Windows 11 Pwn2Own Berlin 2026-da Kiberhücuma Məruz Qaldı

Hadisənin Xülasəsi

Hər il keçirilən və dünyanın ən prestijli kiber təhlükəsizlik tədbirlərindən biri hesab olunan Pwn2Own yarışması, 2026-cı ildə Berlində texnologiya nəhənglərini bir daha çətin bir sınaqdan keçirdi. Tədbirin ilk günündə dünyanın dörd bir yanından gələn etik hakerlər və təhlükəsizlik tədqiqatçıları, ən populyar proqram təminatlarındakı naməlum təhlükəsizlik boşluqlarını tapmaq üçün gərgin mübarizə apardılar. Günün sonunda ən çox diqqət çəkən hədəflər isə Microsoft-un flaqman əməliyyat sistemi Windows 11 və geniş yayılmış veb brauzeri Microsoft Edge oldu. Tədqiqatçılar, bu iki proqram təminatı üzərində cəmi 24 ədəd unikal və daha əvvəl heç bilinməyən təhlükəsizlik zəifliyi (sıfır-gün) aşkar etməyi bacardılar. Bu uğurlu müdaxilə cəhdləri onlara ümumilikdə 523.000 ABŞ dolları məbləğində pul mükafatı qazandırdı.

Pwn2Own, pis niyyətli bir kiberhücum simulyasiyası deyil. Əksinə, "məsuliyyətli açıqlama" (responsible disclosure) prinsipi ilə işləyən, konstruktiv bir tədbirdir. Tədqiqatçılar, tapdıqları zəiflikləri ictimaiyyətə açıqlamazdan əvvəl, müvafiq proqram təminatı şirkətinə (bu vəziyyətdə Microsoft) ətraflı bir hesabatla təqdim edirlər. Bu sayədə şirkətlər, kibercinayətkarlar bu boşluqları kəşf etmədən əvvəl lazımi yamaları və yeniləmələri hazırlamaq fürsəti əldə edirlər. Buna görə də, Pwn2Own Berlin 2026-da baş verənlər bir fəlakət xəbəri olmaqdan daha çox, milyonlarla istifadəçinin gələcəkdəki potensial kiberhücumlara qarşı daha təhlükəsiz olmasını təmin edən mühüm bir addımdır.

Sızdırılan Məlumatlar və Miqyası

Bu hadisə, klassik bir məlumat sızıntısından fərqli bir quruluşa malikdir. Burada sızdırılan, istifadəçilərin şəxsi məlumatları, parolları və ya maliyyə məlumatları deyil. Sızdırılan əsas şey, proqram təminatının özündəki kritik zəiflik məlumatlarıdır. Tədbirin təbiəti etibarilə, tədqiqatçılar sistemlərə daxil olduqda heç bir istifadəçi məlumatını oğurlamır və ya kopyalamırlar. Onların məqsədi, yalnız sistemin idarəsini ələ keçirə bildiklərini sübut etməkdir. Bu səbəbdən, son istifadəçilərin bu tədbirə görə məlumatlarının oğurlandığına dair narahat olmasına ehtiyac yoxdur.

Ancaq hadisənin miqyası olduqca genişdir. Aşkar edilən 24 sıfır-gün zəifliyi, Windows 11 əməliyyat sistemini və Microsoft Edge brauzerini istifadə edən dünya üzrə yüz milyonlarla cihazın potensial olaraq risk altında olduğunu göstərmişdir. Əgər bu zəifliklər Pwn2Own kimi nəzarətli bir mühitdə deyil, kibercinayətkarlar tərəfindən kəşf edilsəydi, nəticələri çox ağır ola bilərdi. Fidyə proqramları, casus proqramlar və ya geniş miqyaslı məlumat oğurluqları üçün bir qapı açıla bilərdi. Bu baxımdan, tədbir sayəsində qabaqlayıcı bir təhlükəsizlik addımı atılmış və geniş miqyaslı bir fəlakətin qarşısı alınmışdır.

Hücumun Texniki Tərəfi

Pwn2Own-da nümayiş etdirilən hücumlar yüksək səviyyədə texniki bacarıq və yaradıcılıq tələb edir. Tədqiqatçıların istifadə etdiyi bəzi əsas texniki terminləri və mənalarını bu şəkildə izah edə bilərik:

• Sıfır-gün Zəifliyi (Zero-Day Vulnerability): Bu termin, proqram təminatı istehsalçısının hələ xəbərdar olmadığı və buna görə də bir yamasının olmadığı təhlükəsizlik boşluqlarını ifadə edir. Hücumçular bu boşluqları kəşf etdikdə, şirkətlərin müdafiə olunmaq üçün "sıfır günü" qalmış olur. Pwn2Own-da tapılan 24 zəifliyin hamısı bu kateqoriyaya aiddir.
• Məsafədən Kod İcrası (Remote Code Execution - RCE): Bu, bir hücumçunun hədəf sistemdə, istifadəçinin xəbəri və ya icazəsi olmadan öz istədiyi kodları icra edə bilməsi deməkdir. Adətən bir veb saytını ziyarət etmək və ya zərərli bir faylı açmaq kimi sadə bir hərəkətlə tətiklənə bilər. RCE, hücumçulara sistem üzərində tam nəzarət imkanı verən ən təhlükəli zəiflik növlərindən biridir.
• İmtiyazların Artırılması (Privilege Escalation): Hücumçular bir sistemə ilk daxil olduqda adətən standart bir istifadəçi səlahiyyətinə malik olurlar. İmtiyazların artırılması hücumu, bu məhdud girişi sistem administratoru kimi ən yüksək səviyyəli səlahiyyətlərə çıxarmaq üçün istifadə olunur. Bu əldə edildikdə, hücumçu sistemdəki hər fayla daxil ola bilər, parametrləri dəyişdirə və digər istifadəçilərə təsir edə bilər.
• Sandbox Qaçışı (Sandbox Escape): Müasir veb brauzerlər və tətbiqlər, potensial olaraq təhlükəli kodları "sandbox" adlanan təcrid olunmuş bir mühitdə işlədir. Bu, kodun ana əməliyyat sisteminə zərər verməsinin qarşısını alır. Sandbox qaçışı, bu təcrid olunmuş mühitdən kənara çıxıb ana sistemə giriş əldə etməyi bacaran mürəkkəb bir hücum növüdür.

Pwn2Own Berlin 2026-dakı tədqiqatçılar, bu texnikaları birləşdirərək mürəkkəb hücum zəncirləri yaratmış və həm Windows 11-in əsas komponentlərini, həm də Microsoft Edge-in təhlükəsizlik mexanizmlərini aşmağı bacarmışlar.

Təsirə Məruz Qalan İstifadəçilər Kimlərdir

Nəzəri olaraq, Windows 11 əməliyyat sistemini və ya Microsoft Edge veb brauzerini istifadə edən bütün fərdi və korporativ istifadəçilər bu təhlükəsizlik boşluqlarından təsirlənə bilərdi. Bu, ev istifadəçilərindən kiçik müəssisələrə, böyük şirkətlərdən dövlət qurumlarına qədər çox geniş bir kütləni əhatə edir. Ancaq bu zəifliklərin məsuliyyətli bir şəkildə Microsoft-a bildirilməsi sayəsində, praktik mənada birbaşa təsirlənən və ya zərər görən bir istifadəçi kütləsi yoxdur. Əsas vacib olan, bu zəifliklərin artıq ictimaiyyət tərəfindən (və daha da əhəmiyyətlisi Microsoft tərəfindən) bilinməsidir. Bu vəziyyət, Microsoft-u ən qısa zamanda bir təhlükəsizlik yeniləməsi yayımlamağa məcbur edir.

Nə Etməlisiniz

Bu hadisə son istifadəçilər üçün bir təşviş səbəbi olmasa da, kiber təhlükəsizlik məlumatlılığının nə qədər vacib olduğunu bir daha xatırladır. Budur atmanız lazım olan addımlar:

1. Yeniləmələri Açıq Saxlayın: Ən kritik addım budur. Windows Update funksiyanızın avtomatik olaraq işləyəcək şəkildə qurulduğundan əmin olun. Microsoft bu zəifliklər üçün yamaları yayımladıqda, sisteminiz bu yeniləmələri avtomatik olaraq endirib quraşdıracaq.
2. Etibarlı Təhlükəsizlik Proqramından İstifadə Edin: Keyfiyyətli bir antivirus və ya internet təhlükəsizliyi proqramı, bilinən təhdidlərə qarşı əlavə bir qoruma təbəqəsi təmin edir.
3. Diqqətli Olun: Şübhəli e-poçtlardakı linklərə klikləməkdən və ya naməlum mənbələrdən fayl yükləməkdən çəkinin. Sıfır-gün zəiflikləri adətən bu cür sosial mühəndislik taktikaları ilə birlikdə istifadə olunur.
4. Keçmiş Sızıntıları Yoxlayın: Bu hadisə yeni zəiflikləri ortaya çıxararkən, məlumatlarınızın keçmişdə sızdırılıb sızdırılmadığını bilmək də vacibdir. Bir Məlumat Sızıntısı Sorğusu vasitəsindən istifadə edərək e-poçt ünvanınızın və ya digər şəxsi məlumatlarınızın əvvəlki sızıntılarda yer alıb almadığını yoxlaya bilərsiniz.
5. Məlumatlanın: Kiber təhlükəsizlik dünyasındakı inkişafları izləmək, sizi gələcəkdəki təhdidlərə qarşı daha hazırlıqlı edir. Etibarlı mənbələrdən mütəmadi olaraq Məlumat Sızıntısı Xəbərləri oxumaq yaxşı bir vərdişdir.

Şirkətin Açıqlaması

Microsoft, Pwn2Own kimi tədbirlərə hər zaman müsbət yanaşan və təhlükəsizlik tədqiqatçıları ilə sıx əməkdaşlıq edən bir şirkətdir. Tədbirdən sonra Microsoft-dan gözlənilən standart açıqlama, tədqiqatçılara tapıntıları üçün təşəkkür etmək və aşkar edilən bütün zəiflikləri təsdiqləmək üçün çalışdıqlarını bildirməkdir. Şirkət, adətən növbəti Yama Çərşənbə Axşamı (Patch Tuesday) dövründə və ya kritik vəziyyətlərdə daha erkən bir təcili yeniləmə (out-of-band update) ilə bu boşluqları aradan qaldıracaq yamaları yayımlayacağını elan edir. Microsoft-un bu proaktiv yanaşması, ekosistemlərini daha təhlükəsiz etmək mövzusundakı qətiyyətlərini göstərir və Pwn2Own tədbirinin əsas məqsədinə xidmət edir.

Kaynak

https://www.bleepingcomputer.com/news/security/windows-11-and-microsoft-edge-hacked-on-first-day-of-pwn2own-berlin-2026/