ZoomEye taraması, VNC'nin varsayılan portu 5900 üzerinde 5.102.346 erişilebilir host saydı

Beş milyonluk bir host port taraması

ZoomEye internet arama motoruna yapılan bir sorgu, VNC uzaktan erişim protokolünün geleneksel ilk ekran portu olan 5900'ün açık olduğu 5.102.346 host döndürdü. Bu rakam, iki gün önce ZoomEye ile toplanan verilere dayanarak 25 Eylül 2026'da dev.to'da yayımlanan bir analizden geliyor. Sorgu kasıtlı olarak dardı — tüm alt türlerde tek bir port — ve yine de beş milyonu aşkın adres döndürdü.

Yazar, bu sayının ne anlama geldiği konusunda dikkatli. Port tabanlı bir sorgu, 5900'ün bağlantı denemelerine yanıt verdiği adresleri raporlar. Dinleyen hizmetin gerçekten VNC olduğunu doğrulamaz ve kimlik doğrulamanın etkin olup olmadığı ya da nasıl yapılandırıldığı konusunda hiçbir şey söylemez. Standart dışı portlardaki kurulumlar sorguya tamamen görünmezdir.

Modern güvenlik varsayımlarından önceye dayanan bir protokol

Bu sayının önemli olmasının nedeni VNC'nin geçmişi. Protokol, RFC 6143'te belgelenen Remote Framebuffer standardını uygular ve özgün kimlik doğrulaması kısa bir anahtar etrafında kurulmuş bir challenge-response el sıkışmasıydı. dev.to analizine göre, saldırgan trafiği yakalayabiliyorsa bu anahtar çevrimdışı saldırıyla kırılabilir. Protokolün sonraki sürümleri daha güçlü güvenlik türleri sundu, ancak eski istemci ve sunuculara verilen destek yüzünden zayıf seçenekler tamamen ortadan kalkmadı.

Şifreleme ikinci bir boşluk: analiz, VNC'nin sık sık şifreleme olmadan dağıtıldığına dikkat çekiyor; bu da hem kimlik bilgilerini hem de oturum içeriğini, ağ yolunu izleyebilen herkesin görebilmesine yol açıyor.

VNC gerçekte nerede yaşıyor

Bunların hiçbiri beş milyon sistemin tamamen açık olduğu anlamına gelmiyor. Analiz, VNC'nin grafiksel arayüzün gerekli olduğu ama tam bir uzak masaüstü yığınının gereğinden fazla olduğu her yerde yaygın kaldığına işaret ediyor: sanal makine konsolları, kiosk sistemleri, endüstriyel ekipmanlar ve gömülü cihazlar.

Bu kurulumların güvenlik duruşu son derece değişken. Localhost'a bağlanmış ve bir SSH tüneli üzerinden erişilen bir VNC sunucusu sağlam bir yapılandırmadır. Genel bir arayüze bağlanmış ve yalnızca kısa bir parolayla korunmuş bir sunucu ise öyle değil. ZoomEye sayısı ikisi arasında ayrım yapamaz, bu nedenle bu rakam savunmasızlık değil, erişilebilirlik ölçüsü olarak okunmalı.

Pratik sağlamlaştırma

dev.to yazısı, VNC çalıştıran herkese şu önerilerle bitiyor:

• Bir VNC sunucusunu asla doğrudan internete açmayın; SSH üzerinden tüneleyin veya bir VPN'in arkasına koyun.
• Güçlü kimlik doğrulama ve şifrelemeyi destekleyen bir uygulama kullanın ve eski güvenlik türlerini devre dışı bırakın.
• Uzun, benzersiz bir parola belirleyin ve varsayılan kimlik bilgilerinin tümünü değiştirin.
• Kurulum izin veriyorsa erişimi kaynak adrese göre kısıtlayın.
• Beklenmeyen kaynaklardan gelen kimlik doğrulama denemelerini ve normal çalışma saatleri dışında başlayan oturumları izleyin.

Neden önemli

Genel bir arama motoruna yapılan tek bir sorgu, özgün kimlik doğrulaması çok daha az düşmanca bir ağ için tasarlanmış bir protokole ait beş milyondan fazla potansiyel erişilebilir uç nokta döndürdü. Bu hostların yalnızca küçük bir bölümü gerçekten yanlış yapılandırılmış olsa bile, mutlak sayılar zayıf hedeflerden oluşan ciddi bir havuzun var olmasını muhtemel kılıyor — kısa parolalı, kimlik doğrulaması devre dışı veya düz metin oturumlu sunucular.

Bu rakam ayrıca, yaygın dağıtılan protokollerde uyumluluk kararlarının çok uzun ömürlü olduğunun bir hatırlatıcısı: zayıf güvenlik türleri, eski istemcilerin hâlâ bağlanması gerektiği için varlığını sürdürüyor. Ve aynı sorgu herkes tarafından kullanılabildiği için saldırganlar için keşif maliyeti fiilen sıfır. Operatörler için çıkarım net — 5900 portuna internetten erişilebilir olmamalı ve erişilebilir olduğu her kurulum derhal gözden geçirilmeyi hak ediyor.