Yazılım güvenliğinde kritik açıklar ve hızlı yamalar gündemi belirliyor. GitLab ve N-central gibi platformlardaki kimlik doğrulamasız uzaktan kod çalıştırma zafiyetleri, Go sertifika güncellemesi ve zararlı npm paketi gibi tehditler öne çıkıyor.
Git projesinde özyinelemeli klonlama sırasında zararlı bir depodan kod çalıştırılmasına yol açan bir güvenlik açığı bulundu. Sorun CVE-2026-111760 olarak izleniyor ve Git 2.56.1 ile birlikte bir dizi eski sürüm için de düzeltmeler yayınlandı. GitHub, düzeltmeleri kendi hizmetlerine uyguladı ve kullanıcılara geçici önlemler önerdi.
Siber güvenlik araştırmacıları, AhsayCBS yazılımındaki iki kritik açığın kullanılarak sistemlere sızıldığını ortaya çıkardı. Saldırganların, analiz araçlarından kaçan özel bir Python arka kapısı ve kripto para madencileri yerleştirdiği belirlendi.
Ruby, Onigmo düzenli ifade motorundaki üç hatayı kapatmak için 4.0.9, 3.4.12 ve 3.3.13 sürümlerini yayınladı. Hatalar GitLab'da son bir ayda yamalanan dört kritik uzaktan kod çalıştırma açığının kaynağı oldu. Güncelleme yapılamayan sistemler için güvensiz girdiden ifade derlemeyi durdurma önerildi.
GitLab 21 Ekim'de 7.0 sürümüne kadar uzanan kritik bir açığı kapattı. CVE-2026-110264 olarak izlenen zafiyet CVSS 10.0 puan aldı ve kendi yönetilen sunucularda kimlik doğrulaması olmadan kod çalıştırmaya izin veriyor. Sorun Ruby'nin Onigmo regex motorundaki tamsayı taşmasından kaynaklanıyor ve şirket saldırı izine rastlamadığını açıkladı.
Go ekibi 20 Ekim'de Go 1.27.3 ve Go 1.26.10 sürümlerini yayınlayarak sertifika doğrulayıcısında sekiz ara sertifika otoritesi anahtarını engelledi. Engelleme URGENT izinde yapıldı ve eMudhra'ya ait ara sertifikalarla ilişkilendirildi. Güncelleme geri alınamıyor ve yeniden derlenmedikçe eski davranış korunuyor.
indexed-btree adlı zararlı npm paketi, yaşam döngüsü betikleri yerine çalışma zamanı koduna gizlenmiş yükleyiciyle tespit edildi. Paket milyonlarca indirme topladıktan sonra kaldırıldı ve tehdit aktörünün kripto para kazancı elde ettiği belirlendi. Aynı dönemde PolinRider kampanyasının Packagist'te yeniden aktif olduğu da açıklandı.
N-able, N-central platformundaki kritik kimlik doğrulamasız uzaktan kod çalıştırma açığı için beş hafta içinde dördüncü acil durum yamasını yayınladı. Açığın aktif olarak istismar edilmesi üzerine CISA, zafiyeti KEV kataloğuna ekleyerek federal kurumlara 11 Eylül'e kadar yama zorunluluğu getirdi. Şirket, tüm yerel kurulumların vakit kaybetmeden güncellenmesi gerektiğini vurguladı.
OWASP, modern çağa uygun yeni bir güvenlik listesi yayınladı ve AI eklentilerine tutarlılık ve güvenlik eklemek için Evrensel Beceri Formatı'nı tanıttı. Bu liste, AI becerileri risklerini vurguluyor.
Zcash'ın Tachyon yükseltmesi kuantum hazırlığı ve gizli ödemeleri ölçeklendirme hedefiyle dikkat çekerken, Bitcoin ve Ethereum ağlarında kritik yazılım hataları ve staking değişiklikleri sektörün gündemini oluşturuyor.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Yazılım Malzeme Listesi (SBOM) alanlarında iki düzineye yakın değişiklik içeren yeni bir rehber yayımladı. Değişiklikler SBOM'ları daha kapsamlı hale getirse de, bazı uzmanlar çerçevenin gerçek risk yönetimi iyileştirmelerinden yoksun olduğunu savunuyor.
Popüler yapay zeka destekli kodlama platformu Cursor IDE'de, zehirli depolardan kötü amacılı kodun otomatik olarak çalıştırılmasına olanak tanıyan bir güvenlik açığı keşfedildi. Araştırmacılar, Aralık ayında Cursor'a bildirdikleri açığın hâla düzeltilmediğini ve saldırganlar tarafından kullanılabileceğini belirtiyor.
Yapay zeka destekli kodlama araçları, kullanıcı başına aylık 19 ila 200 dolar arasında değişen maliyetler sunarken, güvenlik taraması, düzeltme ve yanlış pozitifler gibi gizli maliyetler de beraberinde geliyor. Peki bu araçların sağladığı üretkenlik artışı, güvenlik risklerine değer mi?
Boeing destekli otonom hava taksi girişimi Wisk Aero, eski çalışanı Briahna O'Neill tarafından dava edildi. O'Neill, araç yönetim sistemindeki güvenlik açıklarını raporlamasına rağmen işten atıldığını ve şirketin ilk uçuş hedefini tutturmak için yazılım testlerini kasıtlı olarak hızlandırdığını iddia ediyor.
Güvenlik borcuyla boğuşan siber güvenlik ekipleri için yanıt aranan iki temel soru var: Sistemlerdeki hangi açıklar saldırılara karşı savunmasız ve bu açıklar ne kadar süre böyle kalabilir? Veracode'un kurucusu Chris Wysopal, odağı bu iki soruya çekmenin güvenlik borcunu eritmenin en kestirme yolu olduğunu savunuyor.
Eğitim sektörünü hedef alan siber saldırganlar strateji değiştirdi: Doğrudan okullara saldırmak yerine artık bu okulların bağımlı olduğu EdTech yazılım şirketlerine yöneliyorlar. Dark Reading'in Reporters' Notebook video serisi, bu tedarik zinciri tehditini ve eğitim kurumları için yarattığı zorlukları mercek altına alıyor.
Siber güvenlik araştırmacıları, 'Cordyceps' adını verdikleri yeni bir CI/CD güvenlik açığını ortaya çıkardı. Zararlı pull request'ler üzerinden işleyen bu zafiyet; Microsoft, Google, Apache, Cloudflare ve Python Software Foundation'ın önemli projelerini tehlike altına sokuyor.