BeyondTrust Edge zero-day CVE-2026-102764 kullanımda, 1.400'den fazla açık cihaz hâlâ çevrimiçi

CVE-2026-102764'nün aktif sömürüsü

CVE-2026-102764 olarak takip edilen bir zero-day, BeyondTrust Edge cihazlarına karşı aktif olarak sömürülüyor ve arkasındaki grup tanıdık. Google Threat Intelligence raporlamalarına dayanan ve dev.to üzerinde yayımlanan bir analize göre, Armory Castle — daha önce UNC5221 olarak bilinen — olarak izlenen aktör bu açığı ilk erişim için kullandı, root'a yükseldi ve araştırmacıların Sawfly adını verdiği bir webshell ile Bareclaw adında bir tünelleyici yükledi.

Yama ile açıklanma arasındaki süre çok kısaydı. BeyondTrust 8 Ekim'de bir patch yayımladı ve açık 15 Ekim'de kamuya malum oldu. dev.to analizi, Armory Castle'ın tarihsel olarak açıklamalardan hemen sonra geniş ve fırsatçı sömürü kampanyaları yürüttüğüne dair Mandiant'ın değerlendirmesine atıf yapıyor; hedef ağlara yamalar uygulanmadan önce ulaşmaya çalışıyorlar. Atıf hâlâ belirsiz: aktör şüpheli Çin bağlantılı bir grup olarak tanımlanıyor, yayımlanmış bir mağdur listesi yok, ele geçirilen cihaz sayısı doğrulanmış değil ve satıcı açıklığın teknik mekanizmasını açıklamadı. BeyondTrust'ın danışma belgesi BT26-05.

Kayıt dosyası olan bir ürün ailesi

Analize göre olay, tek başına değil de BeyondTrust olaylarının bir dizisi içinde değerlendirildiğinde farklı okunuyor. Kamuya açık raporlar arasında, sahadan sömürülen ve WebSocket kanalları açan, bildirilen en az bir vakada fidye yazılımı yükleyen kritik uzaktan kod yürütme açığı CVE-2026-1731 yer alıyor. Daha öncesinde, Silk Typhoon olarak bilinen grubun iki zero-day'i — CVE-2024-12356 ve CVE-2024-12686 — birleştirerek BeyondTrust'ın kendi sistemlerine sızdığı ve çalınmış bir API anahtarını, bir ABD Hazine dağıtımı dahil olmak üzere SaaS örneklerine karşı kullandığı bildirilmişti.

Aynı aktör ailesinin bu pazarda başka yerlerde de sicili var. Mandiant ve Volexity'ye atıf yapan raporlar UNC5221'i Citrix NetScaler ve Ivanti Connect Secure cihazlarına yönelik kampanyalarla ilişkilendiriyor ve Volexity, Ocak 2024'te grubun 2.100'den fazla Ivanti cihazına arka kapı yerleştirdiğini bildirmişti.

Analize göre ortak payda bir satıcı değil bir varlık sınıfı: tasarım gereği internete açık olan, ayrıcalıklı oturumları yöneten ve arkasındaki her şeyin güvendiği kimlik bilgilerini elinde bulunduran yönetim cihazları. İstihbarat odaklı bir aktör için bu bileşim erişim, yetki ve kalıcı kalıcılık sağlıyor.

Açık nüfusun ölçülmesi

Analiz ayrıca bu türden kaç hedefin var olduğunu nicelendirmeye çalışıyor. 23 Ekim 2026'da çalıştırılan ZoomEye sorguları, BeyondTrust markalı arayüzlere sahip 966 sunucu döndürdü; bunların 584'ü alan adlarında, 226'sı BeyondTrust Privileged Remote Access olarak tanımlanmış, 269'u 443 portunu ve 203'ü 80 portunu dinliyor. İkinci bir referans noktası olarak atıf yapılan Shadowserver telemetrisi, Remote Support ve Privileged Remote Access genelinde 1.400'den fazla açık BeyondTrust örneği sayıyor.

Hiçbir rakam bir sunucunun savunmasız ya da ele geçirilmiş olduğunu göstermiyor. Ortaya koydukları şey ölçek: dört haneli bir erişilebilir cihaz nüfusu; analiz bunu, bu dizideki bir sonraki sömürünün bir olasılık değil zamanlama meselesi olduğuna dair kanıt olarak görüyor.

Sahiplerin yapması gerekenler

Analiz, bu diziden dört pratik sonuç çıkarıyor:

• Yamalama gerekli ama yeterli değil. 2024 Ivanti vakası, bir aktörün yapılandırma düzeyinde kalıcılık ve özel webshell'ler aracılığıyla düzeltmeden sağ kurtulabildiğini gösterdi.

• API anahtarları dahil kimlik bilgilerinin ve güven materyalinin döndürülmesi, yamalamadan ayrı bir iş koludır ve Silk Typhoon'un çalınmış bir anahtarı kötüye kullanması bunu ertelemenin bedelini gözler önüne seriyor.

• Erişilebilirlik bilinçli bir tasarım kararı olmalı: oturum açma ve cihaz uç noktalarına gelen trafiğin güvenlik duvarı düzeyinde engellenmesi ile ağ kısıtlamaları, bir saldırganın seçebileceği havuzu daraltıyor.

• Düzeltmeden sonra açık ölçümü yeniden yapılmalı; çünkü önce-sonra sayımı, erişilebilir nüfusun düştüğünün tek gerçek kanıtıdır.

Neden önemli

Ayrıcalıklı erişim cihazları herhangi bir ağdaki en yüksek değerli hedefler arasında: tasarım gereği erişilebilirler ve arkalarındaki her şeyin anahtarlarını elinde tutarlar. Bu olay, tekrarlanabilir bir oyun kitabı gösteriyor — zero-day erişimi, root'a hızlı yükselme, webshell artı tünel, yama döngüleriyle fırsatçı yarış — tam da bu varlık sınıfına, bunu daha önce Ivanti, Citrix ve BeyondTrust'a karşı yürütmüş bir grup tarafından yöneltilmiş. Binden fazla böyle cihaz hâlâ erişilebilirken ve açıklığın mekanikleri hâlâ açıklanmamışken, savunmacılar yamalamayı bütün planın değil ilk adımın olarak görmeli: cihazları envanterleyin, tuttukları gizli bilgileri döndürün, kimlerin onlara erişebileceğini kısıtlayın ve açık sayısının gerçekten düştüğünü doğrulayın.