Microsoft React2Shell Açığının Yüzlerce Sistemi Ele Geçirdiğini Açıkladı
Microsoft, React2Shell olarak bilinen kritik güvenlik açığı nedeniyle çeşitli kuruluşlarda yüzlerce makinenin ele geçirildiğini açıkladı. Saldırganlar, bu açığı kullanarak sistemlerde kod çalıştırıyor, kötü amaçlı yazılım yerleştiriyor ve bazı durumlarda fidye yazılımı dağıtıyor.
Saldırganlar Açığı Kötü Amaçlı Yazılım Dağıtmak İçin Kullanıyor
CVE-2025-55182 numaralı açık, React Sunucu Bileşenleri’ndeki bir zafiyetten kaynaklanıyor. Saldırganlar bu açığı istismar ederek savunmasız sunucularda keyfi kod çalıştırabiliyor. Microsoft tehdit istihbarat ekibi, sömürü faaliyetlerinin konsept kanıtlama aşamasını çoktan geçtiğini belirtiyor. Birden fazla sektör ve bölgede yüzlerce sistemin ele geçirildiği doğrulandı.
Şirketin açıklamasına göre saldırganlar, bu açıktan yararlanarak keyfi komutlar çalıştırıyor ve kötü amaçlı yazılım bulaştırıyor. Kurban ortamlarında daha derinlere sızmak için bu faaliyetleri meşru görünümlü uygulama trafiğine karıştırıyorlar.
React2Shell açığı ilk olarak bu ayın başında ortaya çıktı. Araştırmacılar, React Sunucu Bileşenleri’ndeki hatanın saldırgan kontrollü kod çalıştırmak için kullanılabileceği konusunda uyarıda bulunmuştu. Hata kısa sürede diğer zayıflıklarla birleştirildi. İlk kampanyalar, Çin ve İran bağlantılı tehdit gruplarıyla ilişkilendirildi. Bu gruplar, açıkta kalan sunucuları geniş ölçekte taramıştı.
Microsoft’un son bulguları, açığın halka açıklanmasının ardından sömürü girişimlerinin hızla arttığını gösteriyor. Saldırganlar, başarılı sömürüleri kullanarak bellek tabanlı indiriciler ve kripto madencileri gibi kötü amaçlı yazılımları açık JavaScript uygulama arka uçlarına yerleştiriyor.
Diğer tehdit istihbarat ekipleri de benzer gözlemler yapıyor. S-RM güvenlik firması, React2Shell’in bir şirket ağına sızmak ve fidye yazılımı dağıtmak için ilk erişim vektörü olarak kullanıldığı gerçek bir ihlale müdahale ettiğini açıkladı. Şirket, “Bu, S-RM’nin finansal motivasyonlu tehdit aktörleri tarafından bir siber gasp saldırısını kolaylaştırmak için bu güvenlik açığının kullanıldığını ilk kez gözlemlemesidir” ifadelerini kullandı.
GreyNoise kurucusu Andrew Morris, LinkedIn’de yaptığı paylaşımda açığın ifşa edilmesinden haftalar sonra bile sömürü faaliyetlerinin yoğun şekilde devam ettiğini belirtti. Morris, “React2Shell, GreyNoise İstihbaratı’na göre patlamaya devam ediyor. Oldukça fazla sayıda farklı kötü amaçlı yazılım yükü tespit ediyoruz” dedi.
Bu ölçek, React Sunucu Bileşenleri’nin ne kadar yaygın benimsendiğini yansıtıyor. Performansı artırmak için işleme işini sunucuya aktarmak üzere tasarlanan bu teknoloji, sayısız üretim uygulamasına gömülü durumda. Bir tahmine göre bulut ortamlarının yüzde 39’u React2Shell açığına karşı savunmasız konumda.
React2Shell mağdurlarının tam sayısı henüz bilinmiyor ancak Palo Alto Networks şimdiye kadar 50’den fazla kuruluşun ele geçirildiğini doğruladı. Ancak gerçek rakamın çok daha yüksek olması muhtemel. Araştırmacılar geçen hafta, açığa karşı savunmasız sistemlerin yarısının hala yamalanmadığı konusunda uyardı.
Microsoft, hala müdahale etmeye çalışan kuruluşlara mevcut yamaları uygulamalarını, açıkta kalan React Sunucu Bileşeni dağıtımlarını denetlemelerini ve sömürü belirtilerini izlemelerini tavsiye etti. Sömürü faaliyetleri artmaya devam ederken yama oranlarının düşük kalması, React2Shell’in kötüye kullanılmaya açık olduğunu gösteriyor.
Kuruluşların acil önlem alması ve sunucu bileşenlerini güncellemesi gerekiyor. Açığın geniş kullanım alanına sahip bir teknolojide bulunması, etki alanını önemli ölçüde genişletiyor. Güvenlik ekipleri, şüpheli ağ etkinliklerini yakından izlemeli ve olağandışı trafik modellerine karşı tetikte olmalı.
