7 Nisan – 13 Nisan 2026 · Yayın: 13 Nisan 2026 · TLP:WHITE
Bu hafta geçen haftanın Axios/Trivy tedarik zinciri dalgasının ardından üç yeni tedarik zinciri saldırısı daha gerçekleşti: 7 Nisan'da Smart Slider 3 Pro güncelleme altyapısı ele geçirilerek 800.000+ WordPress/Joomla sitesine 6 saat boyunca tam donanımlı arka kapı dağıtıldı. 9–10 Nisan'da ise sistem yöneticilerinin vazgeçilmez aracı CPUID (CPU-Z, HWMonitor) sitesi 19 saat boyunca trojenleştirilmiş yükleyiciler sunarak 150+ kurban sistemine STX RAT yerleştirdi. Bu iki saldırı, kullanıcıların koşulsuz güvendiği resmi güncelleme ve indirme kanallarının silaha dönüştürüldüğünü gösteriyor.
Adobe Acrobat Reader'da CVSS 9.6 seviyesinde ve Aralık 2025'ten beri aktif olduğu tespit edilen bir prototype pollution sıfır-günü (CVE-2026-34621) acil yama gerektiriyor. Marimo Python Notebook'ta açıklama sonrası 10 saat içinde istismar gerçekleşti — Sysdig'in gözlemine göre aktif saldırganlar 3 dakika içinde kimlik bilgilerini ele geçirdi. Ivanti EPMM'de aktif istismar altındaki kod enjeksiyon açığı (CVE-2026-1340) CISA KEV'e eklendi.
| CVE | CVSS | Ürün | Açıklama | Aksiyon |
|---|---|---|---|---|
CVE-2026-34621 Aktif İstismar |
9.6 | Adobe Acrobat Reader (tüm platformlar) | Prototype pollution → keyfi kod yürütme. Aralık 2025'ten beri aktif, "Invoice540.pdf" kampanyası. Kötü amaçlı PDF açmak yeterli. Finans belgesi temaları dikkat. | Acil Yama Adobe PSIRT ↗ |
CVE-2026-39987 CISA KEV |
9.3 | Marimo Python Notebook ≤ 0.20.4 | /terminal/ws WebSocket endpoint'inde kimlik doğrulama yok → PTY shell → tam sistem kontrolü. Açıklama sonrası 9 saat 41 dakikada istismar, 3 dakikada kimlik hırsızlığı. CISA KEV: 11 Nisan son tarihi. | → v0.23.0 GitHub Advisory ↗ |
CVE-2026-1340 CISA KEV |
Kritik | Ivanti EPMM (on-prem, tüm güncel öncesi sürümler) | Kod enjeksiyon → kimliksiz uzaktan kod yürütme. Kurumsal mobil cihaz yönetimi platformunda derin ağ erişimi blast radius'unu büyütüyor. Aktif istismar teyit edildi. CISA son tarih: 11 Nisan 2026. | Son: 11 Nis 2026 Ivanti Advisory ↗ |
Smart Slider 3 Pro Tedarik Zinciri Backdoor |
Kritik | Smart Slider 3 Pro v3.5.1.35 (WordPress & Joomla) | Resmi update kanalı üzerinden dağıtılan arka kapı: HTTP header RCE, PHP code exec, gizli admin hesabı (wpsvc_*). 7 Nisan'da 6 saat aktif. Etkilenen site tam ihlal kabul edilmeli. | → v3.5.1.36 THN ↗ |