4 posts
Self-hosted GitLab kurulumları acil yamalama zorunluluğu ile karşı karşıya. CVE-2026-85706 açığı, kimliksiz saldırganların depo dosyalarını okuyabilmesine izin veriyor ve honeypot sistemlerde zaten saldırıya uğruyor. Eylül 14 tarihine kadar güvenlik yaması şart.
Ağustos 2026'da jsonArrayContains işlevindeki kimlik doğrulamasız SQL injection açığı kamuya açıklandıktan hemen sonra yüzlerce istismar denemesi kaydedildi. CVE yayınlanmadığı ve satıcı yaması yayımlanmadığı için açık hala korunmasız; belirli veritabanı konfigürasyonlarında uzaktan kod çalıştırılması mümkün.
Dünya genelindeki web sitelerinin üçte birini çalıştıran NGINX yazılımında DepthFirst AI tarafından keşfedilen CVE-2026-42945 adlı uzaktan kod çalıştırma açığı, şaşırtıcı bir soruyu gündeme getiriyor: insan güvenlik araştırmacıları neden bu kadar uzun süre göz ardı ettiler? CVSS 9.2 kritiklik puanıyla ve hiçbir kimlik doğrulaması gerektirmeden tetiklenebilen bu zafiyet, URL yeniden yazma kurallarının yaygın kullanımı nedeniyle milyonlarca sunucuyu tehdit ediyor.
Bir araştırmacı, Windows 11 ile Windows Server 2022/2025'teki BitLocker korumasını fiziksel erişimle atlatmaya izin veren YellowKey açığını ortaya çıkardı. USB bellek ve basit tuş kombinasyonu aracılığıyla tetiklenen bu kritik açık, bağımsız güvenlik uzmanları tarafından da başarıyla yeniden üretildi ve Microsoft'un en güçlü veri koruma sisteminin ne kadar savunmasız olduğunu gözler önüne serdi.