BeyondTrust Açığı: Uzaktan Destek Sunucuları Nasıl Hedef Oldu?

Uzaktan destek sistemleri, kurumsal operasyonların vazgeçilmez bir parçası haline gelirken, bu sistemlerin güvenlik açıkları siber saldırganlar için kritik bir hedef oluşturuyor. Yakın zamanda, Çin bağlantılı olduğu düşünülen Armory Castle adlı siber casusluk grubu, BeyondTrust güvenlik açığı olarak bilinen yeni keşfedilmiş bir sıfır gün zafiyetini aktif olarak sömürdü. BeyondTrust Remote Support platformunu hedef alan bu saldırılar, kurumların hassas verilerine erişimin kapısını aralayarak ciddi endişeleri beraberinde getirdi. Saldırganların hedefli yaklaşımları ve gelişmiş yöntemleri, siber güvenlik dünyasında yeni bir alarm seviyesini işaret ediyor.

Armory Castle’ın Geçmişi ve Karmaşık Stratejileri

Armory Castle olarak izlenen siber casusluk grubu, daha önce UNC5221 veya Warp Panda adlarıyla biliniyordu. Ekim 2023’ten bu yana aktif olan bu grup, stratejik hedefli saldırılarla tanınıyor. Genellikle kritik öneme sahip yazılım ve sistemlerdeki sıfır gün zafiyetlerini keşfederek istihbarat toplama faaliyetlerini sürdürüyorlar. Önceki operasyonlarında Citrix NetScaler (CVE-2023-4966) ve Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 ve CVE-2025-0282) gibi geniş çaplı kullanılan platformlardaki açıkları sömürdükleri biliniyor.

Grubun hedef aldığı sektörler oldukça çeşitli. Hukuk hizmetleri, SaaS sağlayıcıları, iş süreci dış kaynak hizmeti veren firmalar, teknoloji şirketleri ve hükümet kurumları bu hedefler arasında yer alıyor. Armory Castle’ın amacı, uzun vadeli istihbarat toplamak ve bu kurumların ağlarında kalıcılık sağlamak. Bu yeni BeyondTrust zafiyeti de bu geniş çaplı casusluk ağının bir parçası olarak değerlendiriliyor.

CVE-2026-102764: Teknik Derinlik ve Risk Faktörleri

Yeni keşfedilen ve aktif olarak sömürülen güvenlik açığı, CVE-2026-102764 koduyla takip ediliyor ve CVSS skoru 9.3 gibi yüksek bir değere sahip. Bu, zafiyetin kritik düzeyde tehlikeli olduğunu gösteriyor. Açık, BeyondTrust Remote Support’un dahili mesajlaşma bileşenindeki ‘yanlış kaynak doğrulama’ (improper origin validation) sorunundan kaynaklanıyor. Bu teknik zafiyet, uzaktaki bir saldırganın etkilenen cihaz üzerinde dosya işlemleri yapmasına olanak tanıyor.

BeyondTrust tarafından yapılan açıklamada, “Zafiyet, Remote Support’un dahili bileşenlerinde mevcut. Bileşenler, aldığı mesajların kaynağını yeterince doğrulamıyordu. Doğru koşullar altında, bu durum cihaz üzerinde dosya işlemleri gerçekleştirmek için kullanılabilirdi” ifadeleri yer aldı. Bu durum, dahili iletişimin güvenliğinin temel bir güvenlik katmanı olması gerektiğini ve bu tür doğrulama eksikliklerinin nasıl yıkıcı sonuçlar doğurabileceğini gözler önüne seriyor.

Saldırı Zinciri ve Kalıcılık Mekanizmalarının Analizi

Armory Castle’ın bu zafiyeti sıfır gün olarak ilk kez 29 Ağustos 2026 tarihinde tek bir kendi barındıran Remote Support cihazında kullandığı belirlendi. Daha sonra, 27 Eylül 2026’da başka bir güvenlik cihazı sağlayıcısının başarılı bir şekilde sömürülmesinin kamuoyuna duyurulması, BeyondTrust’ı benzer faaliyetleri araştırmak üzere bir soruşturma başlatmaya yöneltti. Google’a ait Mandiant güvenlik firması, bu saldırı faaliyetlerine ilişkin ek detaylar paylaştı.

Mandiant’ın açıklamalarına göre, başarılı bir ele geçirme işleminden sonra, saldırganlar SAWFLY kod adlı hafif bir PHP web kabuğu (web shell) konuşlandırıyor. Bu web kabuğu, etkileşimli uzaktan erişim ve çift yönlü şifreli komuta-kontrol (C2) iletişimi sağlıyor. Operatörler, ticari VPN çıkış düğümlerini ve ele geçirilmiş ev/küçük ofis yönlendiricilerini kullanarak trafiğe karışıyor, böylece tespit edilmeleri zorlaşıyor. Web kabuğu daha sonra ayrıcalıkları yükseltmek, cihazın tam yönetim kontrolünü ele geçirmek ve yeniden başlatmalara dayanıklı kalıcılık sağlamak için bir kanal olarak kullanılıyor. Bu izinsiz girişin ana özelliklerinden biri, cihazın depolanan sırlarını okuyarak kimlik bilgilerini çalmaya ve yönetim erişimini kötüye kullanarak alt sistemlere yatay hareket etmeye odaklanmasıdır.

Güvenlik Yamaları ve Kritik Güncelleme Yönergeleri

BeyondTrust, bu kritik zafiyete karşı hızlı bir şekilde harekete geçti ve yamaları dağıttı. 9 Ekim 2026 itibarıyla, tüm Remote Support SaaS müşterilerine yönelik yamalar otomatik olarak uygulandı. Ancak kendi barındıran (self-hosted) Remote Support kullanıcıları için durum farklılık gösteriyor. 24.3.1’den 26.2.3’e kadar olan sürümleri kullanan kendi barındıran müşterilerin, manuel olarak BT26-05-RS yamasını uygulamaları öneriliyor.

Daha eski bir sürümde (24.3.1’den önceki) çalışan müşterilerin ise yama uygulayabilmek için öncelikle daha yeni bir sürüme yükseltmeleri gerekiyor. Bu durum, kendi barındıran sistemlerin güncel tutulmasının ne kadar kritik olduğunu bir kez daha ortaya koyuyor. Özellikle sıfır gün açıkları, yama çıkana kadar aktif olarak kullanıldığı için, güvenlik güncellemelerinin en kısa sürede yapılması büyük önem taşıyor.

Siber Casusluğun Evrimi: Yapay Zeka ve Hedefli Yaklaşımlar

Armory Castle’ın bu saldırısı, siber casusluk dünyasındaki evrimi ve gelecekteki tehditlerin ciddiyetini gözler önüne seriyor. BeyondTrust’ın değerlendirmesine göre, saldırganlar sıfır gün açıklarını seçici bir şekilde, önceden belirlenmiş yüksek değerli hedeflere karşı kullanıyorlar. Açık kamuya açık hale geldiğinde ise, hala yama yapmamış tüm sistemlere yönelik geniş çaplı bir sömürü hareketine geçiyorlar.

Bu yaklaşımın temelinde, saldırganın hedeflediği ürünlerin sürekli çalışan bir modelini yapay zeka (AI) bağlamında tutarak, exploit zincirleri geliştirmesi yatıyor. Bu iddia, siber saldırıların artık sadece reaktif olmaktan çıkıp, proaktif ve son derece sofistike bir planlama ile yürütüldüğünü gösteriyor. Bu durum, kuruluşların savunma stratejilerini sürekli olarak gözden geçirmeleri ve en son tehdit istihbaratına göre hareket etmeleri gerektiğini net bir şekilde ortaya koyuyor.