20 Nisan – 26 Nisan 2026 · Yayın: 27 Nisan 2026 · TLP:WHITE
Bu hafta, tedarik zinciri saldırılarının yeni bir zirvesiyle başladı: 22 Nisan'da Bitwarden CLI'nın npm paketi (@bitwarden/cli@2026.4.0), Checkmarx/Shai-Hulud kampanyasının parçası olarak 93 dakika boyunca trojenleştirilmiş halde dağıtıldı. 10 milyonu aşkın kullanıcı ve 50.000'den fazla kurumun kullandığı parola yöneticisinin CI/CD altyapısına yerleştirilen zararlı paket; GitHub PAT, npm token, AWS, GCP ve Azure kimlik bilgilerini çalan, aynı zamanda AI kodlama araçlarını hedef alan ve kendi kendine yayılan bir solucan içeriyordu. Bu, Axios ve Trivy saldırılarının aynı aktör tarafından yürütülen kampanyanın üçüncü büyük halkasıdır.
CISA ve İngiltere NCSC, ortaklaşa yayımladıkları uyarıyla Cisco Firepower cihazlarındaki Firestarter backdoor'unu kamu gündemine taşıdı: UAT-4356 (ArcaneDoor grubu) tarafından konuşlandırılan bu arka kapı, yama uygulandıktan sonra bile cihazda kalmaya devam ediyor; yeniden başlatma ve firmware güncellemelerine rağmen varlığını sürdürüyor, yalnızca fiziksel güç kesimi temizliyor. ADT 10 milyon kayıt içeren ShinyHunters ihlalini doğrularken, LMDeploy'un AI altyapısındaki kritik zafiyet açıklanmasından yalnızca 12 saat 31 dakika sonra Sysdig honeypot'larında istismar edildi.
| CVE / Tehdit | CVSS | Ürün | Açıklama | Aksiyon |
|---|---|---|---|---|
@bitwarden/cli@2026.4.0 Shai-Hulud / TeamPCP Supply Chain |
Kritik | Bitwarden CLI npm — 10M+ kullanıcı | preinstall hook → bw1.js: GitHub PAT, npm/AWS/GCP/Azure credential + AI agent config hırsızlığı. Self-propagating solucan. npm trusted publishing bypass. 334 zararlı indirme. 22 Nisan 17:57–19:30 ET. | Anında Tepki THN ↗ |
CVE-2026-33626 Aktif İstismar |
7.5 | LMDeploy ≤ 0.12.0 (vision-language) | load_image() IP doğrulaması yok → SSRF. 12s 31dk'da istismar. 8 dakikada AWS IMDS, Redis, MySQL tarandı. PoC gereksiz — advisory metni yeterli. GPU node'ların geniş IAM rolü blast radius'u büyütüyor. | → commit 0f9a44e THN ↗ |
CVE-2024-57726 CISA KEVCVE-2024-57728 |
9.9 / 7.2 | SimpleHelp Uzaktan Destek | 57726: Yetki bypass → düşük yetkili teknisyen admin API key oluşturuyor. 57728: Zip slip → RCE. Zincirlendiğinde tam sistem kontrolü. Ransomware kampanyalarında aktif kullanım. Son: 8 Mayıs 2026. | Son: 8 May 2026 CISA ↗ |
CVE-2025-20333 CVE-2025-20362 Firestarter / LINE VIPER APT Aktif |
Yüksek | Cisco Firepower / ASA / FTD | UAT-4356 giriş vektörü. Firestarter LINA çekirdeğine kancalanıyor. Yama/reboot'a dayanıyor. Yalnızca fiziksel güç kesimi temizliyor. IOC: lina_cs süreci. | CISA Acil Direktif CISA ↗ |