RondoDox Botnet ve CVE-2025-24893 Açığı
RondoDox botnet, XWiki Platformu’nda bulunan ve CVE-2025-24893 numarasıyla bilinen kritik bir uzaktan kod yürütme (RCE) açığını istismar etmeye başladı. Bu zafiyet, özellikle kendi sunucularında bilgi yönetim çözümleri geliştiren firmalar için ciddi riskler taşımaktadır.
Açığın Aktif İstismarı
30 Ekim 2025 tarihinde, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2025-24893 zafiyetini aktively exploited olarak işaretlemiştir. Bu açığın, çok sayıda tehdit aktörü tarafından kullanılmakta olduğu kaydedilmiş, bunlar arasında botnet operatörleri ve kripto para madencileri bulunmaktadır.
RondoDox Botnet’in Yükselişi
RondoDox, ilk kez Fortinet tarafından Temmuz 2025’te belgelenmiş büyük ölçekli bir botnet malware’idir. Trend Micro, Ekim ayının başlarında bu botnetin büyüme hızına dikkat çekmiş ve son versiyonlarının en az 30 cihazı hedef aldığı, 56 bilinen zafiyetten faydalandığı bildirilmiştir.
RCE Açığı ve Saldırı Metodları
VulnCheck tarafından yapılan bir raporda, RondoDox’un CVE-2025-24893 zafiyetini kullanarak özel olarak hazırlanmış bir HTTP GET isteği ile base64 kodlu Groovy kodunu XWiki SolrSearch noktasına enjekte ettiği gözlemlenmiştir. Bu, sunucunun uzaktan shell yüklemesini sağlayan bir payload’un indirilmesine ve çalıştırılmasına yol açmaktadır.
İndirilen bu script (rondo.
Etkili Saldırıları Artıran Gelişmeler
11 Kasım’da, VulnCheck ekibi tarafından kripto para madencilik uygulamaları ile ilgili ek saldırılar kaydedilmiştir. Ayrıca, 31 Ekim ve 11 Kasım tarihlerinde bash ters shell kurma girişimleri de gözlemlenmiştir. RondoDox’un hedef aldığı sunucularda ciddi güvenlik açığı riskleri bulunmaktadır.
Patçalama ve Önlem Alma
XWiki Platformu, Java tabanlı ve açık kaynaklı bir kurumsal wiki platformudur. CVE-2025-24893’ten etkilenen sürümler 15.10.11 ve 16.4.1 öncesi olup, yöneticilerin bu sürümleri güncellemeleri şiddetle tavsiye edilmektedir.
Araştırmacılar, birkaç gün içerisinde çok sayıda saldırganın bu zafiyeti kullanmaya başladığını bildirmektedir. RondoDox ile ilişkili kullanıcı ajanları ve belgelenmiş payload sunucularından gelen olaylar, halk tarafından erişilebilir tehlike göstergelerinin (IoC) bu istismar girişimlerini engellemede etkili olabileceğini göstermektedir.
Sonuç olarak, RondoDox botnet’in XWiki açıklarından yararlanması, hem bireysel kullanıcıları hem de kurumları ciddi şekilde tehdit etmektedir. Güvenlik önlemleri alınmadığı takdirde, bu tür kötü niyetli yazılımların etkisi daha da yaygınlaşacaktır.
