Kimlik katmanı: 2,6 milyon saldırı, CVSS 10,0'lık tek açık ve 10.218.802 kişilik ihlal

Aynı gün, iki farklı ölçü

16 Eylül 2026, birbirinden bağımsız dört kaydın aynı güne düştüğü bir gün oldu. Tayvan Dijital İşler Bakanı Lin Yi-jing Washington temaslarında ülkesinin günde yaklaşık 2,6 milyon siber saldırıyla karşılaştığını söyledi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, Cisco Identity Services Engine ürünündeki CVE-2026-76460 numaralı açığı, CVSS ölçeğinde 10 üzerinden 10 puanla Bilinen Sömürülen Açıklar kataloğuna aldı. Kişisel Verileri Koruma Kurumu 2026/2039 sayılı kararıyla 12 şirketin veri ihlali bildirimini yayımladı; sayısı belirlenebilen 11 şirkette 10.218.802 kişi etkilendi. CloudSEK ise Orta Doğu'yu hedef alan fidye yazılımı faaliyetinin Nisan 2025'teki 17 tehdit istihbaratı kaydından Haziran 2026'da 357 kayda, yani 20 kattan fazla arttığını raporladı.

Bu dört rakam aynı ölçeğin üzerinde durmuyor. 2,6 milyon bir hacim ölçüsüdür; bakanlığın kendi ölçümüne dayanıyor ve üçüncü bir tarafça teyit edilmiş değil. Hacim, otomatik tarama trafiğini de içerdiği için savunma bütçesinin gerekçesi olabilir, ancak kırılma noktasını göstermez. CVSS 10,0 ise yapısal bir ölçüdür: kimliği doğrulanmamış uzaktaki bir saldırganın hazırlanmış tek bir istekle web tabanlı yönetim arayüzündeki kimlik doğrulamayı atlaması ve kök yetkisiyle komut çalıştırması anlamına gelir. 10.218.802 kişilik toplam da benzer biçimde eşik aşan bir ölçüdür: tek bir Kurul kararında toplanan bu sayı, olayı teknik bir vaka olmaktan çıkarıp düzenleyici bir dosyaya dönüştürür.

Hedef artık kimliğin kendisi

CVE-2026-76460, Cisco ISE'de ayrıcalıklı API'lerin hatalı kullanımından kaynaklanıyor. BleepingComputer'a göre 3.1, 3.2, 3.3, 3.4 ve 3.5 sürümleri ile ISE Passive Identity Connector etkileniyor; düzeltmeler 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 ve 3.5 Patch 4 ile geldi. Geçici bir çözüm bulunmuyor; SecurityWeek, yama uygulanana kadar altyapı erişim kontrol listeleriyle uzaktan sömürünün engellenebileceğini yazdı. Cisco'nun ürün güvenliği müdahale ekibi PSIRT aktif sömürüyü doğruladı, saldırganı adlandırmadı. CISA aynı uyarıda Acronis Backup ürünündeki CVE-2026-87886 numaralı hatalı varsayılan izin açığını da kataloğa ekledi.

Buradaki fark ürünün işlevinde. ISE, kurumsal ağlarda kimin hangi kaynağa erişeceğini belirleyen merkezî bileşendir; ele geçirilmesi tek bir sunucunun değil, erişim kararının tamamının saldırgana geçmesi demektir. Aynı haftanın diğer kayıtları da bu katmanı işaret ediyor: KVKK bildirimlerinde bazı şirketlerde özetlenmiş giriş ve parola bilgilerinin sızdığı kaydedildi, CloudSEK'in incelediği dokuz zafiyetin ortalama CVSS puanı 9,2 olarak hesaplandı, Tayvan tarafında ise gündem post-kuantum kriptografi ve kimlik doğrulama başlıklarına kaydı. Saldırı yüzeyi uç noktadan kimlik ve erişim katmanına taşınıyor; bu katmanda tek bir hata çevre savunmasının tamamını anlamsız kılıyor. Tarihlerde kaynaklar ayrışıyor: CISA'nın uyarısı 16 Eylül tarihliyken SecurityWeek hem Cisco bültenini hem KEV eklemesini 17 Eylül olarak verdi; bu ayrışma bağımsız olarak doğrulanamadı.

Türkiye: hem kurban hem yoğunlaşma noktası

KVKK'nın listesindeki en büyük ihlal, Eve Kozmetik markasını işleten Yeni Mağazacılık A.Ş.'de yaşandı: 6.263.305 müşterinin ad, soyad, e-posta ve telefon bilgisi etkilendi. Onu 2.298.726 kişiyle Shaya Mağazacılık ve 1.271.096 kişiyle Deniz Deniz Butik Tekstil izledi; listenin kalanı 133.991'den 695'e inen daha küçük bildirimlerden oluşuyor ve İnternet Tekstil için sayı henüz belirlenemedi. Bildirimlerde öne çıkan ortak neden, üçüncü taraf yazılım kütüphanesindeki zafiyetin istismarı. Bu 12 olayın tek bir kampanyanın parçası olup olmadığı bağımsız olarak doğrulanamadı; ancak ortak nedenin tekrar etmesi, tek bir bileşenin onlarca şirketi aynı anda açığa düşürebildiğini gösteriyor.

Bölgesel tablo aynı yöne bakıyor. CloudSEK'in Nisan 2025 ile 31 Ağustos 2026 arasını kapsayan raporunda İsrail 7.112 kayıtla ilk sırada; Türkiye ikinci, ardından İran, Birleşik Arap Emirlikleri ve Suudi Arabistan geliyor. BAE için 2.588, Suudi Arabistan için 1.880 faaliyet göstergesi kaydedildi; bölgesel hacktivist faaliyetin yüzde 37,8'i İsrail'i hedef aldı. The National'a göre Türkiye, fidye yazılımı hedeflemesinde bölgede ilk sırada; öne çıkan sektörler imalat, inşaat, savunma ve lojistik. Yani Türkiye toplam tehdit hacminde ikinci, finansal amaçlı şifreleme saldırılarında birinci. Bu ayrışma, saldırganların Türkiye'yi siyasi hedef olmaktan çok ödeme kapasitesi olan bir sanayi ağı olarak gördüğüne işaret ediyor. Toplam faaliyetin en yoğun olduğu ay ise 2.245 kayıtla Mart 2026 oldu.

Savunma kurumsal kapasiteye göre ayrışıyor

Asıl kırılma, tehdidin değil savunmanın dağılımında. CISA federal sivil yürütme kurumlarına açığı 3 gün içinde kapatma yükümlülüğü getirdi; bu süre BOD 26-04 direktifinden geliyor ve yalnızca federal kurumları bağlıyor. Aynı ürünü çalıştıran enerji, sağlık, telekom ve finans operatörleri için bağlayıcı bir takvim yok. KVKK listesindeki şirketler ise ölçeğin diğer ucunda: perakende ve tekstil ağırlıklı, 695 kişilik bildirimden 6,3 milyonluk bildirime uzanan, çoğu kendi güvenlik ekibi olmayan orta ölçekli işletmeler. Aynı zafiyet sınıfı, kurumsal kapasiteye göre üç gün ile aylar arasında değişen bir yama süresiyle karşılanıyor.

Saldırı tarafındaki maliyet ise düşüyor. CloudSEK, MuddyWater'ın saldırı aracı geliştirmede Google'ın Gemini modelini, APT42'nin oltalama mesajı üretmede yapay zekâyı kullandığını bildirdi; Lin de saldırganların yapay zekâyı saldırıları daha verimli kılmak için kullanmaya başladığını söyledi. BAE'de günlük hackleme girişimi savaş öncesindeki 200.000 seviyesinden yaklaşık 800.000'e çıktı ve bir saldırgan özel bir şirketten 5 milyon doların üzerinde fidye istedi. Hazırlık maliyeti düşerken yama maliyeti sabit kalıyor; makas bu iki eğri arasında açılıyor. Tayvan bu makası devlet düzeyinde kapatmaya çalışıyor: OpenAI ile zafiyet tespiti, Meta ile kimlik doğrulama ve dolandırıcılık önleme, Amazon ile uydu haberleşmesi görüşüldü. Ancak iki kaynakta da bağlayıcı bir anlaşmadan söz edilmiyor; somut bir mutabakat metni bağımsız olarak doğrulanamadı.

Ne izlenmeli

Üç gösterge belirleyici. Birincisi, KEV kataloğuna eklenen kimlik ve erişim yönetimi ürünlerine ait açıkların sayısı; CVE-2026-76460'ın tekil bir vaka mı yoksa bir sınıfın ilk örneği mi olduğunu bu seri gösterecek. İkincisi, KVKK'nın izleyen kamuoyu duyurularında üçüncü taraf yazılım kütüphanesi gerekçesinin tekrar edip etmediği; tekrar ederse 10.218.802 rakamı tavan değil taban olur. Üçüncüsü, aylık bölgesel fidye yazılımı kaydının Haziran 2026'daki 357 seviyesine göre seyri. Bu raporda siber olayların doğrudan ekonomik maliyetine ilişkin bir tahmin verilmemiştir; kamuya yansıyan veri gecikmeli ve kısmidir.