49 posts
Self-hosted GitLab kurulumları acil yamalama zorunluluğu ile karşı karşıya. CVE-2026-85706 açığı, kimliksiz saldırganların depo dosyalarını okuyabilmesine izin veriyor ve honeypot sistemlerde zaten saldırıya uğruyor. Eylül 14 tarihine kadar güvenlik yaması şart.
Chromium'daki CVE-2026-85046 Ağustos'ta kapatılmasına rağmen kararlı Chrome sürümüne Eylül'e kadar ulaşmadı. Bu dört haftalık sürede BlueMoon exploit zinciri en az dört devlet saldırgan grubu tarafından kullanıldı; Proofpoint analizi yapay zeka destekli geliştirme ve hızlı adaptasyon izleri gösterdi.
Gamers Nexus ve Level1Techs'in Eylül 2026 raporuna göre LG'nin 49 milyon ABD ve küresel 216 milyon TV'sinde reklam hedefleme için pasif veri toplama sistemleri çalışıyor. Kapalı cihazlarda bile Wi-Fi taraması, ses kaydı ve ağ trafiği analizi yapılıyor; kullanıcı kontrol seçenekleri ise sınırlı.
Eylül 2026'de Microsoft 974 güvenlik açığını yamaladı—Temmuz'daki 569'dan yüzde 70 fazla. Yapay zeka destekli keşif hızlanırken, kurumlar bu ölçekte test ve dağıtım yapacak kapasiteye sahip değil; iki kritik açık zaten saldırıda kullanılıyor.
Gönüllü anlaşmalar başarısız olduktan sonra İngiltere hükümeti, Apple ve Google'ı 18 yaş altındaki çocukların cihazlarında çıplak görüntü almasını ve paylaşmasını engellemek için işletim sistemi düzeyinde tarama uygulamaya zorlayacak. Adım çocuk cinsel istismarını azaltma hedefi ile cihaz şifrelemesi ve yetişkinlerin gizliliği arasında keskin bir çatışma yaratıyor.
Yapay zeka modeli WeChat'ın VoIP yazılımında uzaktan kod yürütme zafiyet keşfini 48 saatte tamamladı. Bir hafta sonra kendini çoğaltan solucan ortaya çıktı. Tencent sessizce sunucu tarafı düzeltme yayınladı ama CVE kaydı açmadı, etkilenen sürümleri açıklamadı.
Şubat ayında Microsoft Defender, ASCII smuggling saldırılarında günlük tespit sayısını 21 bindan 1,3 milyona çıkardığını gördü. Saldırganlar görünmez Unicode karakterlerini kullanarak finans sahteciliği e-postalarını güvenlik filtrelerinden geçirmeyi başardı ve dört ayda 150 hesaptan başlatılan saldırıların %99'u yakalandı.
Ele geçirilen web sitelerinde barındırılan sahte Cloudflare CAPTCHA'ları kullanarak saldırganlar, Windows kullanıcılarını Terminal'e PowerShell komutları yapıştırmaya ikna ediyor. DLL yükleme, görüntü steganografisi ve kalıcı ağ erişimi içeren çok katmanlı tehdit zinciri işte böyle başlıyor.
Android 17, mobil işletim sistemleri arasında ilk kez Encrypted Client Hello (ECH) desteğini tam olarak etkinleştirdi. Bu teknoloji internet sağlayıcılarının hangi siteleri ziyaret ettiğinizi görmesini engeller ve yerel ağ koruması, sertifika şeffaflığı, 2G kapanması gibi ek güvenlik katmanlarıyla desteklenir.
LG, 2024'ten itibaren Windows Update aracılığıyla McAfee reklamları gönderen yazılım yükledi. Samsung ve LG akıllı monitörleri, TV'lerindeki reklam sistemini kullanarak kullanıcı aktivitesini izliyor—ancak bu izlemeyi kapatma seçeneği menülerde gizli durumda.
Microsoft, Entra ID'deki uzaktan kod çalıştırma açığını (CVE-2026-69836) başta sömürüldüğü iddiasıyla duyurdu, sonra hiçbir gerçek dünya saldırısı olmadığını söyleyerek düzeltme yaptı. CVSS 10.0 puanına ve sunucu tarafı yamasına rağmen bu çelişkili açıklamalar, açığın gerçek risk seviyesi hakkında belirsizlik yaratıyor.
Karlsruhe Teknoloji Enstitüsü araştırmacıları, standart WiFi yönlendiricilerin şifresiz beamforming feedback verilerini analiz ederek insanları neredeyse kusursuz doğrulukla tanımlayabildiklerini gösterdi. 197 katılımcı üzerinde %100'e yakın başarı oranına ulaşan sistem için WiFi cihazı taşımanız bile gerekmemiş.
Google, Android 17 QPR2 Beta 3'te sendUssdRequest() API'sini kısıtlıyor: arkaplanda çalışan uygulamalar artık programmatik USSD çağrı yönlendirmesi yapamayacak. Mobil para transferleri gibi meşru istekler etkilenmiyor, ancak dolandırıcılık amaçlı yönlendirme saldırıları işletim sistemi tarafından engellenebiliyor.
CVE-2026-65400 adlı güvenlik açığı, macOS kullanıcılarını şifre gerektirmeden uzaktan kod çalıştırılması riski altına sokuyor. Port 5900'de yapılan istismarlar root erişimi sağlayabiliyor, ancak Apple'ın yaması uygulansa bile varsayılan firewall yapılandırması kullanıcıları koruyamıyor.
Ağustos 2026'da jsonArrayContains işlevindeki kimlik doğrulamasız SQL injection açığı kamuya açıklandıktan hemen sonra yüzlerce istismar denemesi kaydedildi. CVE yayınlanmadığı ve satıcı yaması yayımlanmadığı için açık hala korunmasız; belirli veritabanı konfigürasyonlarında uzaktan kod çalıştırılması mümkün.
Apple bu hafta 110 ülkede ücretli casus yazılım tehdidi konusunda uyarı gönderdi. Meşru bildirimleri kimlik avı scamlarından ayırmak ve Lockdown Mode gibi somut koruma adımları almak, hedef dışı kullanıcılar için de temel bir güvenlik pratikleri oluşturuyor.
Microsoft Ağustos 2026'da 398-421 CVE açığı yayınladı—Haziran'ın iki katı kadar. Aynı dönemde Lazarus grubu afd.sys'teki sıfır günü istismar etti; ancak 1Password'ün araştırması LLM tarafından yazılan yamaların yüzde 50'sinden fazlasının zafiyeti gerçekten kapatmadığını ortaya koydu.
Palo Alto Networks Unit 42, Google'ın senkronize passkey'lerine karşı üç saldırı sınıfı buldu: Standart kullanıcı izinlerine sahip kötü amaçlı yazılım Chrome belleğinden 32 baytlık master anahtarı çalabiliyor. Şifreleme kendisi güvenli kalıyor, ama depolama, kayıt ve doğrulama yönetimindeki açıklar, cihaza erişimi olan bir saldırganın kullanıcının izni olmadan hesabı ele geçirmesine imkan veriyor.
Rusya destekli APT 29, mayıs 2026'den beri uluslararası otellerdeki Wi-Fi ağ geçitlerini kontrol ederek kurumsal kullanıcıları hedefliyor. Sahte Microsoft 365 sayfalarına yönlendiren saldırganlar tarayıcı geliştirici araçlarından yararlanarak kimlik bilgilerini ve oturum tokenlarını çalıyor.
JetBrains'in TeamCity şirket içi kurulumlarında CVE-2026-63077 olarak kayıtlı kritik bir açıklık, kimlik doğrulama olmadan işletim sistemi komutlarının çalıştırılmasına izin veriyor. 2017.1'den beri tüm on-premises sürümleri risk altında; acil yama gerekli.
Google, Chrome 149 ve 150 sürümlerinde yapay zeka destekli araçlarla 1.072 güvenlik hatası yamadı—önceki 23 sürümün toplamını aştı. Microsoft benzer hızlanma raporlarken Apple'ın kamuya açık atılımı sessiz kalmış; endüstride eşit olmayan bir dağılım ortaya çıktı.
Apple'ın iOS 26.6 güncellemesi kernel ayrıcalık yükseltmesinden sandbox kaçışına kadar 78 dokumente edilmiş açığı kapattı. MediaRemote root erişimi ve AVEVideoEncoder kod yürütme zafiyetleri gibi ciddi açıklar içeriyor ve iOS 27 çıkışından önceki bu son 26.x sürümde acil kurulumu zorunlu hale getiriyor.
Microsoft MAI-Cyber-1-Flash modelinin %50 daha ucuz ve açıkları dakikalara indirdiğini söylüyor. Ama araç henüz preview aşamasında, OpenAI'ın güvenlik modelleri sunuculara sızıyor ve endüstri otomasyonun gerçek etkisini bekliyorum.
Bing yaklaşık 612 Claude paylaşım sayfasını arama sonuçlarında gösterirken, Anthropic hala robots.txt dosyasına dayanıyor. Oysa Google ve Bing'in resmi dokümantasyonu açık: robots.txt tek başına yeterli değil, noindex etiketinin olması zorunlu.
Google, Temmuz 2026'den itibaren başlı hareket doğrulaması gerektiren yüz tanıma tabanlı hesap kimlik doğrulama sistemi sunacak. Ancak Advanced Protection Program, Workspace ve çocuk hesapları bu özellikten hariç tutuluyor—neden bazı kullanıcılar korunuyor sorusu ortaya çıkıyor.
Temmuz 2026'de Microsoft dört katı açık düzeltmek zorunda kaldı. Anthropic'in araştırması AI'nin kendi exploitleri üretebilmesini doğruladı, ancak asıl risk otomasyona hazır bir saldırı ortamı oluşması.
LayerX'in bulduğu BioShocking saldırısı, ChatGPT Atlas, Claude ve başka beş AI tarayıcıyı oyun senaryoları aracılığıyla SSH kimlik bilgilerini ifşa etmeye ikna ediyor. Satıcıların tutarsız yanıtları açığın ne kadar yaygın olduğunu gösteriyor.
CVE-2026-42897 adlı açık, CISA'nın acil listesine girdi ve şu anda gerçek saldırılarda kullanılıyor. CVSS skoru 8.1 olan bu cross-site scripting açığı, Exchange Server 2016, 2019 ve Subscription Edition sürümlerini hedefliyor. Tek bir yanlış yapılandırılmış sunucu tüm domain'i ele geçirmek için yeterli. Federal kurumlar 29 Mayıs 2026'ya kadar savunma alması gerekli.
Anthropic'in Claude Mythos Preview yapay zekası, macOS kernel belleğinde halka açık ilk açığı keşfetti ve Mozilla Firefox'ta 271 hatayı tanımladı. Hızlı bir keşif makinesi olsa da, gerçek exploit zincirleri geliştirmek için hala insan araştırmacıların yönlendirilmesine ihtiyaç duyuyor—bu da AI güvenlik testinin gücü ve sınırlarını net bir şekilde gösteriyor.
Nisan-Mayıs 2026'de Google Chrome, kullanıcılarına hiçbir bildirim gönderip haber vermeden 4GB'lık Gemini Nano yapay zeka modelini milyonlarca cihaza kurdu. Güvenlik araştırmacısı Alexander Hanff, bu işlemin Avrupa'nın katı GDPR kurallarını ihlal ettiğini ispatladıktan sonra Google sözcüsü modelin kapatılıp kaldırılabileceğini söyleyerek açıklama yaptı.
YellowKey açığı, PIN koruması olmayan Windows 11 BitLocker modunda USB üzerinden yüklenen araçlarla fiziksel erişim aracılığıyla şifrelemek devre dışı bırakılabiliyor. Nightmare-Eclipse tarafından açıklanan beş sıfır günlük açığından ikisi gerçek dünyada saldırılarda aktif kullanılmış; Bridewell tehdit istihbaratına göre PIN ve BIOS şifre kilidi bu riski ciddi oranda azaltıyor.
Dünya genelindeki web sitelerinin üçte birini çalıştıran NGINX yazılımında DepthFirst AI tarafından keşfedilen CVE-2026-42945 adlı uzaktan kod çalıştırma açığı, şaşırtıcı bir soruyu gündeme getiriyor: insan güvenlik araştırmacıları neden bu kadar uzun süre göz ardı ettiler? CVSS 9.2 kritiklik puanıyla ve hiçbir kimlik doğrulaması gerektirmeden tetiklenebilen bu zafiyet, URL yeniden yazma kurallarının yaygın kullanımı nedeniyle milyonlarca sunucuyu tehdit ediyor.
Palo Alto Networks, Mythos ve GPT-5.5-Cyber araçlarıyla bir ayda 75 zafiyet keşfetti; bu, normalin yediye katı. Sorun şurada: yapay zeka sistemleri %70 başarıyla çalışan exploit zinciri üretiyor, oysa şirketler yamaları kurgulamak için 3-5 ay harcıyor. Bu zamansal uçurum, 2026'da saldırgan avantajını tamamen yeniden tanımlamakta.
Bir araştırmacı, Windows 11 ile Windows Server 2022/2025'teki BitLocker korumasını fiziksel erişimle atlatmaya izin veren YellowKey açığını ortaya çıkardı. USB bellek ve basit tuş kombinasyonu aracılığıyla tetiklenen bu kritik açık, bağımsız güvenlik uzmanları tarafından da başarıyla yeniden üretildi ve Microsoft'un en güçlü veri koruma sisteminin ne kadar savunmasız olduğunu gözler önüne serdi.
Google'ın tehdit istihbaratı grubu, siber suçluların iki faktörlü kimlik doğrulamayı atlatmak için yapay zeka kullanarak otomatik olarak ürettiği bir Python betik açığını gerçek saldırıda tespit etti. Tehdit analisti John Hultquist'in uyarısına göre AI açığı yarışı artık başlamış durumda; Kuzey Kore devlet aktörü APT45 ise binlerce açık yararlanma metodunu test etmek için yapay zekadan faydalanıyor.
Anthropic'in Mythos modeli iki ayda Firefox'ta 271 güvenlik açığını tespit etti; 180'i canlı sistemleri tehdit eden kritik seviyedeydi. Oysa bu başarının gerçek kahramanı modelin kendisi değil, insan geliştiriciyle aynı araçlara erişim sağlayan 'agent harness' altyapısı olabilir — ve bu fark, yapay zekanın siber güvenliğe açtığı kapının aslında ne kadar sınırlı olduğunu açığa çıkarıyor.
Google Play Services 25.41.30 sürümü artık zorunlu hale geldi ve yeni reCAPTCHA sistemi GrapheneOS gibi açık kaynak işletim sistemlerini doğrudan dışarıda bırakıyor. Şüpheli aktivite algılandığında görüntü bulmacalarını atlayan sistem, kullanıcıları QR kod doğrulamasına mecbur ediyor—ama bu adımda de-Googled cihazlar tamamen başarısız oluyor. Bu tasarım kararı, güvenliği bahane ederek Google'ın ekosistem kontrolünü mutlaklaştırmasının açık bir örneğidir.
Güvenlik araştırmacısı Tom Jøran Sønstebysæter Rønning'in bulgusu, Microsoft Edge'in başlangıçta kaydedilmiş şifreleri bellekte düz metin olarak tuttuğunu ortaya koydu. Chrome'un yalnızca oto-doldurma anında şifreleri çözen ve derhal silen mimarisiyle karşılaştırıldığında, Edge'in tüm şifreleri baştan itibaren RAM'de açık tutması—yönetici ayrıcalığına sahip bir saldırgan için kapı açık bırakıyor. Bu tasarım tercihi neden bu kadar riskli?
İki haftada patlak veren Copy Fail ve Dirty Frag açıkları, Linux dağıtımlarının yama kabiliyetini zorladı. Cloudflare'nin Copy Fail'e karşı bir gecede BPF-LSM çözümü tasarlaması teknik başarı gösterirken, Theori'nin açıklamasından beş gün sonra yüzlerce saldırı kodunun ortaya çıkması, güvenlik araştırması camiasında ciddi bir güven sorunu yaratmış durumda.
Microsoft Phone Link üzerinden SMS ve OTP mesajlarınıza erişim sağlayan Windows, CloudZ'un Pheno adlı eklentisi tarafından hedef alındı. Sahte ScreenConnect güncellemesi aracılığıyla sisteme sızan malware, regasm.exe'yi kötüye kullanarak köke iniyor ve iki faktörlü doğrulamayı başarıyla atlatıyor.
Canvas platformu tekrar hedef alındı ve 275 milyon öğrencinin kimliği, e-postası ve özel mesajları açığa çıktı. Siber suçlular artık tek tek okulları değil, milyonlarca kullanıcıya ulaşan eğitim teknolojisi şirketlerini vuruyor—ve bu strateji etkisini kanıtlıyor.
Google'ın yapay zeka komut satırı aracında sürüm 0.39.1'den önceki versiyonlarda, yapılandırma dosyaları hiçbir doğrulama yapılmaksızın otomatik olarak güvenilir kabul ediliyordu. Bu tasarım hatası saldırganların ortam değişkenleri üzerinden isteğe bağlı kod çalıştırmasına kapı açtı. Cursor IDE'de benzer açıkların ortaya çıkması, tek bir gerçeği gösteriyor: AI ajanlarına kod yürütme izni vermeden önce, bu komutu kimin yayınladığını doğrulamak sadece iyi bir uygulama değil, güvenlik mimarisiyle birlikte gelmesi gereken temel bir gereksinimdir.
CopyFail olarak adlandırılan CVE-2026-31431, Linux çekirdeğinin kriptografik API'sinde 2017'den beri gizlenen bir mantık hatası. Herhangi bir sıradan kullanıcı, tek bir satırlık Python betiğiyle sistem üzerinde tam kontrol sağlayabiliyor. Önemli olan nokta: açık kod kamuoyuna açıldığında çoğu Linux dağıtımı hâlâ güvenlik yamasını yayınlamamıştı.
Şifresiz, sadece HTTP başlık manipülasyonuyla binlerce web sitesine yönetici erişimi sağlayan CVE-2026-41940 açığı en az 30 gündür gerçek saldırılarda aktif olarak kullanılıyor. Namecheap ve HostGator acil müdahale ederken, KnownHost'un altyapısında 30 sunucuda yetkisiz erişim girişimleri ortaya çıktı.
CrowdStrike, kendi sunucularında çalıştırılan LogScale versiyonunda kimlik doğrulaması olmadan dosya okuma sağlayan bir açık (CVE-2026-40050) keşfetti. Zafiyet, küme API'sinde sunucunun dosya sistemine sınırsız erişim imkanı veriyor. SaaS kullanıcıları nisan 2026'den bu yana ağ katmanında koruma alırken, kendi altyapısını yönetenlerin acil güncelleme yapması gerekiyor.
Anthropic'in Mythos sistemi Firefox'taki 271 güvenlik açığını otomatik olarak bulabilmek—bu yapay zekanın siber savunmada saldırganlara karşı ilk kez karar verici üstünlük sağladığını gösteriyor. Ancak bu teknolojiye erken erişim imkanına sahip mega korporasyonlar ile korumasız açık kaynak projelerinin geliştiricileri arasında açılan güvenlik farkı, dijital ekosistemin en zayıf halkalarını hedef haline getiriyor.
Bir güvenlik araştırmacısının Microsoft ile yaşadığı anlaşmazlık, savunmacılar ve saldırganlar arasında ölümcül bir yarışı tetikledi. Windows'taki kritik exploitler artık gerçek kuruluşların hedefi haline geldi ve şirketler her gün yeni saldırılarla karşı karşıya.
Koordine edilmemiş güvenlik açıklaması pratikleri, Microsoft Defender kullanıcılarını beklenmedik bir tehlike karşısına koymaktadır. Bilgisayar korsanları, hazır kullanıma uygun saldırı araçlarına erişerek, milyonlarca Windows cihazını risk altına almaktadır. Sorumlu açıklama sürecinin başarısızlığı, siber güvenlik ortamında yeni bir çağı işaret etmektedir.
Nisan 2026 Patch Tuesday güncellemesi, siber güvenliğin çatışan iki gerçekliğini ortaya koyuyor: Microsoft 167 açığı kapatırken, yapay zeka destekli tehditler daha hızlı evrim geçiriyor. İnsan ve makine arasındaki bu yarış, geleneksel savunma stratejilerinin artık yetersiz olduğunu gösteriyor.
