İsviçre Hükümetinin SharePoint Sunucularına Siber Saldırı Düzenlendi

İsviçre hükümeti, Microsoft SharePoint altyapısını hedef alan bir siber saldırının yaklaşık 200 hesabın ele geçirilmesine yol açtığını açıkladı. Temmuz ayının sonunda tespit edilen olayın ardından yetkililer dış erişimi durdururken etkilenen hesapların parolalarını sıfırladı. SharePoint güvenlik açığı nedeniyle başlatılan inceleme sürerken saldırganların hangi zafiyetten yararlandığı ise henüz kesinleşmedi.

Güvenlik Açıkları İncelemenin Odağında Yer Alıyor

İsviçre Federal Bilgi Teknolojileri ve Telekomünikasyon Ofisi (BIT), güvenlik uzmanlarının 28 Temmuz’da SharePoint sunucularında olağan dışı hareketler tespit ettiğini duyurdu. Kurum, ilk müdahalenin ardından internet üzerinden SharePoint erişimini kapattı, Microsoft tarafından yayınlanan güvenlik yamalarını uyguladı, risk altındaki kullanıcı hesaplarının kimlik bilgilerini yeniledi. Kurumun yaptığı analize göre yaklaşık 200 hesabın oturum açma bilgileri saldırganların eline geçti. Doğrudan cevap vermek gerekirse olayda şu ana kadar doğrulanan ihlal, kullanıcı kimlik bilgilerinin ele geçirilmesi olarak öne çıkıyor.

İlk değerlendirmeler, saldırının Microsoft’un temmuz ayında kapattığı SharePoint açıklarından biriyle ilişkili olabileceğini gösteriyor. Güvenlik araştırmacıları, aktif olarak istismar edilen CVE-2026-56164 ayrıcalık yükseltme açığı ile kritik uzaktan kod çalıştırma zafiyeti CVE-2026-50522 üzerinde duruyor. Microsoft SharePoint güvenlik güncellemesi, söz konusu açıkları Temmuz 2026 Patch Tuesday paketinde kapatmıştı. Kurum ise hangi açığın kullanıldığını doğrulayacak teknik bulguların henüz tamamlanmadığını belirtiyor.

BIT, soruşturmayı İsviçre Federal Siber Güvenlik Ofisi ile Microsoft’un desteğiyle sürdürüyor. Kurumun mevcut bulguları, kimlik bilgilerinin dışında veri sızıntısına işaret eden bir kanıt ortaya koymadı. Yetkililer ayrıca etkilenen SharePoint platformunda gizli devlet belgeleri ile yüksek hassasiyetli kişisel verilerin depolanmasına izin verilmediğini açıkladı. Paylaşılan bilgiye göre SharePoint saldırısı sonrasında fidye yazılımı grupları veya veri gaspı yapan herhangi bir tehdit aktörü de sorumluluğu üstlenmedi.

Kurum, önlem amacıyla etkilenen sunucuları tamamen yeniden kurarken dış erişimi çalışmalar tamamlanıncaya kadar kapalı tutacak. Çalışanlar ise belge paylaşımını alternatif yöntemlerle sürdürmeye devam ediyor. Olay, özellikle hibrit çalışma ortamlarında kullanılan kurumsal iş birliği platformlarının düzenli yama yönetimi ile kimlik koruma politikalarının kritik önem taşıdığını bir kez daha ortaya koyuyor.