Flax Typhoon ve CISA KEV: ProFTPD, BIND, Apache Struts, ONLYOFFICE ve Strapi Açıkları Yeniden Saldırı Altında

Ne oldu? (What happened)

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 8 Ekim 2026'da KEV kataloğuna beş açık ekledi. Aynı gün Avustralya, Kanada, Japonya, Yeni Zelanda, İspanya, Birleşik Krallık ve ABD'nin siber güvenlik kurumları ortak bir uyarı yayımladı. Uyarı, Çin merkezli Integrity Technology Group şirketinin desteklediği saldırıları ve bu faaliyetle ilişkilendirilen Flax Typhoon grubunu anlatıyor.

Uyarıda toplam sekiz açık geçiyor. Bunların üçü (Shellshock CVE-2014-6278, Ivanti Pulse Connect Secure CVE-2019-11510 ve GitLab CVE-2021-22205) zaten katalogdaydı; kalan beşi bu tarihte eklendi. Haberlere göre grup ilk erişimi tarama araçları, siteler arası betik (XSS) ve Microsoft Exchange sunucularına karşı parola püskürtme (password spraying) ile sağlıyor, kalıcılığı VPN yazılımı üzerinden kuruyor, ardından e-posta ve kimlik bilgilerini betiklerle dışarı çıkarıyor. CISA'dan Chris Butera, bu grupların kritik altyapı ağlarına, operasyonel teknoloji (OT) sistemleri dahil, ileride işlevleri bozmak için yerleştiğini söylüyor.

Beş açık ve düzeltilmiş sürümler (The five CVEs)

• ProFTPD CVE-2015-3306: mod_copy modülündeki SITE CPFR ve SITE CPTO komutları oturum açmadan kullanılabiliyor. Saldırgan sunucudaki dosyaları kopyalayabiliyor; web dizinine bir PHP dosyası yazılırsa iş uzaktan kod çalıştırmaya kadar gidiyor.
• ONLYOFFICE CVE-2021-3199: JWT kullanılan kurulumlarda görsel yükleme parametresindeki /.. dizisiyle dizin dışına çıkılıp kod çalıştırılabiliyor.
• Apache Struts CVE-2016-3081: Dinamik Metot Çağırma (Dynamic Method Invocation, DMI) açık olan uygulamalarda method: önekiyle uzaktan kod çalıştırılıyor. Etkilenen aralıklar 2.3.19–2.3.20.2, 2.3.21–2.3.24.1 ve 2.3.25–2.3.28.
• ISC BIND CVE-2015-5477: Özel hazırlanmış tek bir TKEY sorgusu named sürecini assertion hatasıyla durduruyor. DNS sunucusu düşünce o sunucuya bağlı tüm alan adları çözülemez hale geliyor.
• Strapi CVE-2023-22894: Yönetim paneline erişimi olan biri sorgu filtresiyle diğer kullanıcıların parola özeti ve sıfırlama belirteci gibi alanlarını okuyabiliyor.

Neden 10 yıllık açıklar hâlâ işe yarıyor? (Why old CVEs still work)

Listedeki en eski açık 2015 tarihli. Bu kadar eski bir açığın 2026'da katalog maddesi olması, saldırganların hâlâ başarıyla kullandığı anlamına geliyor. Bunun birkaç sebebi var:

• Unutulan sunucular: Bir kez kurulup bırakılan FTP sunucusu, eski bir intranet uygulaması veya iç DNS sunucusu yıllarca güncellenmeden çalışabiliyor.
• Gömülü sürümler: Bazı cihazlar ve hazır sistem kalıpları eski ProFTPD veya BIND sürümlerini içinde taşıyor; işletim sistemi güncellense bile bu bileşenler yerinde kalıyor.
• Envanter eksikliği: "Bizde Struts yok" denilen kurumlarda eski bir Java uygulamasının içinde Struts kütüphanesi çıkabiliyor.

Kısacası tehdit yeni bir sıfırıncı gün açığı değil; güncellenmeyen altyapı. Bu da savunmanın büyük kısmının zaten bilinen işler olduğu anlamına geliyor: envanter, yama ve gereksiz servisleri kapatmak.

Sunucunuzu nasıl kontrol edersiniz? (How to check)

Linux sunucularda sürümleri şu komutlarla görebilirsiniz:

# ProFTPD sürümü ve mod_copy yüklü mü
proftpd -v
proftpd -l | grep -i copy

# BIND sürümü
named -v

# Java uygulamalarında Struts kütüphanesi ara
find / -name 'struts2-core-*.jar' 2>/dev/null

ProFTPD kullanıyor ama mod_copy'a ihtiyacınız yoksa yapılandırmada modülü yüklemeyin. Struts tarafında DMI'yi kapatmak için struts.xml içinde struts.enable.DynamicMethodInvocation değerinin false olduğundan emin olun. ONLYOFFICE ve Strapi için yönetim panellerinin internete açık olup olmadığını kontrol edin.

Yapılması gerekenler (Recommendations)

1. İnternete açık sistemlerden başlayın. FTP (21), DNS (53) ve yönetim panellerini dışarıdan tarayın.
2. Envanterde ürün adıyla arayın: ProFTPD, BIND, Struts, ONLYOFFICE, Strapi. Yalnızca sunucu listesine değil, konteyner kalıplarına ve eski sanal makinelere de bakın.
3. Yamalayın ve sürümü doğrulayın. Paket yöneticisinin "güncel" demesi yetmez; çalışan sürecin sürümünü kontrol edin.
4. Yamalayamıyorsanız erişimi daraltın: FTP yerine SFTP kullanın, DNS sunucusunu yalnızca gerekli ağlara açın, yönetim panellerini IP kısıtlamasıyla koruyun.
5. Exchange ve VPN girişlerini izleyin. Grubun parola püskürtme yöntemine karşı çok adımlı doğrulama ve başarısız giriş sınırları etkili.

Alesta WEB olarak yönettiğimiz sunucularda FTP yerine SFTP'yi, DNS'te güncel paketleri ve panel erişiminde IP kısıtlamasını standart uyguluyoruz. Son haftalardaki diğer aktif saldırı haberleri için NetScaler CVE-2026-88779 ve Zammad CVE-2026-102489 yazılarımıza bakabilirsiniz.

Sık sorulan sorular

CISA KEV kataloğu nedir?

Gerçek saldırılarda kullanıldığı kanıtlanmış açıkların listesi. ABD federal kurumları bu listedeki açıkları belirlenen sürede kapatmak zorunda; diğer kurumlar için de önceliklendirme kaynağı olarak kullanılıyor.

Flax Typhoon kimdir?

Çin bağlantılı olduğu değerlendirilen bir tehdit grubu. Ortak uyarı, faaliyetlerin Integrity Technology Group adlı şirketle bağlantılı olduğunu belirtiyor.

Bu açıklar için yeni yama çıktı mı?

Hayır. Beşinin de yaması yıllar önce yayımlandı. Yapılması gereken, sistemlerin bu yamaları içeren sürümlere geçtiğini doğrulamak.

Paylaşımlı hosting kullanıyorum, etkilenir miyim?

FTP ve DNS servislerini barındırma firması yönetir. Firmanızın güncel sürümler kullandığını sorabilir, kendi tarafınızda FTP yerine SFTP tercih edebilirsiniz.

Struts kullanmıyorsam neden ilgilenmeliyim?

Struts genellikle eski Java uygulamalarının içinde kütüphane olarak gelir. Kullanmadığınızı düşünseniz bile sunucularda struts2-core dosyası aramak birkaç dakika sürer.

İlgili yazılar: FortiMail CVE-2026-104286 · Web hosting · Web yazılım hizmetleri · İletişim

Kapak fotoğrafı: Boitumelo / Unsplash