arkadaşlar, secret blizzard diye bilinen rus hacker grubu yine iş başında. bu sefer de kazuar diye bir backdoor’u (arka kapı) tamamen yenilemişler. eskiden klasik bir arka kapıydı, şimdi ise modüler p2p botnet’e dönüştürmüşler. yani daha kalıcı, daha gizli, daha tehlikeli bir şey haline gelmiş.

ne olmuş yani?

kazuar aslında yeni bir şey değil, yıllardır kullanılan bir backdoor. ama secret blizzard grubu bunu tamamen yeniden yazmış. artık peer-to-peer (p2p) mimaride çalışıyor, yani merkezi bir komuta-kontrol sunucusu yok. botnet’teki diğer enfekte makinelerle direkt haberleşiyor. bu da tespiti çok zorlaştırıyor çünkü klasik c2 trafiğini arıyorsunuz ama bulamıyorsunuz.

…

arkadaşlar grafana’dan kötü haber var. yetkisiz birisi grafana’nın github tokenını ele geçirmiş ve tüm kod tabanını indirmiş. üstüne bir de şantaj denemesi yapmışlar. yani klasik “kodunuzu aldık, para verin” hikayesi.

olay nasıl gelişmiş

grafana resmi açıklamasında şöyle demiş: “yetkisiz bir taraf, github ortamımıza erişim sağlayan bir token elde etti ve kod tabanımızı indirdi.” spoiler: şirket müşteri verisi veya kişisel bilgi sızdırılmadığını, müşteri sistemlerine etki olmadığını söylüyor. ama yine de durum ciddi.

…

arkadaşlar, wordpress’te kullanılan funnel builder eklentisinde kritik bir açık var ve aktif olarak sömürülüyor. saldırganlar bu açığı kullanarak woocommerce ödeme sayfalarına zararlı javascript kodu enjekte ediyorlar, yani müşterilerinizin kredi kartı bilgilerini çalıyorlar. sansec bu hafta detayları yayınladı.

ne oluyor yani?

şöyle ki, funnel builder denen wordpress eklentisinde bir zafiyet var. saldırganlar bu açığı kullanarak woocommerce checkout (ödeme) sayfalarına kendi javascript kodlarını sokuyorlar. müşteri kart bilgilerini girdiği anda, hop bilgiler saldırganın eline geçiyor. klasik skimming olayı işte, ama dijital versiyonu.

…

arkadaşlar, openclaw’da ciddi bir açık seti bulunmuş. cyera’nın araştırmacıları 4 tane zafiyet tespit etmiş ve bunlara “claw chain” diyorlar. şöyle ki bu açıklar tek başına bile kötü ama zincirlenince tam bir felaket senaryosu ortaya çıkıyor: saldırgan sisteme yerleşiyor, hassas verileri sızdırıyor ve arka kapı bırakıyor.

spoiler: bu açıklar zincirlenebilir, yani birini kullanıp diğerine geçebiliyorlar. o yüzden ciddiye alın.

ne oluyor peki?

openclaw’daki bu 4 zafiyet bir atak zinciri oluşturuyor. saldırgan şöyle bir senaryo izleyebilir:

…

arkadaşlar, nginx kullanan herkes buraya bi toplanın lütfen. 2008 yılından beri nginx’in içinde uyuyan kritik bir açık bulunmuş ve bu hafta yamalanmış. ama işin kötü tarafı, poc kodu da yayınlanmış yani artık herkes nasıl sömürüleceğini biliyor. acil acil yamalayın diyorum.

ne olmuş peki

nginx’te kritik seviyede bir güvenlik açığı tespit edilmiş. bu açık tam 18 yıldır yazılımın içinde varmış, 2008’den beri. şimdi hem nginx open source hem de nginx plus için yamalar yayınlanmış durumda.

…

arkadaşlar, wordpress kullanan e-ticaret sitesi yöneticilerine acil duyuru. funnel builder diye popüler bir eklentide kritik bir açık bulunmuş ve aktif olarak sömürülüyor. saldırganlar bu açığı kullanarak woocommerce ödeme sayfalarına kötü niyetli javascript kodları enjekte ediyorlar, yani müşterilerinizin kredi kartı bilgilerini çalıyorlar.

ne oluyor peki

funnel builder eklentisi, wordpress sitelerinde satış hunileri oluşturmak için kullanılan bir araç. bu eklentide bulunan CVE-2025-64328 zafiyeti sayesinde saldırganlar, kimlik doğrulama yapmadan (yani giriş yapmadan) eklentinin ayarlarını değiştirebiliyorlar.

…

arkadaşlar, openai’dan bir güvenlik açıklaması geldi. tanstack kütüphanesine yapılan supply chain saldırısında (mini shai-hulud diye adlandırılmış) openai’ın iki çalışanının macos cihazları etkilenmiş. şirket hızlıca müdahale etmiş ve kullanıcı verisi, production sistemler ya da fikri mülkiyet çalınmamış. ama yine de bu olay supply chain saldırılarının ne kadar ciddi olduğunu bir kez daha gösterdi.

olay nasıl gelişmiş

tanstack, react query gibi popüler javascript kütüphanelerinin geliştirildiği bir proje. saldırganlar bu kütüphaneye zararlı kod enjekte etmeyi başarmışlar. “mini shai-hulud” adı verilen bu saldırı, muhtemelen dune hayranı bir saldırgan tarafından gerçekleştirilmiş (shai-hulud bildiğiniz kum kurdu işte).

…

arkadaşlar, wordpress kullananlar dikkat. burst statistics diye bir eklentide kritik seviye bir kimlik doğrulama bypass açığı var ve aktif olarak sömürülüyor. saldırganlar bu açığı kullanarak sitelere admin yetkisiyle giriyorlar.

ne oluyor yani?

burst statistics, wordpress sitelerinde ziyaretçi istatistiklerini takip eden popüler bir eklenti. şu anda 100 binden fazla aktif kurulumu var. eklentide bulunan CVE-2025-2781 zafiyeti sayesinde saldırganlar kimlik doğrulamayı atlayıp direkt admin paneline ulaşabiliyorlar.

spoiler: bu açık vahşi ortamda aktif olarak kullanılıyor, yani teorik değil, gerçekten saldırılar var.

…

arkadaşlar, nginx’te tam 18 yıllık bir açık bulunmuş. yani 2007’den beri orada duruyormuş, kimse fark etmemiş. otonom bir tarama sistemi bulmuş bu açığı, CVE-2025-32475 numarasıyla kayıtlara geçmiş. denial of service (dos) yapılabiliyor kesin, ama bazı durumlarda uzaktan kod çalıştırma (rce) bile mümkün olabiliyormuş. yani ciddi bir iş bu.

ne durumda bu açık

CVE-2025-32475 açığı nginx’in http request işleme mekanizmasında varmış. 18 yıl boyunca kimsenin fark etmemesi ayrı bir komedi tabii. şimdi düşünün, 2007’den beri kullanılan production serverlar var ortada, hepsi bu açığı taşıyor.

…

arkadaşlar, foxconn’un kuzey amerika tesislerine nitrogen fidye yazılımı saldırısı yapılmış. bu yılın başından beri üretim sektörüne yapılan 600 saldırıdan sadece biri bu. yani üretim sektörü gerçekten hedef haline gelmiş durumda.

neler oluyor yani?

foxconn dediğimiz şirket, biliyorsunuz iphone’dan tutun da bir sürü elektronik cihazı üreten dev bir firma. nitrogen ransomware çetesi bunlara saldırmış. üretim sektörü şu an ciddi bir siber güvenlik kriziyle karşı karşıya çünkü bu tür şirketler downtime’a (yani duruş süresine) hiç tahammül edemiyor. bir saat dursa bile milyonlarca dolar kaybediyor bu firmalar.

…