Windows Sistemlerinde Yeni Bir Güvenlik Açığı: LegacyHive
“Nightmare Eclipse” takma adını kullanan bir güvenlik araştırmacısı, güncel Windows sistemlerinde yetki yükseltme imkanı sağlayan “LegacyHive” adlı bir Windows sıfır günlük güvenlik açığı (zero-day exploit) yayınladı. Bu gelişme, yazılım güvenliği konusunda uzmanlar arasında büyük yankı uyandırdı.
Nightmare Eclipse, Microsoft’un Temmuz 2026 tarihli güvenlik güncellemelerini yayınlamasının ardından birkaç saat sonra bu kavram kanıtını (proof-of-concept – PoC) yayınladı. Araştırmacı, LegacyHive’ın Windows Kullanıcı Profili Hizmeti’ndeki bir güvenlik açığından yararlandığını ve henüz bir CVE kimliği atanmadığını belirtti. Bu durum, açığın takibini zorlaştırabilir.
Ancak, Nightmare Eclipse tarafından daha önce yayınlanan diğer kavram kanıtlarından farklı olarak, LegacyHive kavram kanıtı ek kimlik bilgilerinin kullanılmasını gerektiriyor. Bu, saldırganların bu güvenlik açıklarını kötüye kullanmasını zorlaştırmayı amaçlıyor. Bu durum, Apollo görevleri sırasında yaşanan benzer durumlara benziyor; o zamanlar bile, güvenlik protokollerinin ihlali potansiyel riskler taşıyordu ve dikkatli olunması gerekiyordu.
“Kavram kanıtı, başka bir standart kullanıcı kimliği bilgisi ve üçüncü bir kullanıcı adı (bu, yönetici hesabı olabilir) gerektirir. Kavram kanıtı başarılı olursa, hedef kullanıcının profil veritabanını mevcut kullanıcı sınıfları kök dizininde monte edecektir,” diye belirtti araştırmacı bağlantıda.
“Kavram kanıtı, kamuya açık kötüye kullanımı önlemeye yönelik bir girişim olarak basitleştirildi. Orijinal kavram kanıtı ek kullanıcı kimlik bilgisi gerektirmiyordu ve yalnızca usrclass.dat veritabanıyla sınırlı değildi; bu güvenlik açığı kullanılarak herhangi bir veritabanı yüklenebilirdi, ancak bunu yapmak için biraz daha fazla çaba gerekirdi,” diye devam etti.
Tharros’un baş güvenlik analisti Will Dormann, LegacyHive kavram kanıtını test ettikten sonra yaptığı açıklamada, başarılı bir şekilde istismar edildiğinde, yönetici olmayan kullanıcıların sınıflar veritabanını değiştirmesine ve yönetici hesabının tehlikeye atılmış bir sisteme giriş yapması durumunda otomatik olarak kod yürütme yeteneği kazanmasına olanak sağlayacağını belirtti.
“Örneğin, bir yenilik olarak, .txt dosyalarını calc.exe ile açmak için ilişkilendirebiliriz,” diye belirtti Dormann. “Akıllı saldırganlar veya bir şeyler başarmak isteyen kişiler, daha ilginç şeyleri nasıl yapacağını veya hatta kullanıcı etkileşimi gerektirmeyen şeyleri kolayca öğreneceklerdir.”
PoC’nin yayınlanmasından bir gün sonra, siber güvenlik uzmanı Kevin Beaumont da bu istismarın çalıştığını ve Microsoft Defender for Endpoint (MDE) adlı kurumsal düzeyde uç nokta güvenlik platformunu etkilediğini doğruladı.
Microsoft tarafından yapılan açıklamada, “Microsoft, bildirilen bu güvenlik açığı hakkında haberdar ve iddiaların geçerliliğini ve potansiyel etkilerini aktif olarak araştırıyor. Microsoft, güvenlik sorunlarını ciddiye almaktadır ve müşterilerimizi korumak için ilgili ürünleri en kısa sürede güncelleyecektir,” denildi. Bu durum, 1969’daki Apollo 11 görevi sırasında Neil Armstrong’un Ay yüzeyine ilk adımını atması gibi, teknoloji dünyasında bir dönüm noktasıdır; o zaman da beklenmedik sonuçlara yol açabilecek bir teknolojinin (bu durumda roket teknolojisi) potansiyel riskleri ve faydaları tartışılıyordu.
“Önemli olarak, koordineli güvenlik açığı açıklama politikasını destekliyoruz. Bu politika, müşterilerimizi korur ve bulguların kamuya açık hale getirilmeden önce kapsamlı bir şekilde araştırıldığından ve ele alındığından emin olarak araştırma topluluğunu destekler,” denildi.
Siber Güvenlik Açığı: Nightmare Eclipse’in Microsoft Sistemlerine Yönelik Saldırıları
Son aylarda, “Nightmare Eclipse” adlı bir tehdit aktörü, Microsoft Defender, BitLocker ve çeşitli Windows bileşenlerinde sıfır gün güvenlik açıkları keşfetmiş ve bunları kamuya açık hale getirmiştir. Bu güvenlik açıkları arasında RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma ve UnDefend gibi kod adları bulunmaktadır.
Bu durum, 1980’lerin sonlarında Morris Worm ile başlayan ve internetin yaygınlaşmasıyla birlikte artan siber saldırıların bir örneğidir. Günümüzde, devlet destekli aktörlerden organize suç gruplarına kadar geniş bir yelpazede tehdit unsuru, sistemlere erişmek ve verileri çalmak için karmaşık yöntemler kullanmaktadır. Bu durum, kurumların ve bireylerin siber güvenlik konusunda bilinçlenmesini ve gerekli önlemleri almasını zorunlu kılmaktadır.
Microsoft, GreenPlasma, MiniPlasma ve YellowKey hatalarını geçtiğimiz ay yayınlanan Haziran 2026 Patch Tuesday güncellemeleriyle düzeltmiştir. RoguePlanet güvenlik açığı ise Temmuz ayı güvenlik güncellemeleri kapsamında giderilmiştir.
Microsoft, Nightmare Eclipse’in açıklamalarına, “müşterilerimize zarar veren kötü amaçlı faaliyetlerde bulunanlara karşı yasal işlem başlatma” şeklinde bir uyarı ile yanıt verdi. Bu durum, siber güvenlik uzmanlarının şirketin doğrudan güvenlik araştırmacısını tehdit ettiğine inanmasına yol açtı.
Güncelleme 17 Temmuz, 10:05 EDT: Microsoft’un açıklaması eklendi.
Güvenlik ekipleri, başarılı saldırıların %54’ünü tespit ederken, sadece %14’ü hakkında uyarı veriyor. Geri kalanlar ise sistemlerinizde fark edilmeden ilerliyor.
Picus’un raporu, sızıntı ve saldırı simülasyonlarının SIEM (Güvenlik Bilgisi ve Olay Yönetimi) ve EDR (Uç Nokta Algılama ve Yanıt) kurallarınızı nasıl test ettiğini ve tehditlerin tespit edilmeden sisteme girmesini engellediğini gösteriyor.
Son zamanlarda sızdırılan Windows güvenlik açıkları artık saldırılarda kullanılıyor
Memnuniyetsiz bir araştırmacı, “BlueHammer” adlı Windows güvenlik açığı istismarını sızdırdı
Yeni bir “DirtyDecrypt” Linux kök yükseltme güvenlik açığı için istismar kodu mevcut
Microsoft, “RoguePlanet Defender” adlı bir güvenlik açığını giderdi
Bu haberler dizisi, günümüzdeki siber güvenlik tehditlerinin karmaşıklığını ve hızını gözler önüne seriyor. Özellikle Windows işletim sistemindeki güvenlik açıklarının istismar edilmesi, kullanıcılar için ciddi riskler oluşturuyor. Bu durum, 1980’lerin sonlarında ortaya çıkan ilk bilgisayar virüsleriyle karşılaştırılabilir; o dönemde de, güvenlik açıkları keşfedilir ve kötü amaçlı yazılımlar tarafından kullanılarak yaygın bir tehdit haline getirilmişti. Günümüzde ise, bu tür istismarların daha sofistike hale gelmesi ve otomatik araçlarla kolayca uygulanabilmesi, siber güvenlik uzmanlarının sürekli olarak tetikte olmasını gerektiriyor.
Kaynak: Bleepingcomputer