetmesi dikkat çekiyor; ancak yayımlanan veriler geri alınamaz. Bu olay, devlet kurumlarının siber saldırılara karşı daha güçlü kriz yönetimi planlarına ihtiyaç duyduğunu gösteriyor.

REVOLUT SAHTE DEVLET TALEPLERİ

Sahte hükümet talepleri Revolut’un kontrollerini aşarak müşteri verilerinin paylaşılmasına yol açtı. Devlet ve kolluk kuvveti talepleri için bağımsız doğrulama kanalları ve çift onay mekanizmaları uygulanmalı. Bu olay, finansal teknoloji şirketlerinin regülasyon uyumluluğu kadar sahte taleplere karşı da dirençli sistemler kurması gerektiğini ortaya koyuyor.

MICROSOFT 365 SOSYAL MÜHENDİSLİK KAMPANYALARI

Ağustos başında 1 milyonun üzerinde sahte e‑posta ile finansal dolandırıcılık yapıldı. CEO taklidi, sahte ServiceNow faturaları, passkey/MFA/SSO temalı kimlik avı. Kimlikler ele geçirildikten sonra saldırganlar kendi MFA yöntemlerini kaydedip kalıcı erişim sağladı. Bu, Microsoft 365 kullanıcılarının yalnızca kimlik doğrulama değil, aynı zamanda davranışsal güvenlik analitiği ile korunması gerektiğini gösteriyor.

ANTHROPIC VE AI GÜVENLİĞİ

Çin merkezli bazı laboratuvarların Anthropic’in geliştirdiği Claude modelini yasa dışı şekilde kopyalamaya çalıştığı ortaya çıktı. Anthropic, sahte hesapları yasakladı, iç mantığı şifreledi ve yeni API kontrolleri getirdi. Ayrıca model distillation saldırılarına karşı daha güçlü watermarking ve erişim kısıtlamaları üzerinde çalıştığını açıkladı. Bu gelişme, yapay zekâ güvenliğinin yalnızca siber saldırılarla değil, aynı zamanda fikri mülkiyet hırsızlığı ile de tehdit altında olduğunu gösteriyor.