"CVE-2026-0257: VPN kapısından hipervizöre, EDR'ın göremediği kat"

Bazı açıklar bir cihazı düşürür. CVE-2026-0257 ise bir ağın en karanlık katına inen merdivenin ilk basamağı oldu. Dün yayımladığımız GhostFrame haberi, Temmuz'da Qilin saldırılarıyla gördüğümüz tablonun nereye vardığını gösteriyor: VPN'den vCenter'a, oradan ESXi'ye. Türkiye'de GlobalProtect ve ESXi'nin ne kadar yaygın olduğunu düşününce bu zinciri ayrıntılı okumak zorundayız.

Ne oluyor? CVE-2026-0257, PAN-OS GlobalProtect portal ve gateway'inde bir authentication bypass açığı. Palo Alto'nun bildirimine göre açık, authentication override cookie seçenekleri etkin ve belirli bir sertifika yapılandırması kullanılıyorken ortaya çıkıyor. Açık Mayıs'tan beri CISA KEV kataloğunda. Risk altında olanlar, bu seçenekleri açık tutan ve patch'i geciktirmiş GlobalProtect kurulumları; desteği bitmiş PAN-OS sürümleri için patch hiç yok.

Unit 42'nin Ekim güncellemesi, Qilin ve Inc operatörlerinin açığı kullanarak MFA'yı atladığını ve VPN oturumu açtığını anlatıyor. Recorded Future'ın Insikt ekibi ise TAG-218 grubunun SonicWall, Fortinet ve Palo Alto VPN cihazlarından girip ESXi sunucularına GhostFrame adlı bir implant yerleştirdiğini belgeledi. Insikt, bu etkinliğin CVE-2026-0257 raporlarıyla örtüştüğünü söylüyor, ancak bu CVE'nin kullanıldığını kesin olarak doğrulamıyor. Bu ayrımı korumak gerekiyor.

Saldırgan ne kazanıyor? Kapıdan geçen saldırgan, meşru bir uzak kullanıcı gibi görünür. Asıl kazanç bundan sonra gelir. Unit 42'nin aktardığı vakalarda saldırganlar vCenter'a geçip ESXi'de execInstalledOnly korumasını kapattı ve bir domain controller'ın sanal diskinden kimlik bilgilerini çevrimdışı çıkardı. Bu yöntemin acı tarafı şu: misafir işletim sisteminin içindeki EDR, olanı hiç görmez. Disk dışarıdan okunur, ajan habersiz kalır.

GhostFrame ise kalıcılık katmanı. Rapora göre implant, kapatılan korumaları yaklaşık beş saniyede bir yeniden kapatıyor. Yani yönetici ayarı düzeltse bile kök neden yerinde durdukça kapı tekrar açılıyor. Hedef alınan kurumlardan en az dördünün sonradan Settra fidye yazılımının sızıntı sitesinde görünmesi, zincirin nerede bittiğini söylüyor.

Avlanma notları - GlobalProtect loglarında, Unit 42'nin yayımladığı IP adreslerinden gelen başarılı oturumlar ve DESKTOP-GP01, GP-CLIENT gibi sahte host adları. Tek eşleşme bile olay müdahalesi sebebidir. - VPN havuzundan vCenter, ESXi yönetim arayüzü, domain controller ve yedekleme sunucusuna giden oturumlar. Normalde bu trafiği kim üretiyor, listeniz var mı? - ESXi tarafında /opt/vmhostd-core dosyası, vmhostd adlı süreç, local.sh içinde tanımadığınız satırlar ve kapalı görünen execInstalledOnly ya da firewall. Bunlar yalnızca bakılarak kontrol edilir; ilgili komutlar haberde salt okunur olarak verildi. - Ağ telemetrisinde bir ESXi host'undan tek bir dış IP'ye aynı anda birden çok porta giden SYN paketleri ve Insikt'in yayımladığı C2 adresleriyle eşleşen bağlantılar. - Sürüm kontrolü için PAN-OS üzerinde salt okunur show system info; düzeltilmiş sürümler üretici bildirimindeki listede.

Bugün yapılacaklar 1. PAN-OS'u üretici bildirimindeki düzeltilmiş sürüme yükseltin; yükseltme bekliyorsa Palo Alto'nun önerdiği geçici önlemi uygulayın ve change kaydını acil açın. 2. Patch'ten önceki dönemi de avlayın: güncelleme, önceden içeri girmiş birini dışarı atmaz. 3. VPN kullanıcılarının sanallaştırma yönetim katmanına doğrudan erişimini kaldırın; ESXi root erişimini kısıtlayıp izleyin. 4. ESXi'de bir koruma kapalı bulunursa önce kalıcılığı inceleyin, sonra ayarı düzeltin. 5. Desteği bitmiş PAN-OS çalıştıran cihazları değiştirme planına bugün alın.

Avcının notu EDR'ı olan bir kurum kendini görünür sanır. Oysa bu zincirde saldırgan, ajanın durduğu katın bir altında yürüyor. Hipervizör sizin kör noktanızsa, saldırganın en sevdiği koridor orasıdır. Bugün VPN loglarına ve ESXi host'larına aynı ciddiyetle bakın; birinden giren, öbüründe iz bırakır.