4 – 10 Mayıs 2026 · Yayın: 11 Mayıs 2026 · TLP:WHITE
Bu haftanın en kritik tehdidi, Elastic Security Labs (REF3076) tarafından belgelenen TCLBANKER banking trojanıdır: 59 bankacılık, fintech ve kripto platformunu hedef alan bu Brezilya kökenli zararlı, kurbanın WhatsApp ve Outlook oturumlarını ele geçirerek kişi listesindeki 3.000 kişiye kadar trojanize yükleyici dağıtmakta ve geleneksel e-posta güvenlik filtrelerini atlatmaktadır. Aynı dönemde MuddyWater (MOIS), iki ayrı operasyonla MENA'yı vurdu: Group-IB tarafından yüksek güvenle atfedilen 'Operation Olalampo' kampanyasında GhostFetch, GhostBackDoor, HTTP_VIP ve Rust tabanlı CHAR olmak üzere 4 yeni zararlı ailesi konuşlandırıldı; Rapid7'nin raporladığı paralel operasyonda ise grup, Chaos fidye yazılımı kisvesi altında Microsoft Teams ekran paylaşımıyla MFA korumasını manipüle ederek kimlik bilgisi topladı ve gerçek amacını (keşif ile veri hırsızlığı) gizledi. CISA KEV listesindeki CVE-2026-0300 (PAN-OS kimlik doğrulamasız uzaktan kök yetki yürütme) ve CVE-2026-31431 (Linux Kernel yerel kök yükseltme, 732 baytlık PoC kamuya açık) acil yama gerektiren kritik öncelikli bulgulardır.
Orta Doğu cephesinde UAE Siber Güvenlik Konseyi verilerine göre (kaynağa dayalı bilgi) günlük saldırı girişimleri çatışma öncesindeki 200.000 seviyesinden 600.000–800.000'e yükseldi; Dubai Land Department, Dubai Mahkemeleri ve Ulaşım Otoritesi saldırı taleplerinin hedefinde yer aldı. Hacktivist gruplar DieNet ve Keymous+, Kuveyt, BAE, Katar ve Bahreyn'deki bankaları ve devlet portallarını sistematik hedef listesine aldığını ilan etti (kaynaklara göre). Tedarik zinciri cephesinde TeamPCP grubu SAP'ın npm paketlerini, PyTorch Lightning ve Intercom SDK'yı zehirleyerek haftalık 572.000 indirmeye ulaşan bir etki yarattı; payload, GitHub ve AWS kimlik bilgileri ile CI/CD sırlarını hedef alıyor. Finans sektörü açısından ayrıca Everest fidye yazılımı grubunun Nisan 2026'da isimsiz bir üçüncü taraf vendor üzerinden iki ABD bankasını aynı gün sızdırdığı ve Sicarii RaaS'ın şifreleme anahtarlarını imha ederek fidye ödense bile kalıcı veri kurtarmayı imkânsız kıldığı rapor edildi (her iki olay için kaynaklara göre).
| CVE | CVSS | Ürün | Açıklama | Aksiyon |
|---|---|---|---|---|
|
CVE-2026-6973
CISA KEV
|
7.2 | Ivanti EPMM (on-premise) ≤12.8.0.0 | Kimlik doğrulamalı yönetici yetkisiyle uzaktan kod yürütme. 800+ internet erişimine açık instance mevcut; aktif istismar, CISA son tarih 10 Mayıs 2026. |
CISA KEV — Acil Yama
The Hacker News ↗
|
|
CVE-2026-0300
CISA KEV
|
Kritik | Palo Alto Networks PAN-OS (PA-Series & VM-Series Firewall) | Captive Portal / User-ID servisinde sınır dışı yazma; kimlik doğrulama gerekmeksizin uzaktan root yetkisiyle kod yürütme. CISA KEV, 6 Mayıs 2026. |
CISA KEV — Acil Yama
Palo Alto Advisory ↗
|
|
CVE-2026-31431
"Copy Fail"
CISA KEV
|
7.8 | Linux Kernel ≥4.13 (Ubuntu 24.04, RHEL 10.1, Amazon Linux 2023, Debian, Fedora, Arch vb.) | Page cache'de 4 baytlık kontrollü yazma ile setuid binary bozma → yerel root. 732 baytlık Python PoC; Go/Rust varyantları kamuya açık. CISA KEV, 1 Mayıs 2026. |
CISA KEV — Kernel Güncelle
The Hacker News ↗
|
|
CVE-2026-42208
CISA KEV
|
Kritik | BerriAI LiteLLM (LLM Proxy) | SQL enjeksiyonu ile proxy veritabanında okuma/yazma, yetkisiz erişim ve yönetilen API kimlik bilgilerinin ele geçirilmesi. CISA KEV, son tarih 11 Mayıs 2026. |
CISA KEV — Acil Yama
GitHub Advisory ↗
|
|
CVE-2024-57726
CISA KEV
|
9.9 | SimpleHelp Remote Support | Eksik yetkilendirme; düşük ayrıcalıklı teknisyen sunucu yönetici rolüne yükseltilebiliyor. DragonForce fidye yazılımı kampanyalarında öncü exploit olarak aktif kullanımda. |
CISA KEV — Acil Yama
The Hacker News ↗
|
|
CVE-2026-20122
CISA KEV
|
Kritik | Cisco Catalyst SD-WAN Manager | Hatalı ayrıcalıklı API ile kötü amaçlı dosya yükleme → yerel dosya sisteminde rastgele üzerine yazma → vmanage yetkisi. Mart 2026'dan bu yana aktif istismar; CISA ED-26-03. |
CISA ED-26-03 — Acil Yama
The Hacker News ↗
|
config/inventory.yaml'daki sistemlerle CVE'lerin otomatik substring match'i.
"CVE-2026-6973 Ivanti EPMM Zafiyet Kontrolü" maili ile veri güvenliği bilgilendirilmiş olup kontroller sonrası 2554 numaralı değişiklik kaydı ile 12.6.1.1 yamalı versiyona geçiş sağlanmıştır.
— admin · 2026-05-11T14:14:28
Güvenlik Altyapıları ile "CVE-2026-0300 - Palo Alto Networks PAN-OS Zafiyeti Hk." maili ile iletişime geçilmiş olup, Palo Alto tarafında Captive Portal kullanılmadığı ve zafiyetten etkilenmediğimiz bilgisi paylaşılmıştır. Ayrıca mevcut versiyonlarımız 11.1.6-h10 olup upgrade planladığımız versiyon 11.2.10-hx (en uygun hotfix) şeklindedir.
— admin · 2026-05-11T13:55:30
İlgili birimlere SOME bildirimi yapılmış olup Zafiyet yönetimi tarafından plugin taraması sonucu etkilenmediğimiz bildirilmiştir. Ayrıca BT Sistem Network müdürlüğü tarafından da yılda 2 defa yapılan güvenlik yama geçişi kapsamında belirtilen zafiyet sonradan ortaya çıkmış olması durumunda dahi bu çalışma kapsamında giderilmiş olacağı bilgiside tarafımıza aktarılmıştır.
— admin · 2026-05-11T13:55:39
Envanterimizde bulunmamaktadır, zafiyetten etkilenmemekteyiz.
— admin · 2026-05-11T14:21:13
Envanterimizde bulunmamaktadır, zafiyetten etkilenmemekteyiz.
— admin · 2026-05-11T14:22:52
"CVE-2026-20122 Cisco SD-WAN Zafiyet Kontrolü" maili ile zafiyet yönetimi konu hakkında bilgilendirilmiş olup kontroller devam etmektedir.
— admin · 2026-05-11T14:18:38