Cin baglantili Warp Panda, izini gizlemek icin VMware ESX acigini istismar etti

CISA, VMware ESX'teki CVE-2026-41709 acigini 28 Ekim'de Bilinen Istismar Edilen Zafiyetler (KEV) katalogu na ekledi. Bu adim, CrowdStrike'in Cin baglantili bir tehdit aktorunun acigi sifirinci gun olarak kullanip ele gecirdigi sistemlerde izini gizledigini bildirmesinin ardindan geldi. The Hacker News, CrowdStrike'in 2026 Hukuk Sektoru Tehdit Manzarasi raporuna dayanarak Warp Panda olarak bilinen grubun acigi denetim kayitlarini azaltmak icin istismar ettigini yaziyor.

Neler oldu?

The Hacker News'in aktardigi CrowdStrike raporuna gore acik, yetersiz gunlukleme sorunu: halihazirda yonetici erisimine sahip bir saldirgan, bazi VMware ESX islemlerini bu eylemler kaydedilmeden gerceklestirebiliyor. Broadcom hatayi ilk kez Temmuz 2026'daki bir uyariyla duyurup kapatmisti; ancak CrowdStrike, Warp Panda'nin acigi 2026 basinda zaten sifirinci gun olarak kotuye kullandigini soyluyor. Dogrulanan istismara ragmen acigin CVSS puani 2.7 gibi dusuk bir degerde; bu da onun dogrudan kod calistirma degil, bir tespitten kacinma araci oldugunu yansitiyor.

Teknik detaylar

The Hacker News, Armory Castle (eski adiyla UNC5221), Clay Typhoon ve VerdantBamboo olarak da izlenen Warp Panda'nin tipik olarak internete acik uc cihazlar uzerinden ilk erisimi elde ettigini, ardindan VMware vCenter ortamlarina gecip kalicilik icin BRICKSTORM ve SharpStorm dahil ozel zararlilar birakitigini bildiriyor. CrowdStrike'a gore grup "denetim gunuklemesini atlayarak tespitten etkin bicimde kaciniyor", cloud oturum token'lari topluyor ve sahte cok faktorlu kimlik dogrulama (MFA) cihazlari kaydediyor. Bazi sizmalarda calinan oturum token'lariyla Microsoft 365'e kimlik bilgisi tabanli uyari tetiklemeden eristi; en az bir olayda ise ele gecirilen bir hesaba yeni bir MFA cihazi ekleyerek parola sifirlanse bile erisimini surdurmeyi amacladi. Haberde, Google'a bagli Mandiant'in ayni grubu Ekim basinda bir BeyondTrust Remote Support acigini (CVE-2026-102764, CVSS 9.3) sifirinci gun olarak istismar edip SAWFLY ve BARECLAW zararlilarini dagittigina da bagladigi belirtiliyor.

Kimler etkileniyor?

CrowdStrike, Warp Panda'nin birden fazla sektorde ABD'li kurumlara yogunlastigini, ozellikle hukuk sektorunu one cikardigini ve Citrix NetScaler ile Ivanti Connect Secure cihazlarindaki sifirinci gun aciklarini istismar etme gecmisi oldugunu soyluyor. Broadcom'un Temmuz uyarisi; VMware Cloud Foundation, vSphere Foundation, ESX, Telco Cloud Platform ve ilgili yapilar icin duzeltmeleri listeliyor.

Ne yapmali?

The Hacker News'e gore temel oneri Broadcom'un Temmuz 2026 yamalarini uygulamak; CISA, ABD federal sivil yurutme kurumlarinin 11 Kasim 2026'ya kadar yama yapmasini zorunlu kiliyor. Tarif edilen taktikler goz onunde bulunduruldugunda kurumlar ayrica ESX ve vCenter'daki denetim gunuklemesinin bozulmadigini dogrulamak, beklenmeyen MFA cihazi kayitlarini izlemek ve olagan disi cloud oturum token'i kullanimini takip etmek isteyebilir; bunlar belirli bir uyari rehberinden cok, bildirilen davranisla tutarli adimlardir.