Microsoft’un, özellikle kamu kurumları ve işletmeler tarafından dosya paylaşımında yaygın olarak kullanılan SharePoint sunucu yazılımına yönelik gerçekleştirdiği küresel siber saldırı, önemli bir güvenlik tehdidi oluşturuyor. 18 Temmuz 2025’te başlayan ve sıfırıncı gün açığı (zero-day) olarak sınıflandırılan bu saldırı, daha önce tespit edilmemiş bir güvenlik açığından faydalanılarak düzenlendi. Britanya merkezli siber güvenlik firması Sophos’un Tehdit İstihbaratı Direktörü Rafe Pilling, saldırının sistematik yöntemlere dayanarak tek bir aktör tarafından gerçekleştirildiğini, ancak durumun hızla değişebileceğini ifade etti. Microsoft, 19 Temmuz’da yaptığı açıklamada, yalnızca şirket içi (on-premises) SharePoint sunucularının etkilendiğini, Microsoft 365 bulut tabanlı SharePoint Online’ın ise bu saldırıdan etkilenmediğini belirtti. FBI, saldırılar hakkında bilgi sahibi olduklarını ve federal ile özel sektör ortaklarıyla iş birliği yürüttüklerini ifade ederken, detay vermekten kaçındı. Uzmanlar, 8.000’den fazla sunucunun mevcut durumda risk altında olabileceğini vurguladı.
SALDIRININ KAPSAMI VE ETKİLERİ
Shodan arama motorunun verilerine göre, dünya genelinde 8.000’den fazla internete bağlı sunucunun bu saldırıdan etkilenmiş olabileceği tahmin ediliyor. Bu sunucular arasında büyük sanayi şirketleri, bankalar, denetim firmaları, sağlık kuruluşları, ABD eyalet hükümet birimleri ve uluslararası devlet kurumları yer almakta. Britanya merkezli siber güvenlik danışmanlığı firması PwnDefend’den Daniel Card, “SharePoint olayı, dünya genelinde çok çeşitli sunucularda geniş çaplı bir güvenlik ihlaline yol açtı,” diyerek durumu ciddiyetle değerlendirdi. Saldırganlar, aynı dijital yükü (payload) birden fazla hedefe göndererek organize bir saldırı yöntemi benimsediler.
SIFIRINCI GÜN AÇIĞI VE TEKNİK DETAYLAR
Sıfırıncı gün açığı olarak sınıflandırılan bu güvenlik açığı, siber güvenlik araştırmacıları tarafından daha önce bilinmiyordu ve CVE-2025-53770 koduyla tanımlandı. Saldırganlar, SharePoint sunucularındaki bu açığı kullanarak yetkisiz erişim sağladı ve uzaktan kod çalıştırma (RCE) yeteneği elde ettiler. Bu durum, sistemlerin dosya yapılarına ve iç yapılandırmalarına tam erişim sağlama imkânı sundu. Microsoft, Temmuz 2025 Patch Tuesday güncellemelerinde bu açığın bazı varyantlarını (CVE-2025-49704 ve CVE-2025-49706) kısmen ele almış olsa da, yeni tespit edilen açık, önceki yamaları aşan bir yapıya sahip. Uzmanlar, saldırganların çaldıkları kriptografik anahtarlarla (ValidationKey ve DecryptionKey) sistemlere kalıcı erişim sağladığını ve yalnızca yama uygulamanın yeterli olmadığını belirtiyor.
MİCROSOFT’UN YANITI VE ÖNERİLEN ÖNLEMLER
Microsoft, 19 Temmuz 2025’te SharePoint Subscription Edition ve SharePoint 2019 için güvenlik güncellemeleri yayınladığını duyurdu. Ancak SharePoint 2016 için henüz bir güncelleme bulunmamakta ve şirket, bu sürüm için yamaların geliştirildiğini bildirdi. Microsoft, müşterilerine Antimalware Scan Interface (AMSI) entegrasyonunu etkinleştirmeleri ve tüm SharePoint sunucularında Microsoft Defender Antivirus kullanmaları önerisinde bulundu. AMSI’nin etkinleştirilemediği durumlarda, sunucuların internet bağlantısının kesilmesi gerektiği vurgulandı. Ayrıca, sistem yöneticilerinin potansiyel ihlalleri tespit etmek amacıyla kapsamlı günlük kaydı ve tehdit avcılığı yapmaları öneriliyor. Microsoft, etkilenen sistemlerdeki kriptografik anahtarların değiştirilmesinin kritik olduğunu, aksi halde yamaların tam koruma sağlamayabileceğini açıkladı.
KÜRESEL TEPKİ VE FBI’IN ROLÜ
Saldırılar, ilk olarak Hollanda merkezli siber güvenlik firması Eye Security tarafından 18 Temmuz’da tespit edildi ve ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından hızla ele alındı. CISA, CVE-2025-53770’i Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekleyerek federal kurumlara 21 Temmuz’a kadar önlem almaları talimatını verdi. FBI, 20 Temmuz’da yaptığı açıklamada, saldırıların farkında olduklarını ve federal ile özel sektör ortaklarıyla iş birliği yaptıklarını belirtti, ancak daha fazla bilgi vermekten kaçındı. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) henüz bir açıklama yapmadı. Uzmanlar, bu tür saldırıların veri hırsızlığıyla sınırlı kalmayıp, fidye yazılımı veya hizmet kesintisi gibi daha ciddi sonuçlara yol açabileceğine dikkat çekiyor.
KURUMLAR İÇİN ÖNERİLER VE GELECEK RİSKLER
Siber güvenlik uzmanları, özellikle Microsoft gibi yaygın kullanılan platformlarda sıfırıncı gün açıklarının önemli bir tehdit oluşturduğunu belirtiyor. PwnDefend’den Daniel Card, “İhlal varsayımı yaklaşımını benimsemek mantıklı olacaktır ve yalnızca yama uygulamanın yeterli olmadığını anlamak önemlidir,” diyerek sistemlerin derinlemesine incelenmesi gerektiğini vurguladı. Uzmanlar, SharePoint sunucularının genellikle Outlook, Teams ve OneDrive gibi temel hizmetlerle bağlantılı olduğunu, bu nedenle bir ihlalin ağ genelinde veri hırsızlığı, parola toplama ve yanal hareket gibi ciddi sonuçlara yol açabileceğini belirtiyor. Rafe Pilling, saldırının şu an için tek bir aktör tarafından gerçekleştirildiğini, ancak benzer yöntemlerin diğer aktörler tarafından hızla benimsenebileceğini ifade etti.
