CISA, BlueHammer Açığının Fidye Yazılımı Çeteleri Tarafından Aktif Şekilde İstismar Edildiğini Doğruladı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Microsoft Defender'ı etkileyen yüksek önem derecesine sahip BlueHammer ayrıcalık yükseltme açığının (CVE-2026-33825) fidye yazılımı grupları tarafından aktif olarak kullanıldığını resmi olarak doğruladı. Ajans, söz konusu güvenlik açığının siber suç örgütleri arasında hızla yayılan bir saldırı vektörü haline geldiğini ve kritik altyapı işletmecileri başta olmak üzere tüm kuruluşların acil önlem alması gerektiğini bildirdi.

BlueHammer açığı, Microsoft Defender'ın Security Account Manager (SAM) veritabanıyla etkileşiminde ortaya çıkan bir yetkilendirme hatasından kaynaklanıyor. Saldırganlar, bu zafiyeti kullanarak normal kullanıcı hesaplarından SYSTEM ayrıcalıklarına yükselme elde edebiliyor. SYSTEM düzeyinde erişim, saldırgana işletim sisteminin tam kontrolünü sağlayarak antivirüs yazılımlarını devre dışı bırakma, kalıcılık mekanizmaları kurma ve hassas verilere sınırsız erişim imkânı tanıyor. Güvenlik araştırmacılarına göre açık, özellikle kurumsal ağlarda yanal hareketi kolaylaştırması bakımından son derece tehlikeli bir profil çiziyor.

CISA'nın paylaştığı tehdit istihbaratı raporuna göre, açığı istismar eden fidye yazılımı çeteleri öncelikle çift gasp (double extortion) taktiği uyguluyor. Saldırganlar, SYSTEM ayrıcalıklarını ele geçirdikten sonra ağ içerisinde yayılarak kritik dosya sunucularını ve yedekleme altyapılarını hedef alıyor. Elde edilen veriler hem şifreleniyor hem de sızdırılarak fidye ödenmemesi durumunda kamuya açıklanmakla tehdit ediliyor. Raporda, saldırıların özellikle sağlık, finans ve enerji sektörlerinde yoğunlaştığı vurgulanıyor.

Microsoft, söz konusu güvenlik açığına yönelik yama yayımlanmış olsa da, birçok kuruluşun güncellemeleri geciktirmesi saldırı yüzeyini genişletiyor. CISA, açığı Known Exploited Vulnerabilities (KEV) kataloğuna ekleyerek federal kurumlar için zorunlu bir yama takvimi belirledi. Ajans, açığın istismarının gözlemlendiği saldırılarda bazı fidye yazılımı ailelerinin adlarını da paylaşarak sektördeki farkındalığı artırmayı hedefliyor.

Kuruluşlara Yönelik Acil Önlemler

• Yama yönetimi: Microsoft Defender'ın en güncel sürümüne geçişin derhal sağlanması ve tüm uç noktalarda tutarlı bir şekilde uygulanması gerekiyor.
• SAM veritabanı erişiminin kısıtlanması: Yerel yönetici ayrıcalıklarına sahip olmayan kullanıcıların SAM dosyalarına erişiminin sıkı erişim kontrol listeleriyle (ACL) engellenmesi öneriliyor.
• Uç nokta tespit ve yanıt (EDR) çözümlerinin güçlendirilmesi: Anomali tabanlı davranış tespiti yapan çözümlerin devreye alınması, ayrıcalık yükseltme girişimlerinin erken aşamada yakalanmasını sağlayabilir.
• Çok faktörlü kimlik doğrulama (MFA): Tüm yönetici hesaplarında MFA zorunlu hale getirilmeli ve ayrıcalıklı erişim yönetimi (PAM) çözümleri devreye alınmalıdır.
• Yedekleme stratejisi: 3-2-1 yedekleme kuralına uyulması ve yedeklerin ağdan izole ortamda saklanması fidye yazılımı saldırılarında hayati önem taşıyor.

Siber güvenlik uzmanları, BlueHammer benzeri ayrıcalık yükseltme açıklarının fidye yazılımı saldırılarının en kritik ikinci aşamasını oluşturduğuna dikkat çekiyor. İlk erişim genellikle oltalama, güvenliği ihlal edilmiş kimlik bilgileri veya VPN zafiyetleri üzerinden sağlanırken, saldırganların asıl yıkıcı eylemleri ayrıcalık yükseltme sonrasında gerçekleştirdiği belirtiliyor. Bu nedenle savunma stratejilerinin yalnızca çevre güvenliğiyle sınırlı kalmaması, derinlemesine savunma (defense-in-depth) ilkesinin titizlikle uygulanması gerekiyor.

CISA, siber güvenlik topluluğuna açıkla ilgili ek teknik detayların önümüzdeki günlerde paylaşılacağını ve uluslararası ortaklarla koordineli bir şekilde tehdit istihbaratı paylaşımına devam edileceğini açıkladı. Kuruluşların, Microsoft'un yayımladığı güvenlik bültenlerini yakından takip etmesi ve olay müdahale planlarını bu tür senaryolara karşı güncellemesi uzmanların birleşik tavsiyesi olarak öne çıkıyor.