Araştırmacılara göre, Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), derinlemesine analiz için seçtiği CVE sayısını azalttı ancak bu hamle karmaşık sonuçlar doğurdu.
Kaynak: Dana Romanoff / Getty Images
⚑ Bu habere itiraz et — yanlış bilgi, kişilik hakkı veya telif bildirimi
Kaynak: Dark Reading
Vercel, Next.js’in ImageResponse özelliğinde kritik bir güvenlik açığı tespit edildiğini duyurdu. Açık, saldırganın kontrol ettiği değerlerin SVG çıktısına taşınması halinde sunucuda kod çalıştırılmasına imkan veriyor. Sorun 16.3.6 sürümüyle giderildi ve Node.js üzerinde çalışan 16.2.0 ile 16.3.5 sürümleri etkileniyor.
Açık kaynaklı Bifrost yapay zeka geçidinde kimlik doğrulaması kapalıyken uzaktan komut çalıştırılmasına yol açan kritik bir güvenlik açığı bulundu. CVE-2026-90898 olarak izlenen sorun varsayılan yapılandırmada etkileniyor ve aynı kök nedenden kaynaklanan ikinci bir açık da duyuruldu. Araştırmacılar yükseltme ve kimlik doğrulamasının zorunlu hale getirilmesini öneriyor.
Bu hafta Cisco ISE’de aktif olarak istismar edilen CVSS 10.0 puanlı kimlik doğrulama atlama açığı öne çıktı. Yapay zeka kodlama ajanlarında Plugin4Shell sıfır tıklamalı uzaktan kod çalıştırma açığı ve Brevo tedarik zinciri üzerinden yayılan ClickFix saldırıları gündemi belirledi. ABD yetkilileri NightmareStresser DDoS hizmetinin alanlarını ele geçirirken OpenAI ve diğer şirketler yeni güvenlik olaylarını açıkladı.
SolarWinds, Access Rights Manager'da kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya imkan veren yüksek şiddetli bir açığı kapattı. Açık CVE-2026-28326 olarak kayıtlı ve ARM 2026.2 ve önceki sürümleri etkiliyor. Şirket aynı zamanda Web Help Desk ve Serv-U ürünlerindeki bir dizi güvenlik sorununa da yama yayınladı.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, haftalık zafiyet bültenlerini 28 Eylül'den itibaren durduruyor. Karar, kuruluşların CVSS puanlarına göre değil gerçek risk üzerinden önceliklendirme yapması yönündeki baskıyı artırıyor. Ajans, kullanıcıların Bilinen Sömürülen Zafiyet Kataloğu ve resmi uyarılara yönelmesini istiyor.
Squid proxy yazılımında 29 yıl önce ortaya çıkan ve CVE-2026-47729 koduyla takip edilen 'Squidbleed' güvenlik açığı, aynı proxy'yi kullanan kullanıcıların şifrelenmemiş HTTP kimlik bilgilerini ele geçirilmesine zemin hazırlıyor. Güvenlik araştırmacıları, söz konusu açığın onlarca yıldır fark edilmeden kaldığını ortaya koydu.