Siber Güvenlik Uzmanları Çinli Hackerların VMware Açığını Ekim 2024’ten Beri Kullanıldığını Doğruladı
Broadcom, VMware Aria Operations ve VMware Tools yazılımlarında tespit edilen yüksek önem derecesine sahip bir güvenlik açığını giderdi. CVE-2025-41244 olarak kaydedilen bu açık, yetkisiz kullanıcıların ayrıcalıklarını yükseltmesine yol açtı. Avrupa merkezli siber güvenlik firması NVISO, açığın ekim 2024’ten bu yana Çin devletiyle bağlantılı UNC5174 adlı tehdit grubu tarafından aktif olarak istismar edildiğini duyurdu.
Saldırılar Siber Güvenlik Araştırmacıları Tarafından Açığa Çıkarıldı
NVISO araştırmacısı Maxime Thiebaut, açığın ilk olarak mayıs ayında Broadcom’a bildirildiğini açıkladı. Ancak grubun, açığı çok daha önce kullanmaya başladığı ortaya çıktı. Saldırganların sistemlerde /tmp/httpd dizinini kullanarak zararlı dosyaları çalıştırdığı ve bu sayede root ayrıcalıkları elde ettiği belirtildi. NVISO ayrıca açığın nasıl kullanılabileceğini gösteren bir kanıt konsepti paylaştı.
Broadcom yetkilileri, güvenlik güncellemelerinin yayınlandığını vurguladı. Şirket, saldırıların ciddi sonuçlar doğurabileceğini belirterek kullanıcıları güncellemeleri hızla uygulamaları konusunda uyardı.
Google’ın siber güvenlik ekibi Mandiant, UNC5174’ün Çin Devlet Güvenlik Bakanlığı için çalışan bir yüklenici olduğuna inanıyor. Grup daha önce ABD savunma sanayii, İngiltere hükûmeti ve Asya’daki kritik kurumlara sızmak için çeşitli güvenlik açıklarını kullanmıştı. 2023 sonunda F5 BIG-IP sistemlerindeki bir açığı kullanarak savunma yüklenicilerine erişim sattığı, 2024’te ise ConnectWise ScreenConnect açığı üzerinden yüzlerce kuruma sızdığı raporlanmıştı.
2025 yılı boyunca grup farklı yazılım açıklarını da istismar etti. Bu saldırılar kapsamında ABD ve İngiltere’deki kritik altyapılarda bulunan yüzlerce SAP NetWeaver sunucusuna arka kapı yerleştirildiği ortaya çıktı. Broadcom, VMware ürünlerindeki bu son açığın yanı sıra, ABD Ulusal Güvenlik Ajansı tarafından bildirilen VMware NSX yazılımındaki iki kritik güvenlik sorununu da yamaladığını duyurdu. Şirket mart ayında da üç ayrı sıfır gün açığını kapatmıştı.
Siber güvenlik uzmanları, saldırıların hâlen aktif olduğunu ve özellikle güncelleme yapmamış sistemlerin büyük risk altında bulunduğunu belirtiyor. Uzmanlar, kurumların sadece güncelleme yapmakla kalmayıp sistemlerini düzenli olarak izlemeleri gerektiğini vurguluyor.
