11 – 17 Mayıs 2026 · Yayın: 18 Mayıs 2026 · TLP:WHITE
Bu haftanın en kritik mobil tehdit gelişmesi, ThreatFabric tarafından tespit edilen TrickMo C varyantıdır. Zararlı, C2 trafiğini geleneksel DNS altyapısından TON blockchain ağına taşıyarak alan adı kaldırma ve DNS sinkhole savunmalarını devre dışı bırakıyor; Fransa, İtalya ve Avusturya'daki bankacılık ve kripto cüzdan kullanıcılarını hedef alıyor. Enfekte cihazlar SOCKS5 proxy ve SSH tüneli ile kurumsal ağlar içinde pivot noktasına dönüştürülerek IP tabanlı dolandırıcılık tespit sistemleri atlatılıyor. Finans sektörü SOC ekipleri için TON ağı kaynaklı C2 trafiğini izleyecek kural setlerinin acilen güncellenmesi kritik önem taşıyor. Aynı hafta Cisco Catalyst SD-WAN Controller'da maksimum CVSS skoru 10.0 ile takip edilen kimlik doğrulama bypass açığı CVE-2026-20182, CISA KEV kataloğuna alındı; UAT-8616 aktörünün ORB ağ altyapısı üzerinden XenShell ve Godzilla web shell'leri konuşlandırdığı doğrulandı.
Tedarik zinciri cephesinde TeamPCP aktörü, Mini Shai-Hulud kampanyasıyla TanStack (42 paket, 84 versiyon), Mistral AI, UiPath ve Guardrails AI dahil 170'ten fazla npm/PyPI paketini ele geçirdi; GitHub Actions cache zehirlemesi ve OIDC token hırsızlığıyla geçerli SLSA Build Level 3 provenance attestation üretilen ilk belgelenmiş npm kurdu olarak kayıtlara geçti. Linux Copy Fail (CVE-2026-31431, CVSS 7.8) açığı ise 9 yıl boyunca gizli kalan AF_ALG mantık hatasını yalnızca 732 baytlık bir Python scriptiyle root erişimine dönüştürüyor; CISA KEV'e ekledi, Kaspersky Go ve Rust versiyonlu exploitlerin kamuya açık depolarda yayıldığını tespit etti. Palo Alto PAN-OS CVE-2026-0300 (CVSS 9.3), Microsoft Exchange CVE-2026-42897 (CVSS 8.1) ve NGINX CVE-2026-42945 (CVSS 9.2) da bu haftanın acil yama listesinde yer alırken, İran devlet destekli APT42'nin WhatsApp tabanlı sosyal mühendislik zinciriyle hükümet ve savunma yetkililerini hedef aldığı raporlandı — finans sektöründeki kuruluşların bu vektöre karşı çalışan farkındalık eğitimlerini güncellemesi önerilir.
| CVE | CVSS | Ürün | Açıklama | Aksiyon |
|---|---|---|---|---|
|
CVE-2026-42945
"NGINX Rift"
|
9.2 | NGINX Plus & Open Source v0.6.27 – 1.30.0 | ngx_http_rewrite_module'de 18 yıllık heap buffer overflow (NGINX Rift); kimliği doğrulanmamış saldırgan özel HTTP isteğiyle worker crash veya (ASLR kapalıysa) RCE elde edebiliyor. PoC yayınlanmasının ardından aktif istismar başladı. |
Acil NGINX Güncellemesi
The Hacker News ↗
|
|
CVE-2026-42897
CISA KEV
|
8.1 | Microsoft Exchange Server 2016/2019/SE (On-Premises) | OWA'daki XSS tabanlı spoofing; özel hazırlanmış e-posta açıldığında saldırgan kurbanın tarayıcı bağlamında keyfi JS çalıştırabiliyor. Microsoft 'Exploitation Detected' etiketi yapıştırdı; Exchange Online etkilenmiyor. |
CISA KEV — Yamayı Uygula
Microsoft MSRC ↗
|
|
CVE-2026-41089
Wormable Domain Controller RCE
|
9.8 | Microsoft Windows Server (Netlogon) — 2012/2019/2022 | Netlogon stack-tabanlı buffer overflow — kimliği doğrulanmamış uzak saldırgan domain controller üzerinde SYSTEM yetkili kod yürütebilir. WORMABLE: kimlik bilgisi veya kullanıcı etkileşimi gerektirmez. Microsoft "Exploitation Less Likely" diyor ama Rapid7 saldırı zorluğu düşük buluyor. |
Mayıs 2026 Patch Tuesday — Domain Controller'lar derhal yamala
Microsoft Security Response Center ↗
|
|
CVE-2026-40402
Hyper-V Guest-to-Host Escape
|
9.0 | Microsoft Windows Hyper-V (multi-tenant + private cloud) | Hyper-V use-after-free — guest VM içindeki saldırgan host sistemde kod yürütebilir (guest-to-host escape). Multi-tenant ve özel bulut ortamlarında blast radius çok büyük. CVSS 9.0 kritik. |
Mayıs 2026 Patch Tuesday — Hyper-V host'larını öncelikle yamala
Microsoft Security Response Center ↗
|
|
CVE-2026-41096
Tüm Windows Endpoint'leri için Wormable RCE Potansiyeli
|
9.8 | Microsoft Windows (DNS Client) — tüm sürümler | Heap-tabanlı buffer overflow Windows DNS Client'da — saldırgan kontrollü DNS sunucusundan gelen özel olarak hazırlanmış DNS cevabı memory corruption yapıp uzaktan kod yürütme sağlıyor. Kimlik doğrulama VE kullanıcı etkileşimi gerektirmez. DNS Client neredeyse her Windows makinesinde çalıştığı için saldırı yüzeyi muazzam. |
Mayıs 2026 Patch Tuesday — tüm Windows endpoint'lerini yamala
Microsoft Security Response Center ↗
|
|
CVE-2026-20794
ESXi Ring-1 Local Privilege Escalation
|
7.8 | VMware ESXi (Intel Data Center Graphics Driver) < 2.0.2 | Intel Data Center Graphics Driver'da (VMware ESXi içinde Ring 1: Device Drivers) buffer overflow. Yetkili sistem kullanıcısı düşük karmaşıklıkta saldırı ile lokal kod yürütme + privilege escalation yapabilir. Pwn2Own Berlin sırasında yayınlandı. |
VMware ESXi'yi 2.0.2 veya üstüne yamala (Intel Graphics Driver)
Tenable / Broadcom ↗
|
config/inventory.yaml'daki sistemlerle CVE'lerin otomatik substring match'i.
ilgili ekipler bilgilendirildi. aksiyon alınıyor.
— samid · 2026-05-18T15:33:29
Aktif Dizin ekibi bilgisi dahilinde aksiyon planlarına dahil edilmiştir.
— samid · 2026-05-18T10:53:25
Mail ile bilgilendirme yapıldı. dönüş beklenmektedir.
— samid · 2026-05-18T15:32:46
(not yok)
— samid · 2026-05-18T11:51:52
Mail ile bilgilendirme yapıldı. dönüş beklenmektedir.
— samid · 2026-05-18T15:33:00
Sunucu Sanallaştırma Ekibinden Ali Öztürk konu hakkında bilgilendirilmiştir. konuyu takip etmektedir.
— samid · 2026-05-18T11:20:39