Check Point yönetim sunucuları, Docker Sandboxes, Telegram Desktop ve çoklu tarayıcı eklentilerinde tespit edilen kritik açıklar güvenlik gündemini belirliyor. Microsoft’un 974 açığa yama yayınlaması ve yapay zekâ destekli saldırı yüzeyinin genişlemesi doğrulama yöntemlerini yeniden tartışmaya açıyor.
Meta'nın Muse Spark yapay zeka modeli, bağımsız test şirketi Irregular'daki yapılandırma hatası nedeniyle internete erişerek üçüncü taraf bir hizmetteki güvenlik açığını kullandı. Olay, OpenAI ve Anthropic'in benzer vakalarının ardından geldi ve ABD'li yasa koyucuları yapay zeka güvenliği konusunda harekete geçmeye itti.
Araştırmacılar, dünyanın önde gelen cihaz üreticilerinden birini örnek olarak kullanarak, otomatik ağ cihazı dağıtımındaki risklere dikkat çekiyor. Tespit edilen 15 güvenlik açığı, sıfır güven (zero-trust) ilkelerine dayalı otomatik yapılandırma süreçlerinde ciddi zafiyetler olduğunu ortaya koyuyor.
Google, Python için APK'sında keşfedilen ve iki farklı yetki seviyesindeki yapay zeka ajanı arasındaki güven sınırını ihlal ederek tedarik zincirini tehlikeye atabilecek otomasyonu tetikleyen güvenlik açıklarını düzeltti. Açıklar, ajanlar arası saldırıya (agent-to-agent attack) olanak tanıyordu.
HashiCorp, Veeam ve Django Yazılım Vakfı, toplam 11 güvenlik açığını kapatan yamalar yayınladı. En ciddi açıklar arasında CVSS 10.0 puanı alan bir çapraz kullanıcı hatası, Veeam konsolunda kimlik doğrulaması gerektirmeyen bir açık ve Django'da kod çalıştırmaya yol açabilen bir güvenlik zafiyeti bulunuyor.
Popüler açık kaynaklı yapay zeka ajan yönetim platformu Paperclip'te iki kritik güvenlik açığı keşfedildi. Saldırganlar, kötü amaçlı bir ajanı sisteme aktarıp çalıştırarak sunucuda veya geliştiricinin bilgisayarında komut çalıştırabiliyor. Açıklardan biri 10.0 CVSS puanıyla en yüksek risk seviyesinde değerlendirilirken, diğeri 9.6 puan aldı.
Linux çekirdeğinin Open vSwitch veri yolu bileşeninde keşfedilen bir bellek bozulması açığı, sıradan kullanıcıların sistemde root yetkisi almasına olanak tanıyor. CVE-2026-64531 koduyla izlenen ve OVSwrap adı verilen güvenlik açığı için yaklaşık 800 farklı kernel derlemesini kapsayan bir istismar kodu (PoC) yayınlandı.
Apple'ın iCloud Private Relay özelliğindeki güvenlik açıkları, WebKit motorundaki üç farklı özellik kullanılarak iOS ve macOS platformlarında atlatılabiliyor. Araştırmacılar, bu açıkların Safari'de gizlenmesi gereken gerçek IP adreslerini ortaya çıkarabildiğini doğruladı.
Kendinden barındırılan Git platformu Gitea'da kritik bir güvenlik açığı tespit edildi. CVE-2026-59774 koduyla izlenen ve 9.8 CVSS puanına sahip olan bu açık, kimliği doğrulanmamış saldırganların herhangi bir giriş yapmadan veya depoya yazma izni olmadan sunucu dosyalarını okumasına olanak tanıyor. Açık, Gitea 1.27.1 sürümüyle giderildi.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aktif olarak istismar edildiği tespit edilen üç güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Açıklar arasında Langflow, Apache Tomcat ve N-able N-central yazılımlarındaki kritik seviyedeki zafiyetler yer alıyor.
Coldcard güvenlik açığını en az 15 farklı saldırgan kullanmış. Dragonfly'nin yöneticisi, bu açığın 2 dolarlık bir yapay zeka güncellemesiyle önlenebileceğini belirtti.
cPanel, kritik bir güvenlik açığını yamalamış olup bu açığın müşterilerin veritabanı root'u olarak SQL çalıştırmasına izin verebileceği bildirilmiştir. CVE-2026-58048 olarak tanımlanan bu açıklık, tüm desteklenen cPanel ve WHM sürümlerini yanı sıra WP Squared'i de etkilemektedir.
Hugging Face'in popüler Diffusers kütüphanesinde üç yüksek seviyeli güvenlik açığı tespit edildi. Bu açıklar, 'trust_remote_code' güvenlik önlemini aşarak, hazırlanmış model depolarının yüklendikleri makinelerde gizlice keyfi kod çalıştırmasına olanak tanıyor ve yapay zeka tedarik zincirini ciddi risk altına sokuyor.
N-able, N-central platformundaki bir kimlik doğrulama atlatma açığının istismar edildiğini ve saldırganların sunuculara uzaktan yönetici erişimi sağladığını duyurdu. CISA, bu açığın aktif olarak istismar edildiğini ve saldırganların kimlik doğrulama atlatma yoluyla sunuculardan yönetilen uç noktalara geçiş yapabildiğini duyurdu.
Coldcard donanım cüzdanlarındaki bir yazılım hatası, 1.196 cüzdandan 70 milyon dolar değerinde Bitcoin'in çalınmasına yol açtı. Galaxy Research'in analizine göre saldırı 30 Temmuz'da 41 dakika içinde gerçekleşti. Şirket acil güncelleme yayınlarken, Binance kurucusu CZ kullanıcılara fonlarını birden fazla cüzdana bölmelerini önerdi.
Azure Cosmos DB'de keşfedilen 'CosmosEscape' adlı güvenlik açığı, platform çapındaki bir anahtarın ele geçirilmesine yol açabiliyordu. Wiz'in keşfettiği bu açık sayesinde saldırganlar Gremlin sanal alanından kaçıp müşteri veri tabanlarına tam erişim sağlayabiliyordu. Microsoft sorunu çözdü.
Güvenlik araştırmacısı Håkon Måløy, bir Word belgesine gizlenmiş yönergelerin Microsoft 365 Copilot'u kandırarak rapordaki rakamları değiştirmesine ve aynı talimatları bitmiş dosyaya kopyalamasına yol açabileceğini keşfetti. Saldırı, Copilot'un ikinci bir taslak hazırlama oturumunda da aynı davranışı tetikleyerek zincirleme bir etki yaratıyor. Microsoft, raporun ardından iki önlem aldı ancak araştırmacıya göre güvenlik açığı hâlâ istismar edilebilir durumda.
Rus tehdit aktörleri, Microsoft Outlook Web Access (OWA) üzerindeki bir güvenlik açığını kullanarak ABD ve Avrupa'daki devlet kurumları ile telekomünikasyon, finans, otelcilik ve havacılık sektörlerini hedef alıyor. Saldırganlar, 'OWAReaper' adını verdikleri bir tarayıcı yazılımıyla, kurbanların kimlik bilgilerini değiştirmesine veya cihazlarını sıfırlamasına rağmen posta kutularına erişmeye devam edebiliyor.
Cisco Secure Firewall Management Center (FMC) yazılımında keşfedilen CVE-2026-20316 kodlu güvenlik açığı, saldırganların aktif olarak istismar etmesi üzerine ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna eklendi. Açık, düşük yetkili statik kullanıcı kimlik bilgileri sayesinde kimliği doğrulanmamış uzaktaki saldırganların hassas verilere erişmesine olanak tanıyor.
Ruby on Rails, Active Storage bileşeninde kritik bir güvenlik açığını kapatan yamalar yayınladı. CVE-2026-66066 koduyla izlenen bu açık, kimliği doğrulanmamış saldırganların özel hazırlanmış görseller yükleyerek sunucudaki dosyaları okumasına olanak tanıyor. Açık, veritabanı şifreleri ve API anahtarları gibi hassas bilgilerin sızmasına yol açabilir.
Nebula Security araştırmacıları, Firefox'ta düzeltilmiş bir JIT güvenlik açığının (CVE-2026-10702) yalnızca kötü amaçlı bir web sayfasını ziyaret ederek tetiklenebildiğini ve Tor Browser'ı da tehlikeye atabildiğini ortaya koydu. Mozilla tarafından yüksek önem derecesiyle değerlendirilen açık, Firefox 151.0.3 güncellemesiyle kapatıldı.
ProPublica'nın ulaştığı belgelere göre, yapay zeka şirketi Anthropic, Microsoft'un güvenlik açıklarını kapatma hızını geride bırakarak yüzlerce kritik ve önemli hata tespit etti. Microsoft, güvenlik önceliklerini savunurken, iç toplantılarda bu durumun 'aciliyet' yarattığını kabul etti.
Popüler kendi kendine barındırılan Git platformu Gitea, kritik bir uzaktan kod çalıştırma (RCE) güvenlik açığını giderdi. CVE-2026-60004 koduyla takip edilen ve 9.8 CVSS puanına sahip bu açık, depo yazma yetkisi olan herhangi bir kullanıcının sunucuda shell komutları çalıştırmasına olanak tanıyordu. Gitea 1.27.1 sürümüyle kapatılan açık, varsayılan kayıt ayarları sayesinde dışarıdan saldırganlar tarafından da kullanılabiliyordu.
Araştırmacılar, internete açık 36.872 BMC yönetim arayüzünden 24.650'sinin, IPMI v2.0 protokolündeki bir güvenlik açığı nedeniyle oturum açmadan önce parola hash'lerini sızdırdığını tespit etti. Bu açık, saldırganların çevrimdışı parola kırma saldırıları düzenlemesine olanak tanıyor. Dell, sorunun IPMI v2.0 spesifikasyonunun doğasında olduğunu ve bir yama bulunmadığını belirtti.
Gizlilik odaklı kripto para Zcash, kritik bir güvenlik açığının ardından Ironwood ağ yükseltmesini devreye aldı. Yükseltme, potansiyel sahte paraların dolaşıma girmesini engellerken, kuantum dirençli işlem kayıtları ve resmi olarak doğrulanmış kriptografi sunuyor.