Rapid7: 8.500'den Fazla Yeni Zafiyet Güvenlik Ekiplerini Zorluyor

Rapid7 tarafından yayınlanan 2026 2. Çeyrek Tehdit Ortamı Raporu, siber güvenlik dünyasındaki yama yönetiminin artık sürdürülemez bir noktaya geldiğini gözler önüne seriyor.

Saldırganlar, yeni açıklanan zafiyetleri test etmek ve bunları birer silaha dönüştürmek için artık çok daha donanımlı. Özellikle halka açık proof-of-concept (PoC) kodlarının bulunduğu zafiyetlerin sayısı, 2025'in ikinci çeyreğine kıyasla %76 oranında artış gösterdi. Rapid7 Labs Başkan Yardımcısı Christiaan Beek, güvenlik ekiplerinin sadece CVSS puanlarına göre yama yaparak güvende olduklarını düşünmelerinin bir yanılsama olduğunu belirterek, saldırganların otomatize edilmiş saldırı zincirleri karşısında geleneksel yama döngülerinin yetersiz kaldığını vurguladı.

Raporda öne çıkan bir diğer veri, yeni istismar edilen zafiyetlerin %62'sinin ağ üzerinden istismar edilebilir olması. Bu açıklar, kurbanın herhangi bir dosyayı açmasına veya bir bağlantıya tıklamasına gerek kalmadan, kimlik doğrulaması bile gerektirmeden sisteme sızılmasına olanak tanıyor. Özellikle VPN sistemleri, uzaktan erişim ağ geçitleri, web sunucuları ve router cihazları gibi internete açık altyapıların, saldırganlar için birincil giriş noktası olduğu belirtiliyor.

Saldırganlar teknik açıkların yanı sıra insan faktörünü de yoğun şekilde kullanıyor. Fake CAPTCHA ve ClickFix gibi teknikler, tüm olay müdahale vakalarının %31,8'ini oluşturuyor. Ayrıca Microsoft Teams üzerinden yürütülen sosyal mühendislik kampanyaları, çalışanları güvenilir bir iş aracı üzerinden tuzağa düşürmeyi hedefliyor. Ransomware tarafında ise ABD, 881 vaka ile listenin başında yer alırken, sağlık ve iş hizmetleri sektörleri en çok hedeflenen alanlar olarak öne çıkıyor.

SSL-VPN sistemlerinin düzenli yamalanması, kimlik bilgilerinin rotasyonu ve uzaktan erişim yollarında MFA (Çok Faktörlü Kimlik Doğrulama) zorunluluğu, saldırı yüzeyini daraltmak için atılması gereken temel adımlar arasında yer alıyor.