ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aktif olarak istismar edilen kritik bir güvenlik açığı nedeniyle Check Point VPN kullanan federal kurumlara yalnızca üç gün süre tanıdı. Kurum, kimlik doğrulamasını atlatmaya izin veren zafiyetin gerçek saldırılarda kullanıldığını doğrularken tüm etkilenen sistemlerin en geç 11 Haziran’a kadar güvenli hâle getirilmesini istedi. Güvenlik araştırmaları, saldırıların en az birinde Qilin fidye yazılımı grubuyla bağlantılı faaliyetlerin tespit edildiğini ortaya koydu.

Kimlik Doğrulamasını Atlatan Açık Doğrudan VPN Erişimi Sağlıyor

Check Point tarafından yayımlanan teknik bilgilere göre CVE-2026-50751 koduyla takip edilen açık, kimlik doğrulaması yapılmadan uzaktan VPN bağlantısı kurulmasına izin veriyor. Zafiyet, Mobile Access SSL VPN, Remote Access VPN ile Spark güvenlik duvarlarını etkiliyor ancak yalnızca belirli yapılandırmalarda ortaya çıkıyor. Özellikle eski IKEv1 anahtar değişim protokolünü kullanan, makine sertifikası zorunluluğu bulunmayan, eski nesil istemcileri kabul eden sistemler doğrudan risk altında bulunuyor.

Şirket, saldırıların ilk olarak 7 Mayıs’ta gözlemlendiğini açıklarken hafta sonu boyunca istismar girişimlerinde belirgin bir artış yaşandığını bildirdi. Check Point, olayların şu ana kadar dünya genelinde birkaç düzine kurumu etkilediğini duyurdu. Saldırı sayısı sınırlı görünse de hedef alınan kuruluşların özenle seçildiği değerlendirilirken doğrulanan olaylardan birinde saldırı sonrası faaliyetlerin Qilin ransomware bağlantılı bir aktör tarafından yürütüldüğü tespit edildi.

Güncelleme Yapamayan Kurumlara Alternatif Önlemler Sunuldu

Check Point, güvenlik yamasını yayımlamakla kalmadı, güncellemeyi kısa sürede uygulayamayacak kurumlar için geçici koruma adımlarını da paylaştı. Şirket, eski uzaktan erişim istemcilerinin tamamen kaldırılmasını, Remote Access VPN kimlik doğrulamasının yalnızca IKEv2 üzerinden çalışacak şekilde yeniden yapılandırılmasını, IPS korumasının etkinleştirilmesini, güncel saldırı imzalarının indirilmesini, makine sertifikası doğrulamasının ise zorunlu hâle getirilmesini önerdi. Güvenlik uzmanları, bu önlemlerin saldırganların mevcut açıklardan yararlanma ihtimalini önemli ölçüde azaltacağını değerlendiriyor.

Şirket ayrıca IKEv1 kullanan müşterilerin yayımlanan güvenlik güncellemesini öncelikli olarak yüklemesi gerektiğini vurguladı. Çünkü açık, kimlik doğrulama sürecini tamamen atlayabildiği için saldırganların sisteme ilk erişimi elde etmesini kolaylaştırıyor. Fidye yazılımı grupları açısından bu tür zafiyetler, ağ içerisine sızmanın en hızlı yöntemlerinden biri olarak kabul ediliyor.

👉️ İlginizi Çekebilir: Everest Forms Pro Eklentisindeki Kritik Güvenlik Açığı WordPress Sitelerini Ele Geçiriyor

CISA, güvenlik açığını Bilinen Aktif Olarak İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledikten sonra ABD’deki Federal Sivil Yürütme Kurumlarına bağlayıcı talimat gönderdi. Kurum, tüm etkilenen sistemlerin 11 Haziran’a kadar güvenli hâle getirilmesini isterken bu tür açıkların siber saldırganlar tarafından en sık kullanılan giriş noktalarından biri olduğunu vurguladı. Ajans, üretici tarafından önerilen tüm önlemlerin uygulanmasını, bulut hizmetlerinde ilgili güvenlik yönergelerine uyulmasını, gerekli koruma sağlanamıyorsa ürünün kullanımının durdurulmasını tavsiye etti.

Kararın yalnızca federal kurumlar için zorunlu olduğu belirtilmesine rağmen CISA aynı çağrıyı özel sektör kuruluşlarına da yaptı. Kurum, aktif olarak kullanılan güvenlik açıklarının kamu kurumlarıyla sınırlı kalmadığını, benzer tehditlerin tüm kurumsal ağları etkileyebileceğini ifade etti. Güvenlik ekiplerinden yamaları gecikmeden yüklemeleri istenirken ağ yapılandırmalarının da yeniden gözden geçirilmesi tavsiye edildi.

Check Point ürünleri daha önce de fidye yazılımı gruplarının hedefi olmuştu. CISA, iki yıl önce Quantum Security Gateway cihazlarını etkileyen CVE-2024-24919 güvenlik açığını da aktif olarak istismar edilen zafiyetler listesine eklemişti. Söz konusu açık, NailaoLocker fidye yazılımı saldırılarıyla ilişkilendirilmişti. Uzmanlar, son olayın VPN altyapılarının siber saldırılarda hâlâ en kritik hedeflerden biri olduğunu bir kez daha gösterdiğini belirtiyor.