Geçen hafta açıklanan ve CVSS puanı 10 üzerinden 10 olan CVE-2026-85706 kodlu yol geçişi açığı, GitLab sunucularından yetkisiz dosya okumasına izin veriyor. Açık, tedarik zinciri hedefli saldırılarda kullanılmaya başlandı ve CISA federal kurumlara yama yapma zorunluluğu getirdi. watchTowr araştırmacıları hafta sonu hassas yapılandırma dosyalarının sızdırıldığını tespit etti.
Onaylanmış bir pazarlama etiketi, güvenlik ekibinizin daha önce hiç görmediği dördüncü taraf kodlarını sessizce yükleyerek formlarınıza, müşteri verilerinize ve ödeme sayfalarınıza tam erişim sağlayabiliyor. Reflectiz ve Taboola uzmanlarının katıldığı bu web seminerinde, 'Onay Açığı' olarak adlandırılan bu güvenlik sorunu masaya yatırılıyor ve denetçiler, düzenleyiciler veya saldırganlar bulmadan önce bu açığın nasıl kapatılacağı anlatılıyor.
GitHub, npm 12 sürümünü yayınladı. Artık kurulum betikleri varsayılan olarak devre dışı bırakılıyor ve iki faktörlü kimlik doğrulamayı (2FA) atlamak için kullanılan Granüler Erişim Token'ları (GAT) kullanımdan kaldırılıyor. Bu değişiklikler, yazılım tedarik zinciri saldırılarına karşı önemli bir güvenlik önlemi olarak görülüyor.
Güvenlik firması AIR, sahte bir yapay zeka agent skill'i oluşturarak bunu popüler bir skill pazaryerinde ve Instagram reklamıyla yaydı. Firma, bu skill'in kurumsal hesaplar dahil 26.000 agent'a ulaştığını açıkladı. Test edilen tüm güvenlik tarayıcıları skill'i güvenli olarak işaretledi.