SharePoint Sunucularına Zero-Day Zafiyeti Üzerinden Saldırılar Başladı (CVE-2025-53770)
İnternete açık SharePoint sunucuları tehlike altında. 18 Temmuz 2025’ten bu yana SharePoint sunucularına yönelik 0-gün (zero-day) açıkları üzerinden aktif saldırılar gerçekleştirildiği bildiriliyor. Özellikle CVE-2025-53770 olarak tanımlanan yeni güvenlik açığı, henüz Microsoft tarafından bir yama ile kapatılmadı ve saldırganlar bu açığı aktif olarak istismar ediyor.
Saldırıların Geçmişi ve Tespit Edilen Açıklar
Sophos tarafından yapılan açıklamaya göre, 18 Temmuz’dan itibaren ToolShell adlı bir exploit zinciri kullanılarak SharePoint örneklerine saldırılar gözlemlendi. Bu zincirde daha önce Pwn2Own Berlin 2025 etkinliğinde duyurulan CVE-2025-49704 ve CVE-2025-49706 zafiyetlerini kullanılıyor. Microsoft bu açıklar için 8 Temmuz 2025 tarihinde yama yayımlamıştı. Ancak esas tehlike henüz yaması bulunmayan yeni bir varyant olan CVE-2025-53770 üzerinden geliyor.
CVE-2025-53770: Kritik Güvenlik Açığı
CVE-2025-53770, Microsoft SharePoint sunucularında yetkisiz uzaktan kod çalıştırılmasına (RCE) olanak tanıyan, güvenilmeyen verilerin yanlış serileştirilmesiyle ilgili bir güvenlik açığı. Bu açık sayesinde saldırganlar, MachineKey gizli anahtarlarını çalarak sahte __VIEWSTATE verisi oluşturabiliyor ve sistem üzerinde kalıcı erişim elde edebiliyor.
Siber güvenlik firması WatchTower, sosyal medya platformu X üzerinden yaptığı açıklamada bu açığın şu anda aktif olarak kötüye kullanıldığını belirtti. Açıklamada, “Eğer SharePoint sunucunuzu internete açık şekilde barındırıyorsanız, ihlale uğradığınızı varsaymalısınız.” ifadelerine yer verildi.
Microsoft’tan Acil Güncelleme
Microsoft, 21 Temmuz 2025 itibariyle bu kritik açıkları kapatmak için acil durum güvenlik yamaları (out-of-band updates) yayımladı. Yamalar şu sürümleri kapsıyor:
- SharePoint Server 2019: KB5002754
- SharePoint Subscription Edition: KB5002768
- SharePoint Server 2016: Henüz güncelleme yayımlanmadı, Microsoft çalışmalarını sürdürüyor.
Microsoft, yayımlanan yamaların daha önceki benzer açıklara kıyasla çok daha güçlü koruma sağladığını vurguladı. Tüm sistem yöneticilerinin ilgili sürümler için bu güncellemeleri acilen yüklemesi gerektiği belirtildi.
Makine Anahtarlarının (MachineKey) Yenilenmesi Zorunlu
Yamaların ardından, SharePoint sistem yöneticilerinin MachineKey anahtarlarını aşağıdaki yöntemlerden biriyle yenilemesi gerekiyor:
PowerShell ile:
- Update-SPMachineKey cmdlet’i kullanılarak manuel anahtar güncellemesi yapılabilir.
Central Admin Üzerinden:
- Central Administration paneline giriş yapılır.
- Monitoring > Review Job Definitions adımına gidilir.
- Machine Key Rotation Job bulunur ve Run Now seçeneği ile çalıştırılır.
- İşlem tamamlandıktan sonra tüm SharePoint sunucularında iisreset.exe komutu ile IIS yeniden başlatılır.
İhlal Belirtileri ve Kontrol Adımları
Microsoft, saldırganların SharePoint sistemlerine kötü amaçlı dosyalar bıraktığına dair bulgular paylaştı. Özellikle aşağıdaki işaretlere dikkat edilmesi öneriliyor:
- C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\spinstall0.aspx dosyasının oluşumu.
- IIS loglarında _layouts/15/ToolPane.aspx sayfasına yapılan POST istekleri.
- HTTP referer olarak _layouts/SignOut.aspx kaydı.
Microsoft Defender kullananlar için örnek sorgu:
DeviceFileEvents
| where FolderPath has "MICROS~1\\WEBSER~1\\16\\TEMPLATE\\LAYOUTS"
| where FileName =~ "spinstall0.aspx" or FileName has "spinstall0"
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, FolderPath, ReportId, ActionType, SHA256
| order by Timestamp desc
Eğer belirtilen dosya sistemde bulunuyorsa, tam kapsamlı bir ihlal incelemesi yapılmalı ve sistemin diğer bölümlerine yayılma riski değerlendirilmelidir.
