Qilin ve INC fidye yazılımı grupları PAN-OS açığıyla MFA'yı atlatıyor

En aktif fidye yazılımı operasyonlarından Qilin ve INC, Palo Alto Networks ürünlerindeki bir açığı kullanarak çok faktörlü kimlik doğrulamayı (MFA) devre dışı bırakıp kurumsal ağlara VPN erişimi elde ediyor. The Hacker News'in, şirketin tehdit istihbaratı ekibi Unit 42'nin yayımladığı güncellemeye dayanarak aktardığına göre, CVE-2026-0257 olarak izlenen açık Mayıs 2026'da yamalanmıştı. Bu nedenle ağ geçitlerini hâlâ güncellemeyen kurumlar, veri hırsızlığı ve şifrelemeyle sonuçlanan saldırılara doğrudan açık durumda.

Neler oldu?

The Hacker News'e göre Unit 42, etkinliği Qilin fidye yazılımı operasyonu için kullandığı Spikey Scorpius ve INC Ransom'a karşılık gelen Tarnished Scorpius adlarıyla ilişkilendiriyor. Saldırganlar açığı istismar ederek ilk erişimi sağlıyor, MFA denetimlerini atlatıyor ve kurbanın ortamına yetkisiz bir VPN oturumu kuruyor.

Haber, bu güncellemeyi daha uzun bir zaman çizelgesine yerleştiriyor. Palo Alto Networks düzeltmeleri Mayıs 2026'da yayımladı, CISA da açığı 13 Mayıs 2026'da Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. The Hacker News'in aktardığına göre Arctic Wolf, temmuz ayında Qilin'in bu açığı yalnızca şifrelemeden tam çifte şantaja uzanan saldırılarda kullandığını bildirmiş; ReliaQuest de Unit 42'nin güncellemesinden birkaç gün önce Qilin ve Settra fidye yazılımı gruplarının istismarını raporlamıştı.

Teknik detaylar

The Hacker News, CVE-2026-0257'yi PAN-OS ve Prisma Access'i etkileyen, CVSS puanı 7,8 olan ve saldırganların yetkisiz VPN bağlantıları kurmasına imkân tanıyan bir kimlik doğrulama atlatma açığı olarak tanımlıyor. Bağlantı kurulduktan sonra saldırganlar çift amaçlı uzaktan izleme ve yönetim (RMM) araçlarıyla iç keşif yaptı, RDP ve SMB üzerinden yatay hareket etti ve kimlik bilgisi toplama, veri sızdırma ve fidye yazılımı dağıtımı için araçlar hazırladı.

Unit 42'nin öne çıkardığı bir vakada saldırganlar VPN ağ geçidinden vCenter yönetim cihazına geçti, ESXi sunucularındaki güvenlik denetimlerini kapattı ve özel bir araçla etki alanı denetleyicisinin sanal diskinden kimlik bilgilerini çevrim dışı olarak çıkardı. Unit 42'ye göre bu yöntem, konuk işletim sistemi içinde çalışan uç nokta tespit çözümlerinden kaçmayı sağlıyor. Bazı saldırılarda erişim, Veeam yedekleme altyapısındaki CVE-2023-27532 açığının istismarıyla birleştirildi; bu da kurtarma imkânlarını hedef alarak zararı büyütmeye yönelik bir adım.

Kimler etkileniyor?

Habere göre hedef alınan sektörler arasında eğitim, finansal hizmetler, sağlık, ileri teknoloji, konaklama, imalat, profesyonel ve hukuki hizmetler, kamu, ulaştırma ve lojistik, enerji ve perakende bulunuyor. The Hacker News tek tek kurban adı vermedi. Yamalanmamış PAN-OS veya Prisma Access kullanan her kurum potansiyel risk altında.

Ne yapmalı?

Unit 42, en güncel PAN-OS ve Prisma Access düzeltmelerinin uygulanmasını, danışma notundaki ihlal göstergelerinin proaktif olarak aranmasını ve ağ geçidiyle bağlantılı şüpheli olaylar tespit edilirse olay müdahale süreçlerinin başlatılmasını öneriyor. Saldırı zinciri MFA'yı atlattığı için savunmacıların yalnızca MFA kayıtlarına güvenmemesi gerekiyor. VPN oturum kayıtlarını, vCenter ve ESXi yapılandırma değişikliklerini ve yedekleme sunucularına erişimi gözden geçirmek, ayrıca Veeam Backup & Replication'ı CVE-2023-27532'ye karşı yamalamak, olası bir sızmanın etkisini sınırlamaya yardımcı olabilir.