Pwn2Own 2026'da Windows 11 və Exchange Kırıldı
Pwn2Own Berlin 2026 tədbirinin ikinci günündə kiber təhlükəsizlik tədqiqatçıları Windows 11, Microsoft Exchange və Red Hat Enterprise Linux sistemlərində 15 unikal sıfır-gün (zero-day) zəifliyi aşkar etdilər. Bu uğurlarına görə ümumilikdə 385,750 dollar mükafat qazandılar.
Hadisənin Xülasəsi
Kiber təhlükəsizlik dünyasının ən prestijli tədbirlərindən biri olan Pwn2Own, 2026-cı ildə Berlində yenə də nəfəskəsən anlara səhnə oldu. Tədbirin ikinci günündə, dünyanın dörd bir yanından gələn etik hakerlər (təhlükəsizlik tədqiqatçıları), ən çox istifadə olunan proqram təminatlarındakı naməlum təhlükəsizlik boşluqlarını tapmaq üçün gərgin mübarizə apardılar. 15 may 2026-cı il tarixində baş tutan yarışmada, Microsoft-un flaqman əməliyyat sistemi Windows 11, korporativ e-poçt serveri Microsoft Exchange və Red Hat Enterprise Linux kimi kritik sistemlərdə cəmi 15 yeni və əvvəllər naməlum olan (zero-day) təhlükəsizlik boşluğu uğurla istismar edildi. Bu kritik tapıntıları ortaya çıxaran tədqiqatçılar, Trend Micro-nun Zero Day Initiative (ZDI) proqramı tərəfindən ümumilikdə 385,750 dollarlıq rekord bir mükafatla təltif edildilər.
Pwn2Own Nədir və Niyə Vacibdir?
Pwn2Own, kiber təhlükəsizlik tədqiqatçılarını populyar proqram və avadanlıqlarda əvvəllər kəşf edilməmiş təhlükəsizlik boşluqlarını tapıb nümayiş etdirməyə həvəsləndirən bir haker yarışmasıdır. İlk dəfə 2007-ci ildə keçirilən bu tədbir, adını "own" (ələ keçirmək) və "pwn" (oyun jarqonunda "own" sözünün bir variantı) sözlərindən alır. Yarışmanın əsas məqsədi, pis niyyətli hakerlər bu boşluqları kəşf etməmişdən əvvəl etik hakerlərin onları tapmasını təmin etmək və istehsalçı şirkətlərə bu boşluqları aradan qaldırmaları üçün məlumat verməkdir. Bu prosesə "məsuliyyətli açıqlama" (responsible disclosure) deyilir. ZDI, tapılan hər bir təhlükəsizlik boşluğu üçün tədqiqatçılara on minlərlə dollar ödəyir və sonra bu məlumatı gizli şəkildə müvafiq proqram təminatı şirkətinə (məsələn, Microsoft, Red Hat) ötürür. Şirkətlərin bu boşluqları aradan qaldırmaq üçün adətən 90 ilə 120 gün arasında bir müddəti olur. Bu sayədə milyonlarla istifadəçiyə təsir edə biləcək potensial təhlükələr proaktiv şəkildə aradan qaldırılmış olur.
Hücumun Texniki Tərəfi və "Sıfır-Gün" Zəifliyi
Bu tədbirdə diqqət çəkən ən vacib anlayış "sıfır-gün" (zero-day) zəifliyidir. Sıfır-gün zəifliyi, proqram tərtibatçısının və ya ictimaiyyətin hələ xəbərdar olmadığı bir təhlükəsizlik boşluğudur. Bu o deməkdir ki, təcavüzkarlar bu boşluqdan faydalanmaq üçün bir "eksploit" (istismar kodu) hazırlasalar, proqram təminatı şirkətinin bu hücumu dayandıracaq bir yama və ya yeniləmə yayımlamaq üçün "sıfır günü" var. Pwn2Own-da nümayiş etdirilən 15 zəifliyin hamısı bu kateqoriyaya aid idi, yəni Microsoft və Red Hat kimi nəhəng şirkətlərin belə bu təhlükəsizlik boşluqlarından xəbəri yox idi.
E-poçtunuz sızdırılıb? Pulsuz yoxlayın — saniyələr içində nəticə.
İndi Yoxla →Yarışmada nümayiş etdirilən bəzi mühüm istismarlar bunlardır:
- Windows 11: Tədqiqatçılar, Windows 11-in nüvəsində yerləşən və sistemdə ən yüksək səlahiyyətlərə (SYSTEM) çıxış imkanı verən kritik bir boşluq tapdılar. Bu cür bir boşluq, təcavüzkarın kompüterə tam nəzarəti ələ keçirməsinə, istədiyi proqramı işə salmasına, faylları silməsinə və ya yeni istifadəçilər yaratmasına imkan verir.
- Microsoft Exchange: Ən narahatedici tapıntılardan biri, Microsoft Exchange serverində kəşf edilən və uzaqdan kod icrasına (Remote Code Execution - RCE) imkan verən bir zəiflik zənciri idi. Bu, təcavüzkarın heç bir istifadəçi müdaxiləsi və ya giriş məlumatına ehtiyac duymadan, internet vasitəsilə Exchange serverinə daxil olaraq bütün e-poçtları oxuya, dəyişdirə və ya serveri tamamilə ələ keçirə biləcəyi deməkdir.
- Red Hat Enterprise Linux (RHEL): Korporativ dünyada geniş istifadə olunan bu əməliyyat sistemində də imtiyazların artırılması (privilege escalation) zəifliyi aşkar edildi. Bu, sistemə aşağı səlahiyyətli bir istifadəçi kimi daxil olan bir təcavüzkarın bu boşluqdan istifadə edərək özünü ən yüksək səlahiyyətli istifadəçi (root) səviyyəsinə qaldırmasını təmin edir.
Kimlər Təsir Altındadır?
Kəşf edilən bu zəifliklər potensial olaraq çox geniş bir istifadəçi kütləsinə təsir edir. Təsirə məruz qalan əsas qruplar bunlardır:
- Fərdi Windows 11 İstifadəçiləri: Dünyadakı milyonlarla fərdi kompüter və noutbuk istifadəçisi, əməliyyat sistemlərindəki bu kritik boşluqlar səbəbindən risk altındadır.
- Korporativ Şirkətlər: Microsoft Exchange serverlərindən istifadə edən şirkətlər, e-poçt kommunikasiyalarının, həssas məlumatlarının və daxili şəbəkələrinin təhlükəsizliyi ilə bağlı ciddi bir təhdidlə üz-üzədirlər.
- Məlumat Mərkəzləri və Serverlər: Red Hat Enterprise Linux istifadə edən təşkilatlar, xüsusilə server infrastrukturlarında icazəsiz giriş və məlumat sızması riski daşıyırlar.
Bu cür hadisələr haqqında güncəl məlumat sahibi olmaq, kiber təhlükəsizlik mövqeyini gücləndirmək üçün kritik əhəmiyyətə malikdir. Mütəmadi olaraq Məlumat Sızıntısı Xəbərləri mənbələrini izləmək həm fərdi istifadəçilər, həm də təşkilatlar üçün proaktiv bir müdafiə strategiyasının əsasını təşkil edir.
Nə Etməlisiniz?
Pwn2Own-da kəşf edilən zəifliklər, məsuliyyətli açıqlama prosesi çərçivəsində dərhal müvafiq şirkətlərə bildirildiyi üçün hazırda təşvişə düşməyə ehtiyac yoxdur. Ancaq həm fərdi istifadəçilərin, həm də sistem administratorlarının atması lazım olan vacib addımlar var:
- Yeniləmələri İzləyin: Microsoft və Red Hat, bu təhlükəsizlik boşluqlarını aradan qaldırmaq üçün yaxın həftələr və ya aylar ərzində təhlükəsizlik yamaları yayımlayacaqlar. Əməliyyat sisteminizi və proqramlarınızı hər zaman güncəl saxlayın.
- Firewall və Antivirusdan İstifadə Edin: Güclü bir firewall və güncəl antivirus proqramı, naməlum təhdidlərə qarşı əlavə bir qoruma təbəqəsi təmin edir.
- Əsas Təhlükəsizlik Tədbirlərinə Əməl Edin: Şübhəli e-poçtlardakı linklərə klikləməkdən və ya naməlum mənbələrdən fayl yükləməkdən çəkinin. Güclü və unikal parollardan istifadə edin və mümkün olan hər yerdə çoxfaktorlu autentifikasiyanı (MFA) aktivləşdirin.
Şirkətlərin Açıqlaması
Yarışmanın təbiəti etibarilə, Microsoft və Red Hat kimi şirkətlər, zəifliklər onlara ZDI tərəfindən xüsusi olaraq bildirildiyi üçün hələ ictimaiyyətə bir açıqlama verməmişdir. Bu şirkətlər, ZDI tərəfindən onlara verilən müddət ərzində mühəndislik qrupları ilə birlikdə çalışaraq bu boşluqları aradan qaldıracaq yamaları hazırlayacaqlar. Yamalar hazır olduqda, adətən aylıq təhlükəsizlik yeniləmə bülletenləri ilə birlikdə istifadəçilərə elan ediləcək və paylanacaqdır.