CISA, Citrix ve GIT’de Kev kataloğuna aktif olarak sömürülen üç güvenlik açıkları ekledi. Federal ajanslar, 15 Eylül 2025’e kadar kusurları yamalıdır.
ABD hükümetinin Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), bilgisayar korsanları tarafından aktif olarak sömürülen kusurlar listesine üç yeni güvenlik açığı ekledi ve federal ajansları derhal düzeltti. 25 Ağustos 2025’te yayınlanan acil uyarı, Citrix Oturum Kaydı’ndaki iki güvenlik açıkını ve popüler kod yönetim sistemi GIT’de büyük bir kusuru kapsamaktadır.
Bu güvenlik açıkları, saldırı altında olduğu doğrulanan güvenlik sorunlarının genel bir listesi olan bilinen sömürülen güvenlik açıkları (KEV) kataloğuna eklenmiştir. Bu güvenlik açıklarını düzeltme yetkisi doğrudan federal devlet kurumları için geçerli olsa da, CISA tüm özel kuruluşları, bunlara siber tehditlere karşı korunmak için iyileştirme için en büyük öncelik olarak davranmaya teşvik etmektedir.
Citrix ve Git’teki Kusurlar
CVE-2024-8068 ve CVE-2024-8069 olarak tanımlanan yeni eklenen güvenlik açıklarından ikisi, Citrix oturum kaydını etkiler. Bu kusurların her ikisi de CVSS skoru 5.1’dir, bu da orta şiddetli bir derecelendirme olarak kabul edilir.
Bildirildiğine göre, bu kusurlar zaten bir ağın içindeki bir saldırganın bir sistemi ele geçirmesine ve kötü amaçlı kod çalıştırmasına izin verebilir. Güvenlik açıkları yalnızca aynı ağdaki kimlik doğrulamalı bir kullanıcı tarafından kullanılabilir, yani bir bilgisayar korsanının önce sistemin içinde bir dayanak olması gerekir. Citrix, Kasım 2024’te bu konuların her ikisi için de güvenlik yamaları yayınladı.
Üçüncü güvenlik açığı olan CVE-2025-48384, milyonlarca geliştiricinin kodlarını yönetmek ve paylaşmak için kullandığı bir araç olan GIT’i etkiler. 8.1 yüksek şiddet skoru verilen bu özel kusur, GIT’in yapılandırma dosyalarındaki belirli metin karakterlerini nasıl ele aldığından kaynaklanmaktadır.
Bir saldırgan, bir kullanıcı bir depoyu klonladığında, makinelerinde sessiz ve beklenmedik bir kod yürütülmesine yol açabilecek kötü amaçlı bir dosya oluşturarak bunu kullanabilir. Bu istismar için bir kavram kanıtı, Temmuz 2025’te GIT tarafından yamalandıktan kısa bir süre sonra Datadog tarafından yayınlandı.
Harekete geçme çağrısı
Bağlayıcı Operasyonel Direktife (BOD) 22-01’e uymak için, tüm ABD federal sivil yürütme şubeleri ajansları 15 Eylül 2025’e kadar bu güvenlik açıklarını düzeltmelidir.
Hackread.com ile paylaşılan bir yorumda, Cobalt CTO’su Gunter Ollmann, bu uyarının herkes için önemini vurguladı. Bilgisayar korsanlarının bunlardan yararlanmak için güvenilir araçlara erişimi olduğunda ılımlı güvenlik kusurlarının bile son derece tehlikeli olabileceğini açıkladı.
“Organizasyonlar KEV kataloğunu yaşayan bir tehdit istihbaratı beslemesi olarak ele almalı, bu güvenlik açıklarının iyileştirilmesine öncelik vermeli çünkü saldırganların bugün aktif olarak kullandıklarını temsil ediyorlar” dedi.
Bu, bu listedeki güvenlik açıklarının sadece teorik riskler olmadığını vurgulamaktadır; Şu anda bir saldırganın cephaneliğindeki aktif silahlar.