CISA: SharePoint RCE açığı CVE-2026-45659 artık fidye yazılım saldırılarında kullanılıyor

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), şirket içi SharePoint Server'ı etkileyen CVE-2026-45659 açığını, Bilinen İstismar Edilen Açıklar (KEV) kataloğunda fidye yazılım kampanyalarında kullanıldığı bilinen açıklar arasına aldı. Değişiklik, BleepingComputer'ın 11 Ağustos'ta aktardığı KEV güncellemesiyle görünür oldu.

Mayıs'ta yamalandı, Temmuz'da istismar edildi

CVE-2026-45659, güvenilmeyen verinin seri durumdan çıkarılmasından (deserialization) kaynaklanan bir uzaktan kod çalıştırma açığı ve CVSS puanı 8,8. Düşük yetkili bir saldırgan, yamalanmamış SharePoint sunucularında keyfî kod çalıştırabiliyor. Microsoft'a göre saldırının karmaşıklığı düşük; saldırganın sistem hakkında kayda değer ön bilgiye sahip olması gerekmiyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Microsoft açığı Mayıs 2026'da SharePoint Enterprise Server 2016, SharePoint Server 2019 ve Subscription Edition için yamaladı ve o dönemde istismar olasılığını "düşük" olarak değerlendirdi. CISA ise açığı 1 Temmuz'da KEV kataloğuna ekleyerek federal kurumlara yalnızca üç gün süre tanıdı. BleepingComputer'a göre Microsoft, danışma metnini açığın istismar edildiğini gösterecek şekilde henüz güncellemedi. CISA kataloğu, hangi fidye yazılım grubunun açığı kullandığını belirtmiyor. Fidye yazılım işaretinin eklenmesi, açığın artık yalnızca casusluk amaçlı hedefli saldırılarda değil, para odaklı suç gruplarınca da kullanıldığına işaret ediyor.

İnternette yamasız sunucular var

Shadowserver verilerine göre internete açık 8.500'den fazla SharePoint sunucusu izleniyor; bunların 200'ü aşkın kısmı bu açığa karşı hâlâ yamasız. CISA, Kasım 2021'den bu yana aktif istismar edilen 14 SharePoint açığını işaretledi; bunların sekizi fidye yazılım saldırılarında da kullanıldı.

Ne yapılmalı?

• SharePoint sunucularına Microsoft'un en güncel güvenlik güncellemelerini uygulayın ve kurulumun başarılı olduğunu doğrulayın.
• SharePoint web uygulamalarında AMSI entegrasyonunu etkinleştirin ve Microsoft Defender Antivirus tespitlerini izleyin.
• Sunucuları istismar belirtileri açısından tarayın: web shell'ler, şüpheli IIS işçi süreçleri, beklenmedik hesap etkinliği.
• Yama döngülerinizi kısaltın; internete açık SharePoint'i mümkünse VPN veya ters vekil arkasına alın.