ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Perşembe günü, vahşi ortamda aktif istismarın kanıtlarını öne sürerek Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna dört güvenlik açığı ekledi.
Güvenlik açıklarının listesi aşağıdaki gibidir:
- CVE-2025-68645 (CVSS puanı: 8.8) – Synacor Zimbra Collaboration Suite’te (ZCS), uzaktaki bir saldırganın “/h/rest” uç noktasına istek oluşturmasına ve herhangi bir kimlik doğrulaması olmadan WebRoot dizininden rastgele dosyaların eklenmesine izin verebilecek bir PHP uzaktan dosya ekleme güvenlik açığı (Kasım 2025’te 10.1.13 sürümüyle düzeltildi)
- CVE-2025-34026 (CVSS puanı: 9.2) – Versa Concerto SD-WAN düzenleme platformunda bir saldırganın yönetim uç noktalarına erişmesine izin verebilecek bir kimlik doğrulama atlaması (Nisan 2025’te 12.2.1 GA sürümüyle düzeltildi)
- CVE-2025-31125 (CVSS puanı: 5.3) – Vite Vitejs’te, rastgele dosya içeriklerinin ?inline&import veya ?raw?import kullanılarak tarayıcıya döndürülmesine izin verebilecek uygunsuz bir erişim kontrolü güvenlik açığı (Mart 2025’te 6.2.4, 6.1.3, 6.0.13, 5.4.16 ve 4.5.11 sürümleriyle düzeltildi)
- CVE-2025-54313 (CVSS puanı: 7,5) – Eslint-config-prettier’de, bilgi hırsızlığı sağlamak üzere tasarlanmış Scavenger Loader adlı kötü amaçlı bir DLL’nin yürütülmesine izin verebilecek yerleşik bir kötü amaçlı kod güvenlik açığı
CVE-2025-54313’ün eslint-config-prettier ve diğer altı npm paketini (eslint-plugin-prettier, sinkkit, @pkgr/core, napi-postinstall, got-fetch) hedef alan bir tedarik zinciri saldırısına atıfta bulunduğunu belirtmekte fayda var ve bu Temmuz 2025’te ortaya çıktı.
Kimlik avı kampanyası, düzenli hesap bakımının bir parçası olarak e-posta adreslerini doğrulama bahanesiyle kimlik bilgilerini toplayan sahte bağlantılarla paket bakımcılarını hedef aldı ve tehdit aktörlerinin truva atı haline getirilmiş sürümleri yayınlamasına olanak tanıdı.
CrowdSec’e göre, CVE-2025-68645’i hedef alan istismar çabaları 14 Ocak 2026’dan beri devam ediyor. Diğer güvenlik açıklarının vahşi ortamda nasıl istismar edildiğine dair şu anda hiçbir ayrıntı yok.
Bağlayıcı Operasyonel Direktif (BOD) 22-01 uyarınca, Federal Sivil Yürütme Organı (FCEB) kurumlarının, ağlarını aktif tehditlere karşı korumak için 12 Şubat 2026’ya kadar gerekli düzeltmeleri uygulamaları gerekmektedir.