23 Mart – 29 Mart 2026 · Yayın: 31 Mart 2026 · TLP:WHITE
Bu hafta iki kritik tehdit hattı ön plana çıktı. TeamPCP, Mart 19'da Trivy'den başlayan tedarik zinciri kampanyasını 9 günde 5 ekosisteme — npm, Docker Hub, Checkmarx/OpenVSX, PyPI (LiteLLM ve Telnyx) — yayarak tarihte belgelenmiş en kapsamlı çok-ekosistemli supply chain saldırılarından birini gerçekleştirdi. 470+ etkilenen repo, 1.900+ bağımlı paket ve 95 milyon aylık indirmeli LiteLLM üzerinden AI altyapısına doğrudan ulaşıldı. WAV steganografisi ve ICP blockchain C2 ile TTP evrimini sürdüren grup, LAPSUS$ ve Vect RaaS ile ortaklık ilan ederek kimlik bilgilerini fidye operasyonlarına dönüştürdü.
İran bağlantılı Handala'nın FBI Direktörü Kash Patel'in kişisel Gmail hesabını ihlal ederek 300+ e-posta ve fotoğraf sızdırması, ABD'nin alan adı el koymaları ve $10M ödülüne karşın grubun operasyonel kapasitesini koruduğunu gösterdi. Lockheed Martin çalışan verileri de aynı grubu tarafından sızdırıldı. Ağ cephesinde Citrix NetScaler CVE-2026-3055 ve F5 BIG-IP CVE-2025-53521 kısa CISA KEV son tarihleriyle güncellik kazandı.
| CVE | CVSS | Ürün | Açıklama | Yama |
|---|---|---|---|---|
CVE-2026-3055 CISA KEV |
9.3 | Citrix NetScaler ADC & Gateway | SAML IDP yapılandırmalarında bellek okuma (memory overread) → NSC_TASS cookie üzerinden hassas veri sızıntısı. 27 Mart'ta bilinen tehdit aktörü IP'lerinden aktif keşif başladı. Metasploit modülü mevcut. | Son: 2 Nis 2026 Citrix ↗ |
CVE-2025-53521 CISA KEV |
9.3 | F5 BIG-IP APM | DoS olarak sınıflandırılmış zafiyet Mart 2026'da kimliksiz RCE olarak yeniden sınıflandırıldı. APM access policy yapılandırmalı sanal sunucularda özel trafik ile RCE. Aktif istismar teyit edildi. | Son: 30 Mar 2026 F5 ↗ |
CVE-2026-33634 CISA KEV |
9.4 | Aqua Security Trivy GitHub Actions | TeamPCP tarafından eklenen zararlı kod (CWE-506) — CI/CD ortamlarında SSH, AWS, Kubernetes token'larını çalıyor. 470+ repo, 1.900+ bağımlı paket. CISA son tarihi 9 Nisan. | Son: 9 Nis 2026 GitHub ↗ |
CVE-2025-32975 |
10.0 | Quest KACE SMA | Maksimum kritiklik — kimliksiz uzaktan kod yürütme. Arctic Wolf, 9 Mart haftasından itibaren aktif istismarı gözlemledi. İnternet erişimli yamasız KACE sistemleri acil risk altında. | Acil Yama Arctic Wolf ↗ |