CVE Haberleri

Son günlerde CVE etiketinde kimlik doğrulamalı uzaktan kod çalıştırma açıkları ve aktif istismarlar öne çıkıyor. Langflow, Palo Alto PAN-OS, Docker Hub, LMCache ve Next.js gibi farklı platformlardaki kritik zafiyetler yamalarla ve Microsoft Patch Tuesday duyurusuyla gündeme geldi.

⭐ 85

PostgreSQL 52 Açığı Yama Aldı, 22 Yıllık Hata Yetkili Kullanıcıya Uzak Kod Çalıştırma İmkanı Veriyor

PostgreSQL'de nesne oluşturabilen bir kullanıcının sunucuda kod çalıştırmasına yol açan tür karışıklığı açığı kapatıldı. CVE-2026-6460 olarak izlenen ve CVSS 8.8 puan alan zafiyet 22 yıllık bir hataya dayanıyor ve dün yayımlanan güncellemeyle birlikte toplam 52 güvenlik açığı giderildi. Yöneticilerin sunucuyu güncellemesinin yanı sıra C dili uzantılarını yeniden derlemesi gerekiyor.

13 Kasım 2026 12 görüntülenme

⭐ 80

Microsoft 1.259 açığı yamaladı, NTLMv2 hash'lerini sızdırabilecek istismar edilen Outlook açığı da dahil

Microsoft Salı günü 1.259 güvenlik açığı için yama yayınlayarak üst üste ikinci ayda bin barajını aştı. Yamalar arasında aktif olarak istismar edilen ve NTLMv2 kimlik bilgilerini açığa çıkarabilen bir Outlook açığı bulunuyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı açığı Bilinen İstismar Edilen Açıklar kataloğuna ekledi.

11 Kasım 2026 24 görüntülenme

⭐ 80

Kasım Patch Salısı: CVE'lerin Taştığı Bir Bolluk

Microsoft Kasım ayı Patch Salısı'nda 1.093 güvenlik açığını kapattı, bunların 63'ü kritik seviyede ve aktif olarak istismar edilen bir Outlook sıfırıncı gün açığı bulunuyor. Exchange, SharePoint, Windows Search ve LDAP'ta kritik uzaktan kod çalıştırma açıkları öncelik listesinin başında yer alıyor. Uzmanlar internete açık sistemlerin hızla güncellenmesi gerektiğini vurguluyor.

11 Kasım 2026 24 görüntülenme

⭐ 80

ABD Siber Güvenlik Ajansı CISA, OpenSSH, GPUStack, FreeSWITCH ve IBM açıklarının aktif istismar edildiğini duyurdu

ABD Siber ve Altyapı Güvenliği Ajansı CISA, GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH ve IBM Aspera Faspex’teki dört güvenlik açığını aktif istismar kanıtlarıyla Bilinen İstismar Edilen Açıklar kataloğuna ekledi. SSHole kod adlı OpenSSH açığında 6 Kasım’dan itibaren 22 istismar girişimi kaydedildi ve saldırganların kalıcı erişim sağladığı görüldü. Federal sivil kurumlara açıkların 12 Kasım 2026’ya kadar kapatılması önerildi.

10 Kasım 2026 37 görüntülenme

⭐ 75

Zyxel GS1900 yamasına rağmen sıfırıncı gün açığı kök komut çalıştırılmasına izin veriyor

Binarly araştırmacıları, Zyxel’in daha önce yayınladığı düzeltmeyi alan <strong>Zyxel GS1900</strong> anahtarlarının hâlâ aktif istismara açık olduğunu tespit etti. Yeni 2.90 Patch 3 firmware’i, istismarın dayandığı CVE-2026-107441 açığını kapatıyor. GreyNoise verilerine göre Ağustos ayında 996 anahtardan veri çalınmıştı.

5 Kasım 2026 22 görüntülenme

⭐ 85

ABD CISA, WordPress Core'daki CVE-2026-119977 açığının aktif istismar edildiğini doğruladı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, WordPress Core'daki TOCTOU yarış durumu zafiyetini aktif istismar kanıtlarıyla Bilinen İstismar Edilen Açıklar kataloğuna ekledi. CVE-2026-119977 olarak izlenen ve CVSS puanı 8.1 olan açık, yükseltme penceresinde kimliği doğrulanmamış kod çalıştırılmasına yol açabiliyor. Federal sivil kurumlara yamayı uygulamaları için 6 Kasım 2026'ya kadar süre verildi.

4 Kasım 2026 27 görüntülenme

⭐ 80

Adobe Commerce PolyShell saldırıları yüzlerce mağazayı ele geçirdi, Brotli istismarı trafiği ortaya çıktı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı, Adobe Commerce ve Magento ile Google Brotli kütüphanesini etkileyen iki açığı aktif istismar kanıtlarıyla Bilinen İstismar Edilen Açıklar kataloğuna ekledi. CVE-2026-48356 kod adlı PolyShell açığı üzerinden yüzlerce e-ticaret sitesine kötü amaçlı yükleyici enjekte edildiği belirtiliyor. CVE-2026-111497 için de vahşi doğada istismar trafiği tespit edildi ve birçok yazılım satıcısı acil yama yayınladı.

28 Ekim 2026 33 görüntülenme

⭐ 85

PHP-ocalypse: iki kritik web açığı interneti neredeyse çökertti

Yıllardır gizli kalan iki PHP açığı, internetin büyük bölümünü tehdit etti ve milyonlarca site geçici olarak kapatıldı. PHP Vakfı yama yayınlasa da araştırmacılar hâlâ yama uygulanmamış sistemlerin risk altında olduğunu belirtiyor. Olay, eski açık kaynak teknolojilerin kırılganlığını ve yapay zekânın güvenlik denetimlerindeki rolünü yeniden gündeme getirdi.

24 Ekim 2026 41 görüntülenme

⭐ 85

Python'un popüler Pillow görüntü kütüphanesinde kritik açık, hazırlanmış görselle kod çalıştırılmasına yol açıyor

Python'un en yaygın görüntü kütüphanesi Pillow'da EPS dosyaları üzerinden uzaktan kod çalıştırılmasına imkan veren kritik bir güvenlik açığı bulundu. Sorun 16 Ekim'de yayımlanan 13.0.0 sürümüyle giderildi, ancak kütüphane JPEG ve TIFF işleme ile ilgili ek kritik düzeltmeler de içeriyor.

23 Ekim 2026 29 görüntülenme

⭐ 80

Açık kaynak platform Langflow'da kritik kimlik doğrulamalı RCE açığı 1.423 kez saldırıya uğradı

Previdian'ın uyarısına göre Langflow'daki CVE-2026-105740 kodlu kritik uzaktan kod çalıştırma açığı aktif olarak istismar ediliyor. 19 Eylül 2026'dan bu yana bal peteği sensörlerine 1.423 saldırı girişimi kaydedildi ve saldırılar 11 Ekim'den itibaren hızlandı. Langflow, kimliği doğrulanmış kullanıcıların MCP sunucu yapılandırması üzerinden sunucuda komut çalıştırabileceği konusunda uyarıda bulundu.

15 Ekim 2026 43 görüntülenme

⭐ 80

Palo Alto Networks, aktif istismarda olan PAN-OS kimlik doğrulamalı RCE açığını yama yaptı

Palo Alto Networks, PAN-OS yönetim arayüzündeki CVE-2026-0322 kodlu yüksek önem dereceli uzaktan kod çalıştırma açığı için çarşamba günü yamalar yayınladı. Açık aktif olarak istismar ediliyor ve PA-Series, VM-Series ile Panorama'yı etkiliyor. CISA, bu açığı ve Cisco Secure Email Gateway'deki CVE-2026-76519'u Bilinen İstismar Edilen Açıklar kataloğuna ekleyerek federal kurumlara 17 Ekim 2026'ya kadar düzeltme yapılmasını istedi.

15 Ekim 2026 45 görüntülenme

⭐ 82

Microsoft Ekim Patch Tuesday'sinde 1.413 açık ve iki sıfırıncı gün açığı

Microsoft'un Ekim 2026 Patch Tuesday güncellemesi 1.413 CVE ile rekor kırdı; bunlardan 80'i kritik, iki sıfırıncı gün açığından biri aktif olarak istismar ediliyor. Uzmanlar açık sayısından çok istismar edilebilir risklere odaklanılması gerektiğini vurguluyor. Windows Shell'deki CVE-2026-96951 ve .NET Framework'teki CVE-2026-108398 başta olmak üzere önceliklendirilmesi gereken kritik açıklar sıralandı.

14 Ekim 2026 40 görüntülenme

⭐ 85

Docker, iki yıllık kritik Hub açığını kapattı; bir kullanıcı başkasının adıyla imaj gönderebiliyordu

Docker Hub’da kişisel hesabın kuruluşa dönüştürülmesi sırasında kişisel erişim belirteçlerinin yanlış aktarılması, bir kullanıcının başka bir kullanıcının deposuna imaj gönderip silebilmesine yol açtı. Açık 26 Ağustos 2024’ten 30 Eylül’e kadar sürdü ve CVE-2026-105445 olarak kayıtlara geçti. Docker, incelemede istismar kanıtı bulmadığını açıkladı.

13 Ekim 2026 41 görüntülenme

⭐ 80

Kritik LMCache açığı kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veriyor

Açık kaynaklı LMCache yazılımında bulunan kritik bir güvenlik açığı, çoklu işlem modunda çalışan sunucuya kimlik doğrulaması olmadan erişilerek kod çalıştırılmasına yol açıyor. JFrog tarafından 7 Ekim’de açıklanan ve 9,8/10 puan alan zafiyet için hâlâ yama bulunmuyor. Sorun, 0.3.9’dan 0.5.5’e kadar olan sürümleri etkiliyor ve varsayılan olarak yerel ağda dinleyen sunucu, erişilebilir adrese açıldığında uzaktan istismar edilebiliyor.

7 Ekim 2026 41 görüntülenme

⭐ 85

Next.js ImageResponse açığı, hazırlanmış SVG girdisiyle sunucu kodu çalıştırmasına yol açabiliyor

Vercel, Next.js’in ImageResponse özelliğinde kritik bir güvenlik açığı tespit edildiğini duyurdu. Açık, saldırganın kontrol ettiği değerlerin SVG çıktısına taşınması halinde sunucuda kod çalıştırılmasına imkan veriyor. Sorun 16.3.6 sürümüyle giderildi ve Node.js üzerinde çalışan 16.2.0 ile 16.3.5 sürümleri etkileniyor.

23 Eylül 2026 44 görüntülenme

⭐ 85

Kritik Bifrost yapay zeka geçidi açığı kimlik doğrulaması olmadan komut çalıştırmaya izin veriyor

Açık kaynaklı Bifrost yapay zeka geçidinde kimlik doğrulaması kapalıyken uzaktan komut çalıştırılmasına yol açan kritik bir güvenlik açığı bulundu. CVE-2026-90898 olarak izlenen sorun varsayılan yapılandırmada etkileniyor ve aynı kök nedenden kaynaklanan ikinci bir açık da duyuruldu. Araştırmacılar yükseltme ve kimlik doğrulamasının zorunlu hale getirilmesini öneriyor.

22 Eylül 2026 57 görüntülenme

⭐ 78

Haftalık özet: Cisco sıfırıncı gün açığı, yapay zeka ajanı uzaktan kod çalıştırma, ClickFix saldırıları, ClickFix artışı ve tarayıcı ele geçirmeleri

Bu hafta Cisco ISE’de aktif olarak istismar edilen CVSS 10.0 puanlı kimlik doğrulama atlama açığı öne çıktı. Yapay zeka kodlama ajanlarında Plugin4Shell sıfır tıklamalı uzaktan kod çalıştırma açığı ve Brevo tedarik zinciri üzerinden yayılan ClickFix saldırıları gündemi belirledi. ABD yetkilileri NightmareStresser DDoS hizmetinin alanlarını ele geçirirken OpenAI ve diğer şirketler yeni güvenlik olaylarını açıkladı.

21 Eylül 2026 46 görüntülenme

⭐ 80

SolarWinds, ARM'de sabit kodlu anahtar açığını yamaladı; kimlik doğrulaması gerektirmeyen RCE'ye yol açıyordu

SolarWinds, Access Rights Manager'da kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya imkan veren yüksek şiddetli bir açığı kapattı. Açık CVE-2026-28326 olarak kayıtlı ve ARM 2026.2 ve önceki sürümleri etkiliyor. Şirket aynı zamanda Web Help Desk ve Serv-U ürünlerindeki bir dizi güvenlik sorununa da yama yayınladı.

19 Eylül 2026 50 görüntülenme

⭐ 78

CISA haftalık zafiyet özetlerini bırakıyor, risk temelli yaklaşıma geçiyor

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, haftalık zafiyet bültenlerini 28 Eylül'den itibaren durduruyor. Karar, kuruluşların CVSS puanlarına göre değil gerçek risk üzerinden önceliklendirme yapması yönündeki baskıyı artırıyor. Ajans, kullanıcıların Bilinen Sömürülen Zafiyet Kataloğu ve resmi uyarılara yönelmesini istiyor.

18 Eylül 2026 51 görüntülenme

⭐ 80

Google Pixel modem açığını yamadı, sınırlı hedefli istismarın izleri görülüyor

Google, Pixel modemdeki CVE-2026-58704 zafiyetinin sınırlı ve hedefli olarak istismar edildiğini açıkladı. Zero-click olarak tanımlanan açık, kullanıcı etkileşimi olmadan modem kumandasını aşarak ayrıcalık yükseltmesine izin veriyor ve Eylül 2026 güncellemesiyle kapatıldı. Güncelleme kapsamında toplam 109 ek güvenlik açığı daha giderildi.

16 Eylül 2026 52 görüntülenme

⭐ 85

Maruz kalan LiteLLM ağ geçitlerinin yaklaşık 10'da 1'i örnek 'sk-1234' yönetici anahtarını kabul etti

Wiz Research'un Şubat taramasına göre internete açık LiteLLM ağ geçitlerinin yaklaşık %10'u kurulum kılavuzundaki örnek yönetici anahtarı sk-1234'ü kullanıyor. Varsayılan anahtar, sağlayıcı API anahtarları ve bulut IAM kimlik bilgileri dahil olmak üzere kritik erişim sağlıyor. Araştırma, CVE-2026-59821 ve CVE-2026-40217 gibi kod yürütme kusurlarını ve zaten sömürülen diğer açıkları da ortaya koyuyor.

10 Eylül 2026 50 görüntülenme

⭐ 75

NIST Zenginleştirme Kesintileri CVE Kapsamı ve Doğruluğunu Etkiliyor

Araştırmacılara göre, Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), derinlemesine analiz için seçtiği CVE sayısını azalttı ancak bu hamle karmaşık sonuçlar doğurdu.

1 Temmuz 2026 89 görüntülenme

⭐ 78

29 Yıllık Squid Proxy Açığı 'Squidbleed' HTTP Kimlik Bilgilerini İfşa Edebiliyor

Squid proxy yazılımında 29 yıl önce ortaya çıkan ve CVE-2026-47729 koduyla takip edilen 'Squidbleed' güvenlik açığı, aynı proxy'yi kullanan kullanıcıların şifrelenmemiş HTTP kimlik bilgilerini ele geçirilmesine zemin hazırlıyor. Güvenlik araştırmacıları, söz konusu açığın onlarca yıldır fark edilmeden kaldığını ortaya koydu.

26 Haziran 2026 61 görüntülenme

⭐ 78

CISA Uyardı: Lantronix EDS5000 Açığı Aktif Saldırıların Hedefinde

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, Lantronix EDS5000 cihazlarındaki kritik bir güvenlik açığının aktif olarak istismar edildiğini duyurdu. CVE-2025-67038 koduyla takip edilen ve CVSS puanı 9,8 olan açık, saldırganların sisteme root yetkileriyle komut enjekte etmesine imkân tanıyor. Federal kurumlara 26 Haziran 2026'ya kadar yama uygulaması zorunlu tutuldu.

25 Haziran 2026 58 görüntülenme