clop'ın sızıntı sitesi hacklendi, bu sefer saldırganlar saldırıldı

Posted on 26 Eyl 2026

arkadaşlar, bu haber biraz ironik ama ciddi bir durum. clop ransomware çetesi kendi sızıntı sitesini hacklendi. evet, doğru duydunuz. saldırganlar saldırıldı. shinyhunters denen bir grup, clop’ın veri sızıntı sitesini bir grav cms açığı kullanarak ele geçirmiş. şimdi anlatayım neler oldu.

nedir bu grav cms meselesi?

grav, açık kaynaklı bir flat-file cms. yani veritabanı kullanmıyor, dosya tabanlı çalışıyor. basit, hızlı, ama işte bu sefer güvenlik açığı çıktı. CVE-2024-XXXXX diye kataloglanacak bu açık (tam numarasını bilemedim ama clop’ın sunucusunda bu kullanılmış).

spoiler: bu açık authentication gerektirmiyor. yani siz grav cms kullanan bir siteyi hedeflediniz mi, direkt giriş yapabiliyorsunuz. işte path traversal denen bela var - kısacası, dosya sisteminde istediğiniz dosyalara erişebiliyorsunuz. ../../../etc/passwd tarzı klasik teknikler işe yarıyor.

ne oldu tam olarak?

shinyhunters grubu clop’ın veri sızıntı sitesini keşfetmiş
grav cms’nin unpatched (yamlanmamış) bir versiyonunu bulmuş
path traversal açığını kullanarak siteye giriş yapmış
clop’ın sunucusunu hacklemiş ve defaced etmiş (yani sayfayı değiştirmiş)
clop çetesi panik yapmış, sitesini yeni bir tor adresine taşımış

etkilenen sistemler

Sistem	Durum
Grav CMS (unpatched)	🔴 Kritik
Flat-file CMS genel	🟠 Yüksek Risk
Path traversal açıkları	🔴 Ciddi

şimdi ne yapacaksınız?

eğer grav cms kullanıyorsanız:

# önce hangi versiyonda olduğunuzu kontrol edin
grep -i "grav" composer.json

# en son versiyona güncelleyin
composer update getgrav/grav

# veya direkt kurulumu yenileyin
php bin/grav install

dikkat: yedek almadan başlamayın. grav’ın tüm konfigürasyonunu ve eklentilerini backup’layın.

# yedek alalım
tar -czf grav_backup_$(date +%Y%m%d).tar.gz /path/to/grav

# sonra güncelleyelim
cd /path/to/grav
composer update
php bin/grav clear-cache

geçici çözümler

eğer hemen güncelleyemiyorsanız:

grav admin paneline erişimi kısıtlayın: web sunucunuzda /admin yoluna sadece belirli ip’lerden erişim izni verin
```
location /admin {
    allow 192.168.1.0/24;
    deny all;
}
```
dosya sistemi izinlerini sıkılaştırın: grav’ın çalışması gereken dosyalara minimum izin verin
```
chmod 750 /path/to/grav
chmod 640 /path/to/grav/user/config/*
```
web application firewall (WAF) kuralları ekleyin: path traversal saldırılarını block etmek için
```
# ModSecurity örneği
SecRule ARGS|HEADERS "@rx \.\./|\.\." "id:1000,deny"
```
access log’larını kontrol edin: ../ içeren istekleri arayın
```
grep "\.\.\/" /var/log/nginx/access.log
```

clop meselesi

edit: clop çetesi bu açığı kapatmak yerine sitesini taşıdı. yani hala aynı açık kendi sistemlerinde açık durumda. komik ama ciddi bir durum. saldırganlar bile güvenlik güncellemesi yapmıyor.

kaynaklar

Bu içerik yapay zeka tarafından oluşturulmuştur.