usevimli.dev

Haberler

DevOps, yapay zeka, güvenlik ve self-hosted dünyasında öne çıkanlar; her sabah, kaynaklarıyla birlikte özetlenir.

Günün manşetiGüvenlikbleepingcomputer.comAlpine Linux, CVE-2026-97229 istismar girişimi sonrası GitLab'ı yeniden kurduSaldırganlar, GitLab'ın Onigmo regular expression derleyicisindeki kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma açığı CVE-2026-97229'a yönelik kötü niyetli CI yapılandırmaları gönderdi. Alpine'ın sunucusunda sekiz worker çöktü. Alpine, paketlerde ve sürümlerde oynama bulamadı ama kayıtlar eksik olduğu için ihlali dışlayamadı ve sunucuyu sıfırdan kurdu. Kullanıcılar GitLab parolalarını sıfırlamalı ve 27 Ekim'de yayımlanan, Ruby 3.3.13 içeren alpinelinux/gitlab:19.3.6 imajını çekmeli.
RSS

02 Kas 2026

  1. Güvenlikbleepingcomputer.comAlpine Linux, CVE-2026-97229 istismar girişimi sonrası GitLab'ı yeniden kurduSaldırganlar, GitLab'ın Onigmo regular expression derleyicisindeki kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma açığı CVE-2026-97229'a yönelik kötü niyetli CI yapılandırmaları gönderdi. Alpine'ın sunucusunda sekiz worker çöktü. Alpine, paketlerde ve sürümlerde oynama bulamadı ama kayıtlar eksik olduğu için ihlali dışlayamadı ve sunucuyu sıfırdan kurdu. Kullanıcılar GitLab parolalarını sıfırlamalı ve 27 Ekim'de yayımlanan, Ruby 3.3.13 içeren alpinelinux/gitlab:19.3.6 imajını çekmeli.
  2. Güvenlikthehackernews.comLXD ve MicroCloud'taki CVSS 10.0 açık istemci taklidine izin veriyorduCanonical'ın LXD ve MicroCloud yazılımlarındaki kritik bir açık, saldırgana özel anahtar olmadan güvenilir bir istemci olarak giriş yapmayı sağlıyordu. Bunun için saldırganın HTTPS API'ye ağ üzerinden erişmesi ve istemcinin herkese açık sertifikasına sahip olması gerekiyordu. Girişten sonra saldırgan o istemci gibi davranıp kümeye ve sanal makinelerine erişebiliyordu.
  3. Güvenlikbleepingcomputer.comFBI, 6,3 milyar dolarlık Binance hırsızlığını TraderTraitor'a bağladıFBI, Lazarus Group adıyla da bilinen Kuzey Koreli TraderTraitor grubunun 29 Ekim civarında Binance'ten yaklaşık 6,36 milyar dolarlık kripto para çaldığını doğruladı. Paranın büyük kısmı 20 dakikada on blockchain'e taşındı. Saldırı, ele geçirilen bir DevOps mühendisinin bilgisayarından başladı ve saldırganlar bir servis container'ına erişti. FBI, hırsızlıkla ilişkili 628 kripto adresi yayımladı ve borsalara bu adresleri bloke etme çağrısı yaptı. Binance, çalınan tutarın yaklaşık %95'ini karşıladığını ve 1 Kasım'da ilk aşama çekimlerini yeniden açmaya hazırlandığını duyurdu.
  4. Yapay zekashiftdelete.netAçık ağırlıklı GLM 5.3, Firefox'un dağıtılmamış yamalarından çalışan saldırı ürettiEpoch AI araştırmacıları, açık ağırlıklı GLM 5.3 modelinin kullanıcıya ulaşmadan herkese açık kodda görünen Firefox yamalarını çalışan saldırılara çevirebildiğini gösterdi. Kurulan saldırı zincirleri sandbox korumasını aştı ve 17 Eylül ile 26 Ekim arasındaki altı Firefox sürümünün hepsinde yerel dosya okunabildi. Her deneme 12 ile 48 saat sürdü. Mozilla, açığı 27 Ekim'de çıkan Firefox 159.0 ile kapattı. Aynı saldırı Chrome'da yeniden üretilemedi.
  5. Açık kaynaklwn.netLinux 7.2.15, 7.2 kararlı serisinin son sürümü olduGreg Kroah-Hartman, 7.2.15 çekirdeğinin 7.2.y serisinin son sürümü olduğunu duyurdu ve ağacın artık ömrünü tamamladığını belirtti. Aynı anda sekiz kararlı dalı canlı tutmamak için serinin normalden erken kapandığını ekledi. 7.2.y kullanan sistemler 7.3.y'ye geçmeli.
  6. Sürümlergithub.comVaultwarden 1.37.5, site ikonları ve acil durum erişimi düzeltmelerini getiriyorVaultwarden 1.37.5, site ikonları (5.3) ve acil durum erişimi (4.3) alanlarındaki iki orta seviyeli güvenlik açığını kapatıyor. Ayrıntılar CVE atanmasını beklediği için henüz gizli. Güncelleme, web vault 2026.7.1 ve sonrasında iki adımlı girişi açıp kapatmak ile 2026.9.0 ve sonrasında acil durum yoluyla hesap devralmak için de gerekiyor. Paketle gelen web vault artık v2026.10.1 ve geçersiz yapılandırma değerleri başlatmayı hata ile durduruyor.
  7. Türkiyewebtekno.com15 yaş altına sosyal medya yasağı yürürlüğe girdiCumhurbaşkanlığı Siber Güvenlik Başkanlığı'nın hazırladığı yönetmelik 1 Kasım itibarıyla yürürlüğe girdi ve sosyal ağ sağlayıcılarının 15 yaşını doldurmamış çocuklara hizmet sunması yasaklandı. Yaş doğrulaması, yalnızca kullanıcının 15 ve 18 yaşını doldurup doldurmadığını gösteren e-Devlet belirteciyle yapılacak. Kimlik verisi platformlarla paylaşılmayacak. Mevcut hesaplar için doğrulama süresi 31 Mart 2027'ye kadar. Doğrulanmayan hesaplar kapatılıp verileri silinecek. 15-18 yaş için platformlar varsayılan olarak gizlilik ayarları en yüksek seviyede tutulan ayrı bir ağ hizmeti sunmak zorunda.

01 Kas 2026

  1. Güvenlikthehackernews.comLXD ve MicroCloud'ta CVSS 10.0 puanlı istemci taklidi açığıCanonical'ın LXD ve MicroCloud'undaki kritik bir açık, saldırgana özel anahtar olmadan güvenilir bir istemci gibi giriş yapmayı sağlıyordu. Bunun için saldırganın HTTPS API'ye ağ üzerinden erişmesi ve istemcinin public sertifikasına sahip olması gerekiyordu. Girişten sonra saldırgan o istemci gibi davranıyor, kümeye ve sanal makinelerine erişiyordu.
  2. Güvenlikthehackernews.comPolymarket'te ele geçirilen script yatırımcılardan yaklaşık 2,7 milyon dolar çaldıTahmin piyasası Polymarket'in sitesinde, dışarıdan yüklenen bir sayfa hızı scripti (DebugBear) kötü niyetli kodla değiştirildi. 29 Ekim'de kod, oturum açmış bazı yatırımcıların pozisyonlarını sattı ve fonları saldırganlara aktardı. Polymarket etkilenen 726 cüzdana yaklaşık 2,7 milyon dolar iade ediyor.
  3. Güvenlikbleepingcomputer.comReddit, içeriğini giriş duvarının arkasına taşıyorReddit kurucu ortağı Steve Huffman, sitenin kademeli olarak "giriş yapmayı gerektiren bir hizmete" dönüşeceğini, hesabı olmayan ziyaretçilerin erişiminin kısıtlanacağını duyurdu. Huffman gerekçeleri kişiselleştirme ve içerik scraper'ları olarak açıkladı. Yetkisiz veri erişiminin çoğu çıkış yapılmış sayfalardan geliyormuş. Önümüzdeki aylarda ABD dışındaki bazı pazarlarda giriş zorunluluğuyla pilot uygulama başlayacak. Kapsam ve takvim henüz belli değil. Ana sayfanın ve arama sonuçlarından gelinen sayfaların açık kalması hedefleniyor.

31 Eki 2026

  1. Güvenlikbleepingcomputer.comAnthropic, Linux çekirdeğindeki MPTCP açığı için root veren exploit geliştirdiCVE-2026-98432, çekirdeğin IPv4 TCP kodundaki bir yarış koşulundan doğan use-after-free açığı. Linux çekirdek CVE ekibinin 9.8 puan verdiği açık, 4.4'e kadar geri giden çekirdekleri ve Ubuntu, RHEL, Rocky Linux gibi dağıtımları etkiliyor. Anthropic, henüz yayınlanmamış bir Claude modelinin KASLR'ı atlayıp MPTCP dinleyicisi olan bir sunucuda yaklaşık 53 dakikada root erişimi sağlayan bir exploit geliştirdiğini anlattı. Yama upstream'de ve Debian'da hazır. Ancak 30 Ekim itibarıyla Ubuntu ve RHEL tarafında yamalar hala yoldaydı. Go 1.24, Linux'ta TCP dinleyicilerinde MPTCP'yi varsayılan olarak açtığı için bazı Go servisleri sahipleri farkında olmadan risk altında olabilir. CIQ, MPTCP'yi kapatmanın tek başına yetmediğini, açığın normal TCP trafiğiyle de tetiklenebildiğini söylüyor. Yama gelene kadar IP options taşıyan IPv4 TCP paketlerini engelleyen nftables kuralları geçici koruma sağlayabilir. Açığın sahada sömürüldüğüne dair doğrulanmış bir rapor yok.
  2. Güvenliksecurityweek.comPHP2Shell saldırıları Palo Alto güvenlik duvarlarında root aldı, WordPress siteleri şimdilik dayanıyorÇin bağlantılı bir grup, PHP2Shell açıkları CVE-2026-109618 ve CVE-2026-109619 ile Fragnesia çekirdek yetki yükseltme hatasını zincirleyip PAN-OS cihazlarında root yetkili webshell kurdu. Yüzlerce cihazlık havuzdan en az 25 güvenlik duvarının ele geçirildiği bildirildi. Palo Alto, PAN-OS 12.2'den 10.2'ye kadar tüm etkilenen dallar ile Panorama için yamaları yayınladı ve yönetim arayüzünün internete kapalı tutulmasını istiyor. Telemetriye göre internete açık 22,6 milyondan fazla PHP örneği potansiyel olarak etkileniyor. WordPress tarafında ise 77 binden fazla saldırı isteği görülmesine karşın henüz ele geçirildiği bilinen bir site yok. Ancak Defiant, PHP'yi güncellemeye devam etmenin şart olduğunu vurguluyor.
  3. Güvenlikthehackernews.comTeamViewer açığında uzaktaki makine bağlanan bilgisayara saldırabiliyorduTeamViewer, kötü niyetli veya ele geçirilmiş bir host'un (kontrol edilen makine) ona bağlanan viewer'daki TeamViewer'ı çökertebildiği, platforma göre daha fazla etki de yaratabildiği bir açığı kapattı. Kullanıcılar güncel sürüme geçmeli.
  4. Güvenlikthehackernews.comÇinli hackerlar yapay zeka destekli ARTEX ile 200'den fazla kuruluşu hedeflediCrowdStrike, Go ile yazılmış ve yapay zeka kullanan sızma testi çerçevesi ARTEX'i kullanan saldırıları Çin bağlantılı Vapor Panda grubuna bağlıyor. Kampanya dünya genelinde 200'den fazla kuruluşu hedefliyor.
  5. Güvenlikarstechnica.comAnthropic'in Cursor'daki VS Code eklentisi yaklaşık 12 saat backdoor'lu yayınlandıSaldırganlar Anthropic'in doğrulanmış Cursor hesabını ele geçirip VS Code eklentisinin backdoor'lu bir sürümünü neredeyse 12 saat boyunca yayınladı. Hesaba nasıl erişildiği hala bilinmiyor.
  6. Bulutblog.cloudflare.comCloudflare eMudhra'nın zayıf anahtarlarını saatler içinde kapattı, internetin büyük kısmı hala açıkSertifika otoritesi eMudhra'nın sekiz ara imza anahtarının 4 ve 56 gibi son derece zayıf değerler olduğu 19 Ekim'de ortaya çıktı. Herkes bu anahtarları sertifikaların kendisinden çıkarabiliyor ve Certificate Transparency kontrolü yapmayan yamalanmamış istemciler herhangi bir alan adı için üretilmiş sahte sertifikaları kabul edebiliyor. Cloudflare yüksek etkili sistemlerini saatler içinde yamaladı ve 21 Ekim'den bu yana zayıf anahtarlarla yapılmış yaklaşık 22.000 el sıkışma denemesi kaydetti. Bunlar arasında ifşadan sonraki saatler içinde üretilmiş sahte sertifikalar da var. Ancak Cloudflare bağlantılarının dinlendiğine dair şimdiye kadar bir kanıt yok. Bir haftada 50 milyon test sondasına göre modern tarayıcıların çoğu yamalanmış durumda. Android WebView'da kabul oranı hala yüzde 30-40. Büyük ağlarda sondaların yarısından fazlası zayıf zinciri hala kabul ediyor. Güncelleme şart.
  7. Yapay zekacloud.google.comGoogle Cloud'dan Agent Compute Engine, llm-d 1.0 ve TPU yenilikleriGoogle Cloud, otonom yapay zeka ajanlarını donanım düzeyinde izole microVM'lerde çalıştırmak için Agent Compute Engine'i duyurdu. Servis alt saniyelik başlatma ve Agent Gateway ile Agent Registry üzerinden ajan yönetimi sunuyor. Şirket, TPU ve GPU filolarında dağıtık LLM çıkarımını tek havuzda birleştiren Kubernetes-native açık kaynak yığın llm-d'nin 1.0 sürümünü yayınladı. Meta ile birlikte geliştirilen TorchTPU ise PyTorch'a yerel TPU desteği getiriyor. GKE'de cold start'ları 2 kata kadar hızlandıran CPU startup boost önizlemeye çıktı. Oracle, 2027'den itibaren Google dışında TPU sunan ilk hyperscaler olacak.
  8. Açık kaynakpostgresql.orgpgAdmin 4 9.19, 15 güvenlik açığını kapatıyorSürüm, CVE-2026-116238'den CVE-2026-116252'ye kadar 15 açığı yamalıyor. Aralarında Import/Export Data aracında işletim sistemi komutu enjeksiyonu (CVE-2026-116241), LDAP ve Kerberos girişinde yanlış hesaba oturum açma (CVE-2026-116239) ve oturum açma limitleri ile dosya yolu kontrollerinin atlanması var. Server mode kullananlar not etmeli: parola komutları artık yönetici tanımlı bir izin listesinde (SERVERPASSEXECCOMMANDS) olmalı ve liste yükseltmeden sonraki ilk başlatmadan önce yapılandırılmalı. Bağlantı servisleri de SERVERMODEALLOWEDSERVICES listesiyle kısıtlandı. Sürüm ayrıca otomatik güncellenebilir view'lar üzerinden veri düzenleme ve sorgu sonuçlarını JSON ya da XML kaydetme özelliği getiriyor.

30 Eki 2026

  1. Güvenlikthehackernews.comLinux çekirdeğindeki TCP açığı saldırgana uzaktan root yetkisi veriyorCVE-2026-98432 numaralı açık Ubuntu, Red Hat Enterprise Linux ve diğer dağıtımları etkiliyor. Saldırganın herhangi bir kullanıcı bilgisine ihtiyacı yok. Anthropic, yapay zeka modelinin bu açık için çalışan bir exploit yazdığını 27 Ekim'de duyurdu. Dağıtımınız yamalı çekirdeği yayımlar yayımlamaz güncelleyin.
  2. Güvenliksecurityweek.comBinance'ten çalınan 6,3 milyar dolar Kuzey Kore'yi işaret ediyorParanın büyük kısmı yaklaşık 20 dakikada çekildi. Önceki rekor, Bybit'in 1,5 milyar dolarlık kaybıydı. Binance'in ilk bulgularına göre saldırgan, ele geçirilen bir DevOps dizüstü bilgisayarından bir servis container'ına ulaşıp yetkisiz para çekme işlemleri başlattı. Blok zinciri analistleri saldırıyı Kuzey Kore'nin TraderTraitor ekibine bağlıyor. Yaklaşık 3 milyar dolar donduruldu ama saldırganların elinde dondurulamayan 2,4 milyar dolarlık ETH ve BTC var.
  3. Güvenlikthehackernews.comHaftanın güvenlik özeti: güvenlik duvarı açıkları ve token hırsızlığıThe Hacker News'un haftalık derlemesi kritik güvenlik duvarı açıklarını, kiralık bankacılık truva atlarını, zararlı bir PDF kampanyasını ve token hırsızlıklarını bir araya getiriyor. Ortak tema tanıdık: sızan parolalar, hala istismar edilen eski açıklar ve bilinen uygulamaların kılığına giren saldırganlar.
  4. Self-hostednoted.lolPicPeak: etkinlik fotoğrafları için kendi sunucunuzda galeriPicPeak, her galeriyi bir etkinlik gibi ele alan, MIT lisanslı bir fotoğraf ve video galerisi. Galerileri parolayla koruyup süreli bir linkle paylaşabiliyorsunuz. Davetliler hesap açmadan fotoğraf indirip kendi çektiklerini yükleyebiliyor. Kurulum için SQLite'lı tek bir Docker imajı ya da PostgreSQL ve Redis'li bir Docker Compose yığını yetiyor.
  5. Sürümlergithub.comn8n 1.123.90 davetleri imzalı token'a bağlıyorBir davetin kabul edilmesi artık imzalı bir token gerektiriyor. n8n'in 1.x sürümünü kullanıyorsanız bu güvenlik düzeltmesi için güncelleyin.
  6. Sürümlergithub.comn8n 2.46.2 ön sürümü çalıştırma verilerine erişimi sıkılaştırıyorİş akışı rotalarının çalıştırma verilerini okuyabilmesi için artık execution:read izni gerekiyor. Sürüm, kuyruk modunda işlerin çalışanlara dağıtılmasındaki bir hatayı da düzeltiyor.
↑

↑↓ · enter · esc