--- title: "AMD işlemcilerde güvenlik açığı: Kötü niyetli sunucular gizli sanal makinelerden veri çalabiliyor" url: "https://teknotayf.com/haber/amd-islemcilerde-guvenlik-acigi-kotu-niyetli-sunucular-gizli-sanal-makinelerden-veri-calabiliyor" markdown_url: "https://teknotayf.com/haber/amd-islemcilerde-guvenlik-acigi-kotu-niyetli-sunucular-gizli-sanal-makinelerden-veri-calabiliyor.md" site: "teknotayf.com" language: "tr" published: "2026-11-13 18:27:05" updated: "2026-11-15 01:46:22" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Bulut Güvenliği","Donanım Güvenliği","AMD","Sanal Makineler"] source: "The Hacker News" --- # AMD işlemcilerde güvenlik açığı: Kötü niyetli sunucular gizli sanal makinelerden veri çalabiliyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/amd-islemcilerde-guvenlik-acigi-kotu-niyetli-sunucular-gizli-sanal-makinelerden-veri-calabiliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** AMD'nin SEV-SNP korumalı sanal makinelerini hedef alan Mior ve Skyfall adlı iki yeni saldırı yöntemi ortaya çıktı. Bu açıklar, sunucu operatörlerinin gizli tutulması gereken verilere erişmesine ve bellek üzerinde değişiklik yapmasına olanak tanıyor. - **Yayın tarihi:** 2026-11-13 18:27 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Bulut Güvenliği, Donanım Güvenliği, AMD, Sanal Makineler - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/11/new-mior-and-skyfall-attacks-let-rogue.html) ![AMD işlemcilerde güvenlik açığı: Kötü niyetli sunucular gizli sanal makinelerden veri çalabiliyor](https://teknotayf.com/assets/uploads/2026/11/c463b367753b9252fa49d16b3004faae.jpg) Bu hafta kamuoyuna açıklanan iki farklı saldırı yöntemi, **AMD SEV-SNP** korumalı sanal makinelerin (VM) içindeki verilerin kötü niyetli bir ana bilgisayar tarafından okunmasına imkan tanıyor. Bu teknoloji aslında sunucu operatörünün verilere erişimini engellemek için tasarlanmıştı. Mior adı verilen saldırı, sanal makinenin belleğini değiştirebiliyor ve hangi yazılımın çalıştığını onaylayan imzalı raporları taklit edebiliyor. Her iki saldırı için de sunucunun hipervizör kontrolünün ele geçirilmesi gerekiyor; Mior için ek olarak BIOS kontrolü de şart. Araştırmacılar, her iki yöntemi de AMD EPYC sunucu işlemcileri üzerinde yaptıkları laboratuvar testlerinde kanıtladı. İşlemci üreticisi AMD, Mior için SEV donanım yazılımı, Skyfall için ise mikro kod güncellemelerini 12 ağustos tarihinde yayınladı. Şirket, Skyfall için kasım, Mior için ise aralık ayında sunucu üreticilerine platform donanım yazılımlarını sunmayı planlıyor; gömülü çipler için düzeltmeler daha sonra gelecek. Müşterilerin, BIOS güncellemelerini doğrudan sunucu üreticilerinden temin etmeleri gerekiyor. SEV-SNP, AMD EPYC sunucu işlemcilerine gizli hesaplama (confidential computing) özelliği kazandırıyor. Sistem, donanım destekli bellek şifreleme ve erişim kontrolü kullanarak sanal makineyi, ana bilgisayarın hipervizöründen bile koruyor. Mior saldırısını geliştiren ETH Zürih ekibi, SEV-SNP'yi başlangıç aşamasında hedef aldı. Başlangıç sırasında, çip üzerindeki Platform Güvenlik İşlemcisi (PSP), Reverse Map Table (RMP) adlı bir tabloyu dolduruyor. RMP, belleğin her sayfasının kime ait olduğunu ve üzerinde hangi işlemlerin yapılabileceğini kaydediyor. Ekip, PSP'nin bellek yazma işlemlerini ana bellek yerine kontrol ettikleri bir ekran kartının belleğine yönlendirdi. PSP'nin değerleri kontrol etmek için geri okuduğuna inanan araştırmacılar, ekran kartının bu değerleri geri döndürebileceğini öngördü. Başlangıç işlemi hatasız tamamlandı ancak tablonun kendisini koruyan girişler dahil olmak üzere gerçek RMP'nin bir kısmı başlatılmamış olarak kaldı. Bu durum, hipervizörün RMP korumalarını yeniden yazmasına imkan tanıdı. Ekip, gizli bir sanal makinede kapalı olan hata ayıklama (debugging) özelliğini aktif hale getirdi ve PSP'nin kendi hata ayıklama komutlarını kullanarak sanal makinenin belleğini okuyup yazdı. İki farklı test çalışmasında yapılan **1.000 denemenin tamamı** başarıyla sonuçlandı. SEV-SNP ayrıca sanal makine başladığında yazılım imajını ölçüyor ve PSP, bu ölçümü içeren onay raporlarını imzalıyor. İkinci bir testte ekip, zararsız bir sanal makinenin ölçümünü kötü niyetli bir makineye kopyaladı; böylece kötü niyetli makinenin raporları, sistemde zararsız bir imaj varmış gibi göründü. Mior raporuna göre saldırı için hipervizör ve BIOS (UEFI) kontrolünün yanı sıra ekran kartı gibi bir PCIe aygıtı gerekiyor. Testler sırasında ekip, çipin bellek yönlendirme ayarlarını kilitsiz bırakmak için BIOS'u modifiye etti. Araştırmacılar, AMD'nin SEV-SNP için tanımladığı tehdit modeline göre hareket ettiklerini, AMD'nin UEFI'ye açıkça güvenmediğini, dolayısıyla bir saldırganın UEFI'yi değiştirebileceğini belirtti. Sıradan sanal makineler zaten ana bilgisayarlarına ve donanım yazılımlarına güvendiği için Mior'un onlar üzerinde yeni bir tehdit oluşturmadığı ifade edildi. Ekip, Mior'u Zen 5 mimarili bir EPYC 9135 üzerinde çalıştırdı. Zen 3 ve Zen 4 çiplerin de etkilenme ihtimali olduğunu düşünseler de, BIOS'u değiştirebilecekleri bir kurulumları olmadığı için bu modellerde test yapmadılar. Hata ayıklama ve onay testlerinin her ikisi de, şifreli metin gizleme (ciphertext hiding) özelliği açıkken çalıştı. Bu isteğe bağlı özellik, hipervizörün şifrelenmiş sanal makine belleğini okumasını bile engelliyor. Aynı araştırmacıların daha önce gerçekleştirdiği Fabricked ve RMPocalypse saldırıları da SEV-SNP başlangıcında RMP'yi bozmuştu. Ekip, Mior'un bunlardan bağımsız ayrı bir açık olduğunu ve önceki düzeltmelerden önceki eski donanım yazılımlarında da çalıştığını belirtti. Skyfall ise ETH Zürih ve Google'dan bir ekibin çalışması. Bu saldırı, AMD işlemcilerde komut zamanlaması üzerinden veri sızdıran Transient Scheduler Attacks (TSA) adlı açıklar grubuna dayanıyor. TSA ilk olarak 8 temmuz 2025'te açıklanmıştı. Ekip, hipervizör kasıtlı olarak bir sanal makinenin başlatılmasını engellediğinde, işlemcinin sanal makinenin kayıtlı durumunun bir kısmını önbelleğe aldığını keşfetti. Bu veriler normal temizleme işlemleri yapılmadan orada kalıyor ve hipervizör TSA aracılığıyla bu verilere erişebiliyor. Bu yöntemle ekip, bir test makinesinden kayıtlı register değerlerini ve bir disk şifreleme anahtarını kurtardı. Anahtarı elde etmek için sanal makinenin çekirdeğini, anahtar register'larda olduğu anda duracak şekilde değiştirdiler. Gerçek bir saldırıda, hipervizörün anahtar register'lara ulaşana kadar SEV-Step tekniğiyle sanal makineyi adım adım ilerletebileceği belirtildi. Skyfall ayrıca sanal makine belleğini de okuyabiliyor ancak hedef sayfanın sadece üç sabit önbellek satırına (0x0c0, 0x380 ve 0x3c0 ofsetleri) erişebiliyor; sayfanın geri kalanı erişilemez durumda kalıyor. Saldırı için kötü niyetli bir ana bilgisayar veya hipervizör gerekiyor ancak donanım müdahalesi şart değil. Ekip, saldırıyı Zen 3 mimarili EPYC 7313 ile Zen 4 mimarili EPYC 9124 ve 9334 çiplerinde test etti; Zen 5 çiplerde ise sızıntı görülmedi. Sanal makinelerin ötesinde Skyfall ekibi, üç test çipinin tamamında şifresi çözülmüş mikro kod güncellemelerini okumayı başardı. Ayrıca, normalde işletim sistemi çekirdeğinin bile okuyamadığı Sistem Yönetim Modu (SMM) belleğindeki register değerlerini kurtardılar. Her iki saldırı için de makinede ayrıcalıklı yazılım bulunması gerekiyor. Skyfall makalesini kabul eden IEEE Güvenlik ve Gizlilik Sempozyumu program komitesi, çalışmanın gerçekçi bir saldırı için gerekenleri göz ardı ettiğini belirtti. Bunlar arasında; diğer etkinliklerden arınmış bir işlemci çekirdeği, başarısız sanal makine başlatmaları, yüksek hızda performans sayacı okumaları ve saldırı sırasında çökmeyen veya zaman aşımına uğramayan bir sanal makine bulunuyor. ## Etkilenen İşlemciler ve Çözümler AMD, Mior açığını **CVE-2026-0462** koduyla takip ediyor ve CVSS 4.0 ölçeğinde 5,9 puanla derecelendiriyor. Skyfall'un sanal makine sızıntısını ise 4,9 puanla CVE-2026-40671 koduyla takip eden şirket, açığı sanal makine register verilerini ifşa eden bir hata olarak tanımlıyor. Mior için şirket, sadece SEV-SNP'nin etkilendiğini, önceki SEV ve SEV-ES sürümlerinin etkilenmediğini belirtti. Her iki açık için de aynı beş EPYC sunucu serisi listelendi ve şu çözümler sunuldu: Mior platform donanım yazılımı (hedef), Mior SEV donanım yazılımı (12 ağustos), Skyfall platform donanım yazılımı (hedef), Genoa_100J Yama 3 (kasım). İki bildirimde TurinPI_1.0.0.C paketi için farklı hedef aylar verildi. Skyfall mikro kodu bu serilerin her biri için 12 ağustos tarihli. Instinct MI300A hızlandırıcı için 21 eylül tarihli bir Skyfall yaması mevcut; gömülü EPYC modelleri için düzeltmeler ise 2027 ocak ve nisan ayları arasında gelecek. Mior ekibi, açığı hafifleten güncellenmiş donanım yazılımının halihazırda yayında olduğunu, Skyfall ekibi ise yeni mikro kodun yayınlandığını belirtti. Bildirimlerde bu güncellemelerin tek başına mı yoksa sadece BIOS güncellemelerinin parçası olarak mı çalıştığı belirtilmedi ve herhangi bir geçici çözüm sunulmadı. Sunucu üreticisi Supermicro, H12, H13 ve H14 anakartlarındaki düzinelerce açığı kapsayan bir BIOS düzeltme listesi yayınladı. Aynı sayfalarda, anakartların ayrıca bir BMC donanım yazılımı güncellemesine ihtiyaç duyduğu ve şirketin etkilenen ürünleri test etmeye devam ettiği belirtildi. Düzeltmeler ana bilgisayarın donanım yazılımına uygulandığı için, gizli sanal makineler kiralayan müşteriler bunları yüklemek için bulut sağlayıcılarına bağımlı durumda. Mior ile ilgili bildirim, her düzeltilmiş donanım yazılımı sürümünün yanına SNP onayı için TCB (güvenilir hesaplama tabanı) değerlerini ekledi ancak sanal makine sahiplerinin bunları nasıl kontrol etmesi gerektiğini açıklamadı. Her iki bildirimde de açıkların gerçek saldırılarda kullanılıp kullanılmadığına dair bilgi verilmedi. Her iki ekip de kodlarını yayınladı; Mior'un kavram kanıtlama kodu, bellek yönlendirme ayarlarının kilitsiz bırakılması için yamalanmış bir BIOS gerektiriyor. EDK II projesi, Skyfall'un SMM sızıntısına CVE-2026-18448 kodunu atayarak 5,6 puan verdi. AMD'nin EDK II bülteni, hatanın EDK II donanım yazılımı kodundaki eksik TSA önlemlerinden kaynaklandığını ortaya koydu. Bülten, gömülü modeller dahil EPYC ve Ryzen çiplerini listeliyor; şirketin önceki TSA önlemlerini ve mevcut olduğunda EDK II yamasını öneriyor. Yukarıda listelenen beş EPYC sunucu serisi için bültende sadece kasım ayında gelecek olan yama belirtildi. EPYC 4004 ve 4005 modelleri dahil diğer çipler için düzeltmeyi içeren platform donanım yazılımı halihazırda mevcut. EDK II projesinin kendi bildirimi ise bugün itibarıyla yamalanmış bir sürüm listelemiyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/amd-islemcilerde-guvenlik-acigi-kotu-niyetli-sunucular-gizli-sanal-makinelerden-veri-calabiliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.