"Güncelleme: VPN'den ESXi'ye uzanan saldırılarda yeni implant GhostFrame, CVE-2026-0257 zinciri hipervizöre ulaştı"
Recorded Future, SonicWall, Fortinet ve Palo Alto VPN cihazlarını hedef alan TAG-218 grubunun ele geçirdiği VMware ESXi sunucularına GhostFrame adlı yeni bir implant yerleştirdiğini açıkladı. Etkinlik, KEV'deki GlobalProtect açığı CVE-2026-0257'nin fidye yazılımı saldırılarında hipervizöre pivot için kullanıldığı raporlarla örtüşüyor.
CVE-2026-0257
Recorded Future'ın Insikt Group ekibi, VMware ESXi hipervizörleri için yazılmış yeni bir post-exploitation çerçevesini, GhostFrame'i belgeledi. Araştırmaya göre implantı kullanan TAG-218 grubu, Ağustos sonundan Ekim'e kadar ABD ve Avrupa'da SonicWall, Fortinet ve Palo Alto Networks VPN cihazlarını hedef aldı; VPN cihazından içeri girdikten sonra sanallaştırma katmanına geçti. Hedef alınan kurumlardan en az dördü sonradan Settra fidye yazılımının sızıntı sitesinde yayımlandı. Raporda 12 Ekim'de ele geçirilmiş bir Fortinet VPN cihazının hem GhostFrame hem de MeshCentral altyapısıyla haberleştiği görülüyor.
Insikt, etkinliğin Palo Alto GlobalProtect'teki authentication bypass açığı CVE-2026-0257 ile ilgili raporlarla örtüştüğünü söylüyor, ancak bu CVE'nin söz konusu saldırılarda kullanıldığını kesin olarak doğrulamıyor. SonicWall ve Fortinet için CVE adı verilmedi. Açık Mayıs'tan beri CISA KEV kataloğunda ve fidye yazılımı kampanyalarında kullanıldığı biliniyor. Unit 42, 19-20 Ekim güncellemesinde Qilin ve Inc operatörlerinin açıkla MFA'yı atlayıp VPN oturumu açtığını, ardından vCenter'a geçerek ESXi'de execInstalledOnly korumasını kapattığını ve bir domain controller'ın sanal diskinden kimlik bilgilerini çevrimdışı çıkardığını yazdı. Bu yöntemle EDR'ın misafir işletim sisteminin içindeki görünürlüğü devre dışı kalıyor. Unit 42 ayrıca Settra operatörlerinin de bu açığı kullandığına dair açık kaynak raporlara değiniyor. Temmuz'daki ilk haberimiz Qilin saldırılarını anlatmıştı.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| PAN-OS 12.1 | 12.1.4-h6 ve 12.1.7 öncesi | 12.1.4-h6, 12.1.7 |
| PAN-OS 11.2 | 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 ve 11.2.12 öncesi | 11.2.4-h17, 11.2.7-h14, 11.2.10-h7, 11.2.12 |
| PAN-OS 11.1 | 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 ve 11.1.15 öncesi | 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5, 11.1.15 |
| PAN-OS 10.2 | 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 ve 10.2.18-h6 öncesi | 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7, 10.2.18-h6 |
| Prisma Access 11.2 / 10.2 | 11.2.7-h13 / 10.2.10-h36 öncesi | 11.2.7-h13 / 10.2.10-h36 (Palo Alto takvimiyle) |
| Cloud NGFW | Etkilenmiyor | — |
| VMware ESXi (GhostFrame) | Açık istismarı yok; implant için root erişimi gerekiyor | Uygulanamaz |
Açık yalnızca GlobalProtect portal ya da gateway'de authentication override cookie seçenekleri etkin ve belirli bir sertifika yapılandırması varken ortaya çıkıyor. Desteği bitmiş PAN-OS sürümleri için patch yok.
Beni etkiliyor mu?
PAN-OS sürümünü salt okunur olarak görmek için:
show system infoÇıktıdaki sw-version değeri tablodaki düzeltilmiş sürümden düşükse cihaz etkileniyor olabilir. Authentication override ayarı GUI'de Network > GlobalProtect > Portals ve Gateways altındaki Authentication ekranlarında görülür.
ESXi sunucusunda GhostFrame izlerini salt okunur olarak kontrol etmek için:
ls -l /opt/vmhostd-core
cat /etc/rc.local.d/local.shAyrıca vSphere Client'ta ya da host'un güvenlik ayarlarında execInstalledOnly kernel ayarının ve ESXi firewall'unun durumunu görüntüleyin, çalışan süreçler arasında vmhostd adlı bir süreç olup olmadığına bakın. execInstalledOnly'nin kapalı görünmesi, firewall'un devre dışı olması, /opt/vmhostd-core dosyasının varlığı ya da local.sh içinde tanımadığınız bir satır olay müdahalesi gerektirir.
Ne yapılmalı?
- PAN-OS'u tablodaki düzeltilmiş sürüme yükseltin. Hemen yükseltilemiyorsa Palo Alto'nun önerdiği geçici önlemi uygulayın: authentication override cookie'leri için başka hiçbir yerde kullanılmayan ayrı bir sertifika tanımlayın ya da bu seçenekleri kapatın.
- GlobalProtect loglarında Unit 42'nin yayımladığı IP adreslerinden gelen başarılı oturumları ve
DESKTOP-GP01,GP-CLIENT,aa:bb:cc:dd:ee:ffgibi sahte host bilgilerini arayın; eşleşmeyi olay olarak ele alın. - ESXi'de firewall ya da
execInstalledOnlyayarını yeniden açmak tek başına yetmez. Rapora göre implant bu ayarları yaklaşık beş saniyede bir yeniden kapatıyor. Önce kalıcılık mekanizmasını inceleyin. - Ağ telemetrisinde bir ESXi sunucusundan tek bir dış IP'ye aynı anda 53, 2222, 3389, 4444, 8443 ve 9443 portlarına giden TCP SYN paketlerini arayın. Insikt'in C2 adresleri:
45.158.196[.]81,45.158.196[.]141(GhostFrame) ve193.5.65[.]114(MeshCentral). - VPN havuzundan vCenter, ESXi yönetim arayüzleri, domain controller ve yedekleme sunucularına doğrudan erişimi kaldırın; ESXi root erişimini kısıtlayıp izleyin. Değişiklikleri acil change kaydıyla geçirin.
