BeyondTrust, müşterilerini, Uzaktan Destek (RS) ve Ayrıcalıklı Uzaktan Erişim (PRA) yazılımlarında, saldırganların kimlik doğrulamasını atlamasına olanak verebilecek iki kritik güvenlik açığını düzeltmeleri konusunda uyardı.
CVE-2026-40138 olarak takip edilen ilk güvenlik açığı, şirketin RS uzak masaüstünü ve yardım platformunu (sürüm 25.3.2 veya öncesi) ve PRA kurumsal siber güvenlik çözümünü (sürüm 25.3.2 veya öncesi) etkiliyor. Bu güvenlik açığı, kimlik doğrulama alt sistemindeki uygun olmayan bir kimlik doğrulama zayıflığından kaynaklanmaktadır ve başarılı bir şekilde kullanılması, ayrıcalıkları olmayan saldırganların erişim kontrollerini atlamasına ve yükseltilmiş ayrıcalıklara sahip hesaplar da dahil olmak üzere hedeflenen cihazlara erişmesine olanak tanır.
Bu hafta yamalanan ikincisi (CVE-2026-40139), BeyondTrust RS kimlik doğrulama isteklerinin hatalı işlenmesinden kaynaklanıyor ve kimliği doğrulanmamış uzaktaki saldırganların savunmasız örneklere yetkisiz erişim elde etmesine olanak tanıyor.
Her iki durumda da BeyondTrust, istismarın ayrıca belirli bir kimlik doğrulama yapılandırmasının etkinleştirilmesini gerektirdiğini belirtti ancak daha fazla ayrıntı paylaşmadı.
BeyondTrust ayrıca hizmet reddini tetiklemek veya yamalı RS ve PRA örneklerinde kısıtlı kaynaklara erişim sağlamak için kullanılabilecek iki yüksek önem dereceli güvenlik sorununa (CVE-2026-40140 ve CVE-2026-40141) yönelik güvenlik güncellemeleri de yayınladı.
Nasıl Önlem Alınmalı?
BeyondTrust, "En ciddi güvenlik açıkları, kimliği doğrulanmamış uzak bir saldırganın erişim kontrollerini atlamasına ve belirli yapılandırmalar altında cihaza yetkisiz erişim elde etmesine izin verebilir. Ek güvenlik açıkları, hizmet kesintisine, istenmeyen veri erişimine ve farklı yapılandırmalar altında, kimliği doğrulanmış bir kullanıcının sistem bütünlüğünü etkileyebilecek şekilde yükseltilmiş erişimine neden olabilir." dedi.
"21 Nisan 2026 itibarıyla tüm RS/PRA bulut müşterilerine bir yama uygulandı. Kendi sunucularında barındırılan müşteriler, bulut sunucuları otomatik güncellemelere abone değilse veya RS 25.3.3 ve üzeri ya da PRA 25.3.3 ve üzeri sürüme yükseltme yapmamışsa, etkilenen sürüm için Nisan ayı güvenlik toplama yamasını uygulamalıdır."
Detaylar ve Etkileri
İnternet güvenliği izleme grubu Shadowserver şu anda çevrimiçi olarak açığa çıkan yaklaşık 2.000 BeyondTrust RS ve PRA örneğini izliyor, ancak kaçının bal küpü olduğu veya bu kusurlara karşı halihazırda yamalanmış olduğu konusunda hiçbir ayrıntı yok.
BeyondTrust RS ve PRA örnekleri çevrimiçi olarak kullanıma sunuldu (Shadowserver)
Uzmanların Görüşleri
Saldırılarda yararlanılan BeyondTrust kusurları
BeyondTrust, yama öncesinde bu kusurların saldırılarda kötüye kullanıldığına dair herhangi bir bilgi paylaşmasa da, şirketin uzaktan destek yazılımını etkileyen diğer güvenlik kusurları son yıllarda yaygın biçimde istismar edildi.
Yakın zamanda, Uzaktan Destek ve Ayrıcalıklı Uzaktan Erişim cihazlarını (CVE-2026-1731) etkileyen kritik bir kimlik doğrulama öncesi uzaktan kod yürütme güvenlik açığından WebSocket kanalları oluşturmak ve savunmasız sistemlere fidye yazılımı dağıtmak için yararlanıldı.
Diğer BeyondTrust kusurları, ABD devlet kurumlarının sistemlerini tehlikeye atmak için silah haline getirildi. Örneğin, iki yıl önce ABD Hazine Bakanlığı, Çin devlet destekli meşhur Silk Typhoon siber casusluk grubuyla bağlantılı bir olayda kendi ağının hacklendiğini açıklamıştı.
Sonuç ve Değerlendirme
Silk Typhoon'un BeyondTrust'un sistemlerini ihlal etmek ve Hazine'nin örneği de dahil olmak üzere 17 Uzaktan Destek SaaS örneğini tehlikeye atmak için çalıntı bir API anahtarını kullanmak için iki sıfır günü (CVE-2024-12356 ve CVE-2024-12686) kullandığına inanılıyor.
Çinli bilgisayar korsanlığı grubu ayrıca, ulusal güvenlik riskleri açısından yabancı yatırımları inceleyen ABD'deki Yabancı Yatırım Komitesi'ni (CFIUS) ve ABD yaptırım programlarını yöneten Yabancı Varlıklar Kontrol Ofisi'ni (OFAC) de hedef aldı.
