GÜVENLİK VE BT BÜLTENİ · SAYI 4

Güvenlik Bülteni 29 Ekim–2 Kasım 2026: GitLab, Cisco ASA/FTD ve PAN-OS’ta PHP2Shell İstismarı

Technodus Ekibi 29 Ekim–2 Kasım 2026

Bu hafta kurum ağının kapısındaki cihazlar yine ilk sıradaydı. Cisco ASA ve FTD’de SSL VPN’i kesintiye uğratan açık istismar listesine girdi. Geçen hafta gündeme gelen PHP2Shell ise Palo Alto güvenlik duvarlarının internete açık yönetim arayüzlerinde Linux çekirdeği açığıyla birleşerek root erişimine dönüştü. Yazılım geliştirme tarafında GitLab’deki en yüksek önemdeki açık gerçek saldırılarda kullanılıyor.

Bu hafta öncelikli 3 adım

  1. Kendi sunucunuzda çalışan GitLab’i 19.4.2, 19.3.5 veya 19.2.8 ya da daha yeni bir yama sürümüne yükseltin.
  2. Güvenlik duvarı yönetim arayüzlerini internete kapatın; PAN-OS ve Cisco ASA/FTD sürümlerini üretici bildirimleriyle karşılaştırın.
Aktif istismarÖnem: Kritik

GitLab: CI/CD düzenli ifade derleyicisindeki en yüksek önemli açık istismarda

CVE-2026-97229, GitLab Community ve Enterprise Edition’ın CI/CD yapılandırmasındaki düzenli ifadeleri derleyen bileşende bir tamsayı taşması. GitLab’e göre belirli koşullarda kimliği doğrulanmamış bir kullanıcı, özel hazırlanmış bir düzenli ifadeyle sunucuda kod çalıştırabiliyor. Açık 19.4.2, 19.3.5 ve 19.2.8 sürümlerinde düzeltildi; GitLab istismar girişimleri tespit ettiğini ve kendi sunucusunu işletenler için tespit kuralları yayımladığını açıkladı.

CISA 29 Ekim’de açığı KEV kataloğuna ekledi ve federal kurumlara üç gün süre verdi. CISA notuna göre kök neden Ruby’nin düzenli ifade motoru Onigmo’da; aynı motoru kullanan başka ürünler de etkilenebilir. Shadowserver internete açık yaklaşık 2.800 GitLab Community Edition sunucusu izliyor. GitLab Ekim içinde aynı bileşende ikinci bir kritik açığı (CVE-2026-110264) da kapatmıştı.

Kimi etkiliyor?

Kendi sunucusunda GitLab CE/EE çalıştıran yazılım ekipleri. Kaynak kod, CI/CD değişkenlerindeki sırlar ve dağıtım anahtarları doğrudan risk altında.

Ne yapmalı?

  • Kendi dalınızdaki en güncel yama sürümüne geçin; aynı bileşendeki CVE-2026-110264 düzeltmesini de içerdiğinden emin olun.
  • GitLab’i internete açık tutmanız gerekmiyorsa VPN veya ZTNA arkasına alın.
  • CI/CD değişkenlerindeki bulut anahtarlarını, dağıtım token’larını ve kayıt defteri parolalarını yenileyin.

Technodus ne öneriyor?

Vulnerability Manager Plus

Sunuculardaki yazılım envanterini sürümüyle çıkarır; GitLab ve Ruby tabanlı uygulamaların yamasız kalanlarını KEV önceliğiyle listeler.

Falcon Insight XDR

GitLab sunucusunda web servisinin beklenmeyen kabuk veya ağ bağlantısı başlatması gibi istismar sonrası davranışları tespit eder.

ZTNA ile uygulama erişimi

İç geliştirme araçlarını internete açmadan, kimlik ve cihaz durumuna göre erişim vermeyi anlattık.

Kaynak: BleepingComputer: CISA says max severity GitLab flaw now exploited in the wild · GitLab Patch Release 19.4.2

GüncellemeÖnem: Yüksek

PHP2Shell PAN-OS yönetim arayüzlerinde: Linux çekirdeği açığıyla root erişimi

Palo Alto Networks, geçen sayıda yer verdiğimiz PHP2Shell açıklarının (CVE-2026-109618, CVE-2026-109619) PAN-OS yönetim web arayüzünü etkilediğini ve internete açık yönetim arayüzlerine karşı aktif istismar gözlendiğini bildirdi; bildirim 29 Ekim’de güncellendi. Etkilenen kapsam yalnız HTTPS yönetim arayüzü ve XML API; GlobalProtect, Cloud NGFW ve Prisma Access etkilenmiyor.

Dream Research, saldırganların PHP2Shell ile girdikten sonra 28 Ekim’de KEV’e eklenen Linux çekirdeği açığı CVE-2026-46300’ü (Fragnesia) kullanarak ABD, Japonya, Tayvan ve Güney Kore’de 24 güvenlik duvarı ve bir yönetim sunucusunda root erişimi elde ettiğini raporladı. Unit 42, saldırgan araçlarını bağımsız olarak doğruladığını ve kurulu tabanın yaklaşık %0,02’sinin etkilendiğini açıkladı.

Kimi etkiliyor?

Yönetim arayüzü internetten erişilebilen PAN-OS 10.2, 11.1, 11.2, 12.1 ve 12.2 cihazlar; yönetim profili atanmış veri düzlemi arayüzleri.

Ne yapmalı?

  • Yönetim arayüzünü yalnız güvenilir iç IP’lere veya atlama sunucusuna açın.
  • Palo Alto bildirimindeki düzeltilmiş hotfix sürümüne geçin; Threat ID 543004 imzasını etkinleştirin.
  • Yama yeterli değil: yönetim arayüzü internete açık kalmış cihazlarda yapılandırma değişikliklerini, yönetici hesaplarını ve kalıcı tünelleri kontrol edin.

Technodus ne öneriyor?

Picus Threat ID 60730

PHP2Shell istismar trafiğini güvenli biçimde simüle ederek IPS imzalarının ve WAF kurallarının bu saldırıyı gerçekten engellediğini doğrular.

Firewall Analyzer

Palo Alto yönetici oturumlarını ve kural değişikliklerini izler; beklenmeyen kaynaktan yönetici girişi olduğunda alarm üretir.

Network Configuration Manager

Güvenlik duvarı yapılandırmasını düzenli yedekler ve izinsiz değişikliği son onaylı sürümle karşılaştırarak gösterir.

Kaynak: Palo Alto Networks: Impact of PHP2Shell on Palo Alto Networks Products · Unit 42: Threat Brief, PHP2Shell · eSecurity Planet: CISA Linux root flaw and Palo Alto

KEVÖnem: Yüksek

Cisco ASA ve FTD: SSL VPN’de cihazı yeniden başlatan açık istismarda

Cisco 28 Ekim’de Secure Firewall ASA ve FTD yazılımlarının uzaktan erişim SSL VPN özelliğindeki CVE-2026-76418 (CVSS 8,6) için bildirim yayımladı. Bir tünel grubunda ikincil kimlik doğrulama yapılandırıldığında, kimliği doğrulanmamış bir saldırgan özel hazırlanmış isteklerle cihazı yeniden başlatabiliyor. Cisco Ekim ayında aktif istismardan haberdar olduğunu belirtti; CISA 29 Ekim’de açığı KEV kataloğuna ekledi.

Açık kod çalıştırmıyor ama tekrar eden yeniden başlatmalar uzaktan erişimi tamamen kesebilir. Tam çözüm getiren bir geçici önlem yok; Cisco’nun önerdiği hafifletme adımları ikincil kimlik doğrulamayı kaldırmayı da içerdiği için VPN güvenlik seviyesini düşürüyor.

Kimi etkiliyor?

webvpn açık ve herhangi bir tünel grubunda (DefaultWEBVPNGroup dahil) secondary-authentication-server-group tanımlı ASA ve FTD cihazları. Bulut tabanlı Firewall ve Secure Access etkilenmiyor.

Ne yapmalı?

  • Cisco bildirimindeki düzeltilmiş ASA (ör. 9.20.4.50, 9.22.3.200) veya FTD (ör. 7.4.9, 7.6.7) sürümüne geçin.
  • Güncellemeye kadar beklenmeyen yeniden başlatmalar için cihaz çalışma süresi ve syslog alarmlarını açın.

Technodus ne öneriyor?

OpManager

Güvenlik duvarının çalışma süresini ve erişilebilirliğini izler; beklenmeyen yeniden başlatmada ve VPN servis kesintisinde anında alarm üretir.

Network Configuration Manager

Ağ cihazlarının firmware sürümlerini bilinen açıklarla eşleştirir; hangi ASA’nın etkilenen sürümde olduğunu tek raporda gösterir.

Çok lokasyonlu ağ izleme

Şube güvenlik duvarlarını merkezden izlemek için OpManager merkez-prob kurgusunu anlattık.

Kaynak: Cisco Security Advisory: ASA and FTD Remote Access SSL VPN Tunnel DoS · CISA Known Exploited Vulnerabilities Catalog

Sürüm notları

ManageEngine ürün güncellemeleri

Bu dönemde yayımlanan ManageEngine sürümleri, öne çıkan değişiklikler ve kapatılan güvenlik açıkları.

ServiceDesk Plus (şirket içi)Build 16020 · 30 Ekim 2026
  • Yalnız güvenlik düzeltmesi içeren bir sürüm.

Güvenlik: LDAP kimlik doğrulama doğrulamasındaki bir hata nedeniyle ServiceDesk Plus’a yetkisiz erişim mümkündü; düzeltildi. Ayrıca CVE-2026-114820 ve CVE-2026-91403 kapsamında eMudhra CA sertifikaları uygulamanın güven deposundan kaldırıldı.

Technodus notu: LDAP ile giriş kullanan kurulumlar için öncelikli yükseltme öneriyoruz; açık doğrudan oturum açma adımını ilgilendiriyor. eMudhra’nın sekiz ara sertifikasının özel anahtarları Ekim ortasında kurtarılabilir bulunmuş, tarayıcılar ve işletim sistemleri bu sertifikalara güveni kaldırmıştı. ServiceDesk Plus güvenlik entegrasyonları rehberi

Kaynak: ManageEngine sürüm notları

Network Configuration Manager ve Firewall Analyzer12.9.202 · 30 Ekim 2026
  • 129200 ile başlayan sürümlerde bazı senaryolarda görülen başlangıç (startup) hatası her iki üründe giderildi.

Technodus notu: 21 Ekim’de NCM 12.9.200’e (TFTP ve Configlet açıkları) geçtiyseniz ve servis zaman zaman açılmıyorsa bu sürüm sorunu çözüyor. 5 Kasım’da çıkan 12.9.203 de bir sonraki adım.

Kaynak: ManageEngine sürüm notları

EventLog AnalyzerBuild 13028 · 2 Kasım 2026
  • Bağlantılı alan ve eylem eşlemelerinin yanlış çözümlenmesi nedeniyle başarısız olan yükseltme düzeltildi.
  • Eski pano bileşenleri yüzünden Log360 birleşik pano geçişinin başarısız olması giderildi.
  • Alarm profillerine eşlenen kaynak sayısı sınırı aşıldığında ve In-Memory Threat Storage kullanan kurulumlarda servis paketinin uygulanamaması düzeltildi.

Technodus notu: Önceki servis paketini uygularken hata aldıysanız bu sürümle tekrar deneyin; Log360 içinde EventLog Analyzer kullanan kurumlar için pano geçişi düzeltmesi özellikle önemli. EventLog Analyzer ve 5651 log yönetimi rehberi

Kaynak: ManageEngine sürüm notları

Bu açıklar sizi etkiliyor mu? Picus ile savunmalarınızı bu haftanın saldırılarına karşı test edelim, etkilenen varlıkları ve öncelik sırasını birlikte çıkaralım.

Test talep edin
E-BÜLTEN

Yeni yazılar e-postanıza gelsin

ITSM, siber güvenlik ve izleme konularında yayınladığımız rehberleri ayda birkaç kez, reklamsız paylaşırız.