BeyondTrust sıfır gün açığı CVE-2026-102764 kitlesel tarama aşamasına geçti, internette 2.185 cihaz açıkta

BeyondTrust Remote Support edge cihazlarındaki kritik açık CVE-2026-102764'nün istismarı, dar kapsamlı bir casusluk operasyonundan ayrım gözetmeyen, otomatik saldırı faaliyetine dönüşüyor. İnternet genelinde yapılan ölçümün gösterdiği 2.185 eşleşen cihazın genel internet üzerinden erişilebilir olması, bu geçişe somut bir payda veriyor.

İnternete açık bir üründeki kritik açık

Ulusal Güvenlik Açığı Veritabanı (NVD), hata için kaydını 2026-10-15 tarihinde yayımladı. Kayıt, açığı cihazın iç bileşenlerinin işlediği mesajların nereden geldiğinin yetersiz denetlenmesi olarak tanımlıyor; bu da bir saldırganın cihaz üzerinde dosya işlemleri gerçekleştirmesine olanak sağlıyor. NVD, açığı sahtecilik yoluyla kimlik doğrulama atlatma (CWE-290) olarak sınıflandırıyor ve CVSS 3.1 altında 9.8, CVSS 4.0 altında 9.3 puan veriyor; saldırı vektörü ağ üzerinden, ayrıcalık ve kullanıcı etkileşimi gerektirmiyor.

BeyondTrust, sorunu BT26-05 sayılı danışma belgesinde ele aldı; belge bir yamanın mevcut olduğunu belirtiyor ve çeşitli hafletme önlemleri sıralıyor.

Önce bir casusluk kampanyası yaşandı

The Record'un haberine göre, açık; Mandiant ve Google'ın Tehdit İstihbarat Grubu tarafından Armory Castle, yani UNC5221 olarak izlenen bir kümeye atfedilen bir casusluk kampanyasında kullanıldı. Grup Ekim 2023'ten beri faaliyet gösteriyor ve daha önce Ivanti ile Citrix edge ürünlerindeki sıfır gün açıkları istismar etmişti.

The Record'un aktardığı zaman çizelgesi, saldırganların ifşadan çok önce aktif olduğunu gösteriyor: Mandiant ilk saldırıları 29 Ağustos'a kadar izledi; BeyondTrust ise sorundan, alakasız bir satıcının edge cihazının ele geçirilmesinin kamuoyuna duyurulmasının ardından 27 Eylül'de haberdar oldu. Mandiant'ın gözlemlediği bildirilen saldırıda, Sawfly ve Bareclaw adlı özel araçlarla desteklenen ayrıcalık yükseltme, yatay hareket ve kalıcı erişim görüldü. Savunmacılar için en önemli iki bulgu şunlar: aktörün ele geçirilen cihazlarda depolanan tüm kimlik bilgilerini çıkardığı ve yeniden başlatma ya da yapılandırma sıfırlamasından sonra bile yerinde kalan dosya değişiklikleri yaptığı bildiriliyor.

Seçilmiş hedeflerden fırsatçı taramaya

The Record'un aktardığına göre Google'ın Tehdit İstihbarat Grubu, bu aktörün bir açık kamuya açıklandığında geçmişte yaygın, fırsatçı istismara geçtiğini ve yamalanmamış cihazlara ulaşmak için yarıştığı konusunda uyardı — daha önce Ivanti ve Citrix açıklarında da aynı deseni izledi. Dev.to'da yayımlanan bir geçiş analizi, bu kayması belirli bir cihaz üzerinde işaretleyen üç sinyal sıralıyor: otomatik izlemeye rather seçilmiş hedefe işaret eden, patlama halinde başarısız kimlik doğrulama denemeleri; istismar girişimlerine işaret eden, yalnızca savunmasız kod yolu üzerinden erişilebilen endpoint'lere gelen istekler; ve istismar sonrası faaliyete işaret eden, cihazdan beklenmedik giden bağlantılar.

Maruziyet sayısı neyi söylüyor, neyi söylemiyor

Ürünün köklü Bomgar parmak izi için yapılan bir ZoomEye araması, 2026-10-26 tarihinde 2.185 eşleşen varlık döndürdü. Bu rakamın dikkatli okunması gerekiyor. Sayı, bir taramayı yanıtlayan ve ürün parmak iziyle eşleşen cihazları kapsıyor — doğrulanmış biçimde savunmasız cihazları ya da doğrulanmış biçimde ele geçirilmiş cihazları değil; çünkü banner'lar nadiren sürüm bilgisi açığa çıkarır. Sorgu seçimi de önemli: dev.to analizinde belirtildiğine göre, başlığında "Remote Support" geçen sayfaları hedef alan daha geniş bir arama 863.000'den fazla eşleşme döndürüyor ve bunların çoğu alakasız web sayfası olduğundan önceliklendirme için işe yaramıyor.

Sayı en iyi bir taban çizgisi olarak kullanılır. Aynı analiz, zaman içinde aynı sorgunun tekrarlanmasını, yamalama ilerledikçe hem kurumun kendi ayak izinin hem de küresel popülasyonun daralıp daralmadığını görmeyi öneriyor; eğilim, tek bir anlık görüntüden daha fazlasını söylüyor.

Yamalamak tek başına olayı kapatmıyor

Saldırganların depolanan tüm kimlik bilgilerini topladığı bildirildiği için, cihazın erişebildiği her sistem, yama durumundan bağımsız olarak kimlik bilgisi rotasyonu kapsamında. Dosya değişikliklerinin sıfırlamalardan sonra bile kaldığı bildirildiği için, yamalanmış bir cihaz hâlâ kurcalanmış bileşenler çalıştırıyor olabilir. Önerilen sıra şöyle: yamayı ya da satıcı hafletme önlemini uygulayın, cihazın kendisinde etkili olduğunu doğrulayın, çalışan derlemeyi bilinen iyi bir imajla karşılaştırın, cihazın tutuyor olabileceği tüm kimlik bilgilerini döndürün ve — Mandiant'ın yol göstericiliği doğrultusunda — savunmasız her internete açık cihazı, incelenene kadar ele geçirilmiş olma olasılığına göre ele alın. Bir cihaz güvenilir duruma geri getirilemiyorsa, tek güvenli seçenek değiştirmektir.

Neden önemli

CISA, CVE-2026-102764'yü 2026-10-16 tarihinde Bilinen İstismar Edilen Açıklar kataloğuna ekledi; 2026-10-19 düzeltme son tarihi ve BOD 26-04 kapsamında zorunlu adli tarama ile birlikte; fidye yazılımı bağlantısı bilinmiyor olarak listelendi. Uzaktan destek cihazları tasarımdan ötürü internetten erişilebilirdir ve çoğunlukla güvenlik ekibi değil BT operasyonları tarafından satın alınır; bu yüzden yamalamayı yönlendiren varlık envanterinin dışında kalma eğilimindedirler. Hedefli istismar ile fırsatçı istismar arasındaki aralık, tam da yamalanmamış cihazların toptan süpürüldüğü dönemdir ve 2.185 varlıklık sayı bu yüzeyin hâlâ ne kadar büyük olduğunu gösteriyor. Bu cihazları çalıştıran kurumlar mülklerini şimdi envanterlemeli, dış taramalarla karşılaştırmalı ve kutunun temizlendiğini ummak yerine ele geçirilmiş varsayımıyla hareket etmeli.