Yayın: 16 Haziran 2026 · TLP:GREEN
Bu hafta finans ve kurumsal altyapıyı doğrudan etkileyen iki kritik zafiyet öne çıktı. Oracle PeopleSoft PeopleTools 8.61/8.62'yi etkileyen CVE-2026-35273 (CVSS 9.8), kimlik doğrulama gerektirmeksizin HTTP üzerinden tam sistem kontrolü sağlayan bir RCE açığı olarak 27 Mayıs–9 Haziran tarihleri arasında sıfır gün olarak istismar edildi; saldırılar ShinyHunters grubuna atfedildi ve CISA 12 Haziran'da açığı KEV kataloğuna ekledi. Finans ve İK sistemlerinin omurgasını oluşturan PeopleSoft ortamlarında internete açık EMHub uç noktaları derhal izole edilmeli ya da yamalanmalıdır. Buna ek olarak, SAP NetWeaver AS ABAP'ta tespit edilen CVE-2026-44748 (CVSS 9.9), SAML XML imza sarmalama tekniğiyle düşük yetkili bir saldırgana tam kimlik doğrulama bypass imkânı tanıyor; finans sektöründe yaygın kullanılan SAP ortamlarını kritik risk altına sokuyor. Microsoft'un Haziran 2026 Patch Tuesday güncellemesi ise rekor 206 CVE ile tarihin en büyük sürümü oldu; Azure HorizonDB'de CVSS 10.0 puanlı CVE-2026-48567 ve HTTP/2 Bomb tekniğini kullanan CVE-2026-49160 dahil beş sıfır gün kapatıldı.
Orta Doğu ve Körfez bölgesindeki tehdit ortamı bu hafta belirgin biçimde yoğunlaştı. İran MOIS bağlantılı Seedworm/MuddyWater, Şubat 2026'dan itibaren bir ABD bankası, havalimanı ve Kanada'daki kar amacı gütmeyen kuruluşların ağlarında 'Dindoor' ve 'Fakeset' adlı yeni backdoor'larla aktif olduğu tespit edildi; bu bulgular finans sektörü için İran kaynaklı casusluğun somut bir hatırlatıcısıdır. DieNet hacktivist grubu, kaynaklara göre Katar, Bahreyn, BAE, Kuveyt ve Suudi Arabistan'daki bankalar, havalimanları ve enerji altyapısını kapsayan yapılandırılmış bir hedef listesi yayımlarken, UAE Siber Güvenlik Konseyi Başkanı bölgedeki günlük saldırı hacminin 800.000 ihlal girişimine ulaştığını açıkladı; AWS veri merkezi ve finans altyapısı bu saldırılardan nasibini aldı. CISA'nın 9 Haziran'da KEV'e eklediği üç zafiyet arasında Google Chrome V8 sıfır günü CVE-2026-11645 (CVSS 8.8) ve Arista EOS CVE-2026-7473 için yama planlanmadığı duyurusu, ağ altyapısı operatörlerini yalnızca ACL tabanlı mitigasyonla baş başa bıraktı. Son olarak, Google'ın Gemini AI platformunu kötüye kullanarak 9.000+ sahte site ve 100.000'den fazla kurban üreten Çinli Outsider Enterprise PhaaS ağına dava açması, yapay zeka destekli kimlik avı tehditlerinin kurumsal riski nasıl dönüştürdüğünü gözler önüne serdi.
| CVE | CVSS | Ürün | Açıklama | Aksiyon |
|---|---|---|---|---|
|
CVE-2026-35273
PeopleSoft EMHub RCE
CISA KEV
|
9.8 | Oracle PeopleSoft PeopleTools 8.61 / 8.62 (EMHub) | EMHub bileşeninde auth gerektirmeyen HTTP üzerinden RCE; finans/bordro/İK verilerine tam erişim. ShinyHunters tarafından sıfır gün olarak istismar edildi. |
CISA KEV — Acil Yama
Rapid7 Advisory ↗
|
|
CVE-2026-44748
SAML Auth Bypass
|
9.9 | SAP NetWeaver AS ABAP & ABAP Platform | XML İmza Sarmalama (XSW) ile SAML payload manipülasyonu; düşük yetkili saldırgan tam kimlik doğrulama bypass elde eder. Finans sistemleri kritik risk altında. |
Acil SAP Yaması
SOCRadar ↗
|
|
CVE-2026-11645
V8 OOB RCE
CISA KEV
|
8.8 | Google Chromium V8 Engine (Chrome, Edge, Opera) | V8 motorunda OOB okuma/yazma; özel hazırlanmış HTML ile sandbox içinde RCE. Tüm Chromium tabanlı tarayıcılar etkileniyor; vahşi doğada aktif istismar teyit edildi. |
CISA KEV — Tarayıcı Güncelle
The Hacker News ↗
|
|
CVE-2026-48567
HorizonDB Tam Ele Geçirme
|
10.0 | Microsoft Azure HorizonDB | CVSS 10.0; tam gizlilik, bütünlük ve erişilebilirlik kaybına yol açabilir. Microsoft Haziran 2026 Patch Tuesday kapsamında yama yayımladı. |
Acil Azure Yaması
BleepingComputer ↗
|
|
CVE-2026-47291
HTTP.sys Heap Overflow RCE
|
9.8 | Microsoft HTTP.sys (Windows Server / IIS) | HTTP.sys'te tamsayı taşması + heap buffer overflow; auth ve kullanıcı etkileşimi gerektirmeden uzaktan RCE. İnternet'e açık IIS/Windows Server altyapısı doğrudan risk altında. |
Acil Windows Yaması
CrowdStrike ↗
|
|
CVE-2026-49160
HTTP/2 Bomb DoS
|
7.5 | Microsoft Windows HTTP.sys — HTTP/2 Stack (IIS) | HTTP/2 Bomb tekniği ile auth gerektirmeyen uzaktan DoS; küçük istek büyük bellek tüketimine neden olur, IIS ve Windows ağ servisleri etkilenir. PoC kamuya açıklandı. |
Yamayı Uygula
Tenable ↗
|
|
CVE-2026-50751
CISA KEV (8 Haziran 2026)
CISA KEV
|
Kri. | Check Point Security Gateway / Quantum Spark | EMHub bileşeninde auth gerektirmeyen HTTP üzerinden RCE; finans/bordro/İK verilerine tam erişim. ShinyHunters tarafından sıfır gün olarak istismar edildi. |
CISA KEV — Acil Yama
Rapid7 Advisory ↗
|
config/inventory.yaml'daki sistemlerle CVE'lerin otomatik substring match'i.
(not yok)
— teomany · 2026-06-16T09:38:51
(not yok)
— teomany · 2026-06-16T09:38:48
(not yok)
— teomany · 2026-06-16T09:38:49
(not yok)
— teomany · 2026-06-16T09:38:46
(not yok)
— teomany · 2026-06-16T09:38:45
(not yok)
— teomany · 2026-06-16T09:38:44
(not yok)
— teomany · 2026-06-16T09:38:43