Sıfır gün açıklarına ilişkin son haberler Oracle PeopleSoft, Ivanti Connect Secure, LMCache, Orkes Conductor, WordPress Click2Shell ve Chrome V8’teki kritik zafiyetleri ve aktif sömürüleri ele alıyor. Zincirleme kusurlar ve kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma riskleri, güncellemelerin hızlı uygulanmasını zorunlu kılıyor.
Microsoft Kasım ayı Patch Salısı'nda 1.093 güvenlik açığını kapattı, bunların 63'ü kritik seviyede ve aktif olarak istismar edilen bir Outlook sıfırıncı gün açığı bulunuyor. Exchange, SharePoint, Windows Search ve LDAP'ta kritik uzaktan kod çalıştırma açıkları öncelik listesinin başında yer alıyor. Uzmanlar internete açık sistemlerin hızla güncellenmesi gerektiğini vurguluyor.
Ruby on Rails’in Active Storage bileşenindeki kritik açık, ImageMagick ile işlenen yüklemeler üzerinden kimliği doğrulanmamış saldırganların sunucuya dosya yazmasına izin veriyor. Açık CVSS ölçeğinde 9.8 puan aldı ve 8.1.4.1 ile 8.0.5.2 sürümleriyle kapatıldı. Etkilenen uygulamaların derhal güncellenmesi ve ImageMagick politikalarının sıkılaştırılması öneriliyor.
Mayıs ayından beri ShinyHunters tarafından kullanılan kritik Oracle PeopleSoft açığının tek bir kusur değil üç zincirleme hata olduğu ortaya çıktı. Araştırmacılar, haziranda tek kimlikle kapatılan sorunun aslında SSRF ve güven kontrollerini aşan iki ek zafiyetten oluştuğunu belirtiyor. Mandiant, eylülde eğitim dışına taşan daha geniş bir saldırı dalgası tespit ettiğini açıkladı.
Güvenlik firması Volexity, Ivanti Connect Secure VPN cihazında üç sıfırıncı gün açığının zincirlenerek oturum açmadan root erişimi sağlandığını bildirdi. Ivanti iki açığı kapattı, üçüncü açığın yaması bekleniyor. Saldırı 3 Ekim'de başlamış, cihaz tamamen yamalı olmasına rağmen etkilendi.
Açık kaynaklı LMCache yazılımında bulunan kritik bir güvenlik açığı, çoklu işlem modunda çalışan sunucuya kimlik doğrulaması olmadan erişilerek kod çalıştırılmasına yol açıyor. JFrog tarafından 7 Ekim’de açıklanan ve 9,8/10 puan alan zafiyet için hâlâ yama bulunmuyor. Sorun, 0.3.9’dan 0.5.5’e kadar olan sürümleri etkiliyor ve varsayılan olarak yerel ağda dinleyen sunucu, erişilebilir adrese açıldığında uzaktan istismar edilebiliyor.
Fortinet, Orkes Conductor platformundaki kritik ön kimlik doğrulama uzaktan kod çalıştırma açığının yabanda aktif olarak istismar edildiğini açıkladı. CVE-2026-58138 kodlu zafiyet 9,8 CVSS puanıyla değerlendiriliyor ve 3.21.21'den 3.30.2'den önceki sürümleri etkiliyor. Şirket son günlerde binlerce saldırı girişimi tespit ederken kullanıcılara 3.30.2 veya daha yeni sürüme acilen yükseltme çağrısı yapıldı.
WordPress 7.1.1 ile kapatılan Click2Shell zinciri, oturum açmış bir yöneticinin açtığı özel bir bağlantıyla resmi dizinden tema kurulumunu otomatikleştiriyor. Açık tek başına yüksek riskli olsa da, zayıf bir tema ile birleştiğinde sunucuda kod çalıştırma riski kritik seviyeye çıkıyor.
Google, Perşembe günü yayımladığı güncellemelerle 230 güvenlik açığını yamaladı. Bu açıklar arasında, siber saldırganlar tarafından aktif olarak sömürülen ve sandbox içinde kod çalıştırılmasına olanak tanıyan bir Chrome V8 sıfır gün açığı da yer alıyor.
SonicWall, SMA 1000 serisi VPN cihazlarını etkileyen ve aktif olarak sömürülen iki sıfır gün açığını kapatmak için güvenlik güncellemeleri yayınladı. Saldırganların bu iki zafiyeti birleştirerek uzaktan kod çalıştırma zinciri oluşturduğu tespit edildi.
Microsoft, aylık güvenlik güncellemesiyle 398 zafiyeti kapattı. Güncellemedeki en kritik gelişme, Lazarus grubunun savunma ve havacılık firmalarını hedef alarak SYSTEM yetkisi kazandığı ve "Troy" adlı arka kapıyı yerleştirdiği Windows sürücüsü sıfır gün açığının yamalanması oldu. Ayrıca kullanıcı eylemi gerektirmeyen dört kritik güvenlik açığı daha kapatıldı.
İş zekası ve veri görselleştirme yazılımı Metabase, maksimum şiddetteki bir güvenlik açığının siber saldırganlar tarafından sıfır gün açığı olarak kullanıldığını duyurdu. Kimlik doğrulama gerektirmeyen bu açık, saldırganlara veritabanına sızma ve yönetici yetkisi elde etme imkanı tanıyor.
Oracle'ın ERP yazılımındaki kritik bir sıfır gün açığı, başta Amerikan üniversiteleri olmak üzere birçok kurumu hedef alan siber saldırılarda kullanıldı. ShinyHunters grubu bu açığı istismar ederek büyük miktarda hassas veriyi çalmayı başardı.
Microsoft, Haziran 2026 Patch Tuesday güncellemesinde Windows ve diğer yazılımları etkileyen yaklaşık 200 güvenlik açığını kapattı. Bu sayı şirket tarihinin aylık yama rekoru. Güncellemelerden yaklaşık otuz altısının kritik derecede tehlikeli olduğu belirtilirken, en az üç açık için istismar kodu dışarıya sızdı.