Kaspersky Endpoint Security’de Zero-Day Standart Kullanıcı SYSTEM Yetkisi Kazanabiliyor

Kaspersky Endpoint Security for Windows ürününde, saldırganların düşük yetkili bir kullanıcı hesabından SYSTEM seviyesine yükselmesine imkân tanıdığı öne sürülen yeni bir sıfır gün güvenlik açığı yayımlandı. “HardBreacher” adı verilen açık için çalışan bir kavram kanıtlama kodu da kamuya açık olarak paylaşıldı.

Güvenlik açığı, son aylarda Microsoft ürünlerini etkileyen çeşitli sıfır gün açıklarını farklı takma adlarla yayımlayan Nightmare Eclipse tarafından duyuruldu. Araştırmacı, GitHub üzerinde MSNightmare hesabıyla HardBreacher adlı bir PoC yayımladı.

Düşük yetkili kullanıcı SYSTEM yetkisine ulaşabiliyor

Paylaşılan bilgilere göre saldırının gerçekleştirilebilmesi için tehdit aktörünün öncelikle hedef Windows sisteminde düşük yetkili bir kullanıcı hesabına veya kod çalıştırma imkânına sahip olması gerekiyor.

HardBreacher açığının başarıyla istismar edilmesi durumunda saldırgan, standart kullanıcı haklarından Windows’un en yüksek yerel yetki seviyesi olan SYSTEM haklarına yükselebiliyor. Bu durum, açığın tek başına uzaktan sisteme erişim sağlamadığı ancak sisteme daha önce erişmiş saldırganlar için oldukça güçlü bir yetki yükseltme aracı olabileceği anlamına geliyor.

Araştırmacı testlerini Ağustos 2026 sonu güncellemelerinin yüklü olduğu Windows 11 24H2 Enterprise sistemi üzerinde gerçekleştirdi. Test edilen sistemde Kaspersky Endpoint Security for Windows 14.0.0.504 sürümünün kurulu olduğu belirtildi.

16 Nisan 2026 tarihinde yayımlanan bu Kaspersky sürümünün tam destek süresi 16 Nisan 2028’e, sınırlı destek süresi ise 16 Nisan 2029’a kadar devam ediyor.

Antivirüs koruması devre dışı bırakılabiliyor

Araştırmacının iddiasına göre açığın istismar edilmesi yalnızca yetki yükseltmeyle sınırlı kalmıyor. Kaspersky kullanıcı arabirimi sürecinin kontrolünün ele geçirilmesinin ardından güvenlik çözümünün davranışları manipüle edilebiliyor.

Bunun sonucunda saldırganın:

• Kaspersky antivirüs ve güvenlik korumasını devre dışı bırakabileceği,
• Normalde erişememesi gereken dosyalara erişim sağlayabileceği,
• Belirli dosyalara erişimi engelleyebileceği,
• İşletim sisteminin genel çalışma düzenini bozabileceği

öne sürülüyor.

Başarılı istismar sonrasında aşağıdaki dosyanın oluşturulduğu belirtiliyor:

C:\Windows\System32\MY_SNAKE_IS_SOLID.dll

Dosyanın mevcut kullanıcıya tam yetki verecek izinlerle oluşturulduğu ifade ediliyor. Bu nedenle söz konusu dosya adı, test dışındaki sistemlerde olası kötüye kullanım araştırılırken bir gösterge olarak değerlendirilebilir. Bununla birlikte yalnızca bu dosyanın bulunması veya bulunmaması kesin saldırı tespiti için yeterli değildir.

PoC kodu kararlı çalışmıyor

Araştırmacı, yayımladığı kavram kanıtlama kodunun henüz kararlı veya gelişmiş bir istismar aracı olmadığını açıkça belirtiyor. PoC’nin çoğu denemede hata vererek kapanabildiği ve başarılı sonuç almak için birkaç kez yeniden çalıştırılması gerekebildiği aktarılıyor.

Ancak kodun kararsız çalışması, açığın önemsiz olduğu anlamına gelmiyor. Kamuya açık bir PoC’nin bulunması, başka saldırganların kodu geliştirerek daha güvenilir istismar araçları hazırlaması riskini artırıyor.

Araştırmacı ayrıca saldırıyı Windows 11 25H2 üzerinde de denediğini ve yeniden başlatma sonrasında yöntemin çalıştığını bildirdi.

Kaspersky’den henüz yama açıklaması bulunmuyor

Paylaşılan kaynakta, güvenlik açığına atanmış bir CVE numarası, Kaspersky tarafından yayımlanmış resmi bir güvenlik duyurusu veya açığı gideren bir güncelleme bilgisi yer almıyor. Bu nedenle HardBreacher’ın kapsamı ve etkilenen tüm Kaspersky sürümleri henüz bağımsız olarak doğrulanmış değil.

Kurumların yalnızca test edilen 14.0.0.504 sürümünün etkilendiğini varsaymaması gerekiyor. Önceki veya sonraki sürümlerin durumunun belirlenebilmesi için Kaspersky’nin resmi teknik değerlendirmesi beklenmeli.

Kurumlar hangi önlemleri almalı?

Kaspersky Endpoint Security kullanan kuruluşların aşağıdaki önlemleri değerlendirmesi öneriliyor:

• Kaspersky’nin güvenlik duyuruları ve ürün güncellemeleri yakından takip edilmeli.
• Uç noktalarda düşük yetkili hesaplardan gerçekleştirilen şüpheli süreç başlatma ve yetki yükseltme girişimleri izlenmeli.
• C:\Windows\System32 altında olağan dışı DLL oluşturma veya izin değiştirme işlemleri denetlenmeli.
• MY_SNAKE_IS_SOLID.dll dosyasının varlığı EDR veya merkezi yönetim araçları üzerinden araştırılmalı.
• Standart kullanıcıların bilinmeyen uygulama ve betikleri çalıştırması uygulama denetimi politikalarıyla sınırlandırılmalı.
• Kaspersky servislerinin durdurulması, koruma bileşenlerinin kapatılması ve güvenlik politikalarının değiştirilmesiyle ilgili olaylar merkezi olarak izlenmeli.
• Kamuya açık PoC kodu üretim sistemlerinde çalıştırılmamalı; doğrulama gerekiyorsa izole bir laboratuvar ortamı kullanılmalı.

HardBreacher iddiası, güvenlik ürünlerinin sahip oldukları yüksek sistem ayrıcalıkları nedeniyle saldırganlar açısından değerli bir hedef olabileceğini bir kez daha gösteriyor. Antivirüs yazılımlarındaki yerel yetki yükseltme açıkları, saldırganların güvenlik kontrollerini doğrudan hedef almasına ve sistem üzerindeki hâkimiyetini genişletmesine imkân verebilir.

Kaspersky tarafından resmi bir açıklama veya güvenlik güncellemesi yayımlanana kadar kurumların gelişmeleri yakından izlemesi ve şüpheli uç nokta hareketlerine karşı ek denetim uygulaması önem taşıyor.