Microsoft, geçtiğimiz hafta kamuoyuna açıklanan BitLocker geçiş açığına yönelik bir mitigasyon geliştirdi. Bu sorun, sistemlerin BitLocker güvenlik özelliğini aşarak, kötü niyetli kişilerin şifrelenmiş verilere erişmesine olanak tanıyan bir zafiyet olarak öne çıkmaktadır.

Saldırı Nasıl Çalışıyor?

Bu  sıfırıncı gün  açığı, şu anda  CVE-2026-45585  koduyla takip edilmektedir ve CVSS puanı 6.8’dir. Güvenlik araştırmacısı Chaotic Eclipse (diğer adıyla Nightmare-Eclipse) tarafından keşfedilen bu açık, kötü amaçlı  FsTx  dosyalarının bir USB sürücüsüne veya EFI bölümüne yerleştirilmesiyle çalışmaktadır. Saldırgan, USB sürücüsünü hedef Windows bilgisayara bağlayarak, Windows Kurtarma Ortamı’na (WinRE) reboot edebilir ve CTRL tuşuna basarak kısıtlanmamış bir erişim elde edebilir.

Microsoft, bu açık sayesinde bir saldırganın fiziksel erişime sahip olduğu takdirde, sistemin BitLocker Aygıt Şifreleme özelliğini atlayarak şifrelenmiş verilere erişebileceğini belirtmiştir.

Etkilenen Sistemler

Açık, aşağıdaki Windows sürümlerini etkilemektedir:

• Windows 11 Versiyon 26H1 (x64 tabanlı sistemler)
• Windows 11 Versiyon 24H2 (x64 tabanlı sistemler)
• Windows 11 Versiyon 25H2 (x64 tabanlı sistemler)
• Windows Server 2025
• Windows Server 2025 (Server Core kurulum)

Çözüm ve Korunma

Microsoft, bu zafiyetin riskini azaltmak için aşağıdaki önlemleri önermektedir:

• Her cihazda WinRE görüntüsünü bağlayın.
• Bağlanmış WinRE görüntüsünün sistem kayıt defteri hive’ını bağlayın.
• Session Manager’ın BootExecute REG_MULTI_SZ değerinden “autofstx.exe” değerini çıkarın.
• Kayıt Defterini kaydedin ve çıkarın.
• Bağlantıyı kesin ve güncellenmiş WinRE görüntüsünü onaylayın.
• WinRE için BitLocker güvenini yeniden oluşturun.

Araştırmacı Will Dormann, bu değişiklikle birlikte WinRE görüntüsünün başlatılması sırasında  FsTx Otomatik Kurtarma Aracının  otomatik olarak başlamasını engelleyerek güvenliğin artırılabileceğini belirtmiştir. Ayrıca, TPM-yalnız modundan TPM+PIN moduna geçiş yapılması önerilmektedir.

Microsoft, kullanıcıların mevcut cihazlarda BitLocker’ı “TPM-yalnız” koruyucudan “TPM+PIN” moduna geçirmesi gerektiğini de vurgulamaktadır. Bu değişiklik, başlangıçta sürücünün şifresini çözmek için bir PIN gerektirecektir.

Sonuç ve Aksiyon

Bu açık nedeniyle, kullanıcıların güncellemelerini bir an önce yapmaları, sistemlerini korumak adına gerekli önlemleri almaları kritik önem arz etmektedir.  Şunları yapmalısınız: 

• Hemen sistem güncellemelerini kontrol edin ve uygulayın.
• BitLocker ayarlarınızı gözden geçirerek TPM+PIN moduna geçiş yapın.
• Yeni güvenlik yapılandırmalarını uygulamak için Microsoft Intune veya Grup Politikaları ile ek authentication seçeneklerini etkinleştirin.

Bu adımlar, potansiyel saldırılara karşı sistemlerinizin güvenliğini artıracaktır.

Giriş

Son günlerde, Microsoft Defender üzerinde keşfedilen siber güvenlik açıkları, önemli bir tehdit oluşturuyor. Yeni ortaya çıkan iki sıfır günlük zafiyet, Windows sistemlerinde ciddi güvenlik riskleri taşımaktadır.

Saldırı Nasıl Çalışıyor?

Siber güvenlik araştırmacısı olarak bilinen Chaotic Eclipse tarafından açıklanan bu zafiyetler,  YellowKey  ve  GreenPlasma  olarak adlandırılmıştır.  YellowKey , BitLocker ile korunan Windows cihazlarında bir arka kapı işlevi görebilen bir zafiyet olarak tasvir edilmektedir. Özellikle, Windows Recovery Environment (WinRE) içinde bulunan bu açık, kötü niyetli kullanıcıların, kök erişimi elde etmelerine olanak tanımaktadır.

YellowKey zafiyeti, Windows 11 ve Windows Server 2022/2025 sürümlerini etkileyerek, özel olarak tasarlanmış “FsTx” dosyalarının bir USB sürücüsünde veya EFI bölümünde kopyalanması yoluyla çalışır. Kullanıcı, bu USB sürücüsünü hedef Windows bilgisayarına takarak WinRE’ye yeniden başlatabilir ve CTRL tuşuna basılı tutarak bir komut istemcisi alabilir.

Güvenlik araştırmacısı Will Dormann, USB sürücüsü ile bu zafiyeti yeniden ürettiğini belirtti ve bunun, başka bir sürücünün winpeshl.ini dosyasını silmesini sağladığını ifade etti.

Etkilenen Sistemler

 YellowKey  zafiyetinin hedef aldığı sistemler:

• Windows 11
• Windows Server 2022
• Windows Server 2025

İkinci Zafiyet: GreenPlasma

Chaotic Eclipse tarafından bildirilen ikinci zafiyet ise, Windows CTFMON’da bir yetki yükseltme saldırısına olanak tanımaktadır. Bu açık, kullanıcıların  SYSTEM  yetkileriyle bir komut istemcisi elde etmelerini mümkün kılmaktadır. Şu anki durumda, bu zafiyetin kanıtı eksik olmakla birlikte, yetkisiz bir kullanıcının,  Sistem  tarafından yazılabilir dizinlerde, keyfi bellek bölüm nesneleri oluşturmasına neden olmaktadır.

Çözüm ve Korunma

Microsoft, bu zafiyetleri hızla çözmekte kararlı olduğunu belirtmiştir. Ancak, Chaotic Eclipse, Microsoft’un önceki zafiyetlere yanıtlarını “sessiz” bir şekilde gerçekleştirdiğine dair eleştirilerde bulunmuştur. Şu an için önerilen önlemler:

• Sistemlerinizi sürekli güncel tutun.
• BitLocker için PIN korumasını etkinleştirin.
• Güvenlik yamalarını uygulamak için düzenli kontrol yapın.

Sonuç

Sistem yöneticileri ve kullanıcılar, yukarıda belirtilen güvenlik yamalarını derhal uygulamalıdır. Ayrıca, etkilenen sistemlerin güvenlik ayarlarını gözden geçirmeleri ve gerekirse portları kapatmaları önerilmektedir. Unutmayın, zafiyetler hızla kötüye kullanılabilir; bu nedenle proaktif bir yaklaşım benimsemek kritik öneme sahiptir.

Giriş

Google, bilinmeyen bir tehdit aktörünün yapay zeka (AI) kullanarak geliştirdiği bir sıfır gün açığının, siber suçlular tarafından “toplu zayıflık istismar operasyonu” kapsamında kullanıldığını açıkladı. Bu olay, AI teknolojisinin kötü niyetli bir bağlamda ilk kez devreye alındığını göstermesi açısından büyük önem taşıyor.

Saldırı Nasıl Çalışıyor?

Analizlere göre, bu kampanya kapsamında kullanılan sıfır gün açığı, Python tabanlı bir script içermekte ve popüler bir açık kaynak web tabanlı sistem yönetim aracı üzerindeki iki faktörlü kimlik doğrulaması (2FA) bypass işlemini sağlamaktadır. Google Tehdit İstihbarat Grubu (GTIG) tarafından yapılan açıklamada, bu zafiyetin geçerli kullanıcı kimlik bilgileri gerektirdiği ve yüksek düzeyde bir mantık hatasından kaynaklandığı belirtilmiştir.

Bu tür bir zafiyetin, AI tarafından otomatik olarak tespit edildiği düşünülmektedir. Python scripti, “CVSS skoru” gibi eğitim amaçlı dokümanlar içermekte ve açık kaynak yazılımlarının tipik karakteristiklerini barındırmaktadır.

Etkilenen Sistemler

Güvenlik açığının kullanıcılar üzerinde etkili olabilmesi için geçerli kimlik bilgileri gerekmektedir. Bu açıdan, aşağıdaki sistemler risk altındadır:

• Kullanıcıların geçerli kimlik bilgileri ile sisteme erişim sağlaması durumunda saldırıya uğrama riski.
• Yalnızca bu sistem üzerindeki 2FA uygulamalarının değil, genel güvenliğin de tehdit altında olduğunu gösteriyor.

Çözüm ve Korunma

Google, etkilenmiş olan tedarikçi ile işbirliği yaparak bu açığı sorumlu bir şekilde duyurdu ve kapatılması için gerekli önlemleri aldı. Ancak, tedarikçi adı açıklanmamıştır. Aşağıdaki önlemler, benzer tehditlere karşı korunma noktasında kritik öneme sahiptir:

• Güvenlik güncellemelerini düzenli olarak takip edin ve uygulayın.
• Geçerli kullanıcı kimlik bilgilerinizi koruyun ve güçlü şifreler kullanın.
• Güvenlik duvarlarınızı güncel tutun ve izinsiz giriş deneyimlerini gözlemleyin.

Ayrıca, genel kullanıma açık platformlarda, özellikle Python ve AI ile ilişkili araçların kullanımında dikkatli olunmalıdır.

Sonuç

Kullanıcıların, bu tür olayların tekrar yaşanmaması için yazılımlarını ve sistemlerini güncellemeleri, gerektiğinde kötü niyetli yazılımlara karşı bilgilendirilmesi önemlidir. Gerekli önlemleri alarak kendi siber güvenliklerini güçlendirmeleri hayati önem taşımaktadır.

Nginx UI, Model Context Protocol (MCP) destekli bir web tabanlı yönetim arayüzünde kritik bir güvenlik açığı tespit edilmiştir. Bu açık, saldırganların kimlik doğrulaması olmaksızın sunucuyu ele geçirmelerine olanak tanımaktadır.

Saldırı Nasıl Çalışıyor?

Açık, *CVE-2026-33032* kodu ile takip edilmektedir ve Nginx UI’nin *’/mcp_message’* uç noktasını korumasız bırakmasından kaynaklanmaktadır. Bu durum, uzaktan saldırganların yetkili MCP işlemlerini kimlik doğrulaması olmadan gerçekleştirmesine olanak tanımaktadır. Saldırganlar aşağıdaki eylemleri gerçekleştirebilmektedir:

• Hedef Nginx UI örneğine bağlanma
• Herhangi bir kimlik doğrulama başlığı olmadan istek gönderme
• Tüm 12 MCP aracına (7 yıkıcı olanlar dahil) erişim sağlama
• Nginx yapılandırma dosyalarını okuma ve dışarıya alma
• Kötü niyetli yapılandırmayla yeni bir Nginx sunucu bloğu ekleme
• Otomatik Nginx yeniden yükleme işlemini tetikleme

Pluto Security’nin raporuna göre, saldırganlar başarılı bir şekilde Nginx yönetim eylemlerini gerçekleştirip sunucunun kontrolünü ele alabilmektedir.

Etkilenen Sistemler

Nginx UI, popüler bir yönetim arayüzüdür ve GitHub’da 11,000’den fazla yıldız almış, 430,000’den fazla Docker çekimi gerçekleştirilmiştir. Nginx UI’nin yanlış yapılandırılmış 2,600’den fazla örneği, şu anda potansiyel saldırılara açıktır. Bu örneklerin çoğu, Çin, Amerika Birleşik Devletleri, Endonezya, Almanya ve Hong Kong’da bulunmaktadır.

Çözüm ve Korunma

NGNIX, açığın çözümü için 15 Mart’ta 2.3.4 sürümünü yayınlamıştır. Ancak, açık, o tarihten itibaren aktif bir şekilde kötüye kullanılmaktadır. Sistem yöneticilerinin, mevcut güvenlik güncellemelerini mümkün olan en kısa sürede uygulamaları önerilmektedir. En son güvenli sürüm olan Nginx UI *2.3.6*, bir hafta önce yayımlanmıştır.

Aksiyon

Sistem yöneticileri, aşağıdaki adımları derhal uygulamalıdır:

• 2.3.6 sürümüne güncelleme yapın.
• Güvenlik açıklarından etkilenebilecek tüm portları dikkate alarak kapatın.
• Sunucularınızın yapılandırmalarını gözden geçirin ve koruma tedbirlerini artırın.

Bu tür açıkların aktif olarak kullanıldığı unutulmamalı ve gerekli önlemler alınmalıdır.