İnternet dünyası son günlerde birbirinden bağımsız çok sayıda güvenlik olayıyla karşı karşıya. PHP‘deki kritik açıklar, GitLab sunucularında uzaktan kod çalıştırılmasına imkan tanıyabilecek bir güvenlik hatası, HTTP/3 sunucularını çökerten zafiyetler ve dijital sertifikalara ilişkin endişeler birbirinin peşi sıra geliyor. Yapay zeka altyapılarına yönelik saldırılar ve yazılım tedarik zincirindeki ihlaller de tabloya eklenince internetin güvenliğini sağlayan pek çok katmanda aynı anda alarm verilmiş durumda.
Detaylarını zaten önceki haberlerde aktardığımız üzere PHP açıklarının ardından birçok kurum ve web sitesi erişimi kapatma kararı aldı. Acil koduyla yayınlanan güncellemeler uygulanmaya çalışılırken aynı zamanda bu açıklardan yararlanmaya çalışan çok sayıda siber saldırı da gerçekleştiriliyor.
PHP’deki gelişmeler tek başına bile geniş çaplı bir güncelleme çalışmasını gerektirirken aynı dönemde başka temel yazılım bileşenlerinde de önemli güvenlik sorunları ortaya çıktı.
GitLab’da 12 yıllık geçmişe uzanan kritik açık
Siber güvenlik gündemindeki en dikkat çekici gelişmelerden biri de GitLab‘dan geldi. Yazılım geliştirme ekiplerinin kodlarını saklamak, projelerini yönetmek ve birlikte çalışmak için kullandığı platform, en yüksek önem derecesi olan 10 üzerinden 10 puanlık bir güvenlik açığı için güncelleme yayımladı.
CVE-2026-110264 koduyla takip edilen açık, belirli koşullar altında saldırganların herhangi bir kullanıcı hesabıyla oturum açmadan sunucuda istedikleri kodları çalıştırmasına imkan tanıyabiliyor. Sorunun kaynağında özel olarak hazırlanmış bir düzenli ifadenin işlenmesi sırasında meydana gelen tam sayı taşması bulunuyor. Düzenli ifadeler, yazılımların metinleri belirli kalıplara göre aramasını ve işlemesini sağlayan bir mekanizma.
Açığın kapsamı da endişe verici. GitLab’ın açıklamasına göre sorun, 2014 yılında yayımlanan 7.0 sürümünden itibaren bütün sürümlere uzanıyor. Şirket, 21 Ekim’de yayımladığı güncellemeyle açığı giderdiğini duyurdu. Eski sürümler için de yine düzeltmeler hazırlandı.
Şirket, açığın saldırılarda kullanıldığına dair bir bulgu paylaşmadı. Buna karşılık kendi sunucularında GitLab çalıştıran kuruluşların güncellemeyi ayrıca uygulaması gerekiyor. Güncelleme sırasında bazı sürümlerde veritabanı değişiklikleri nedeniyle kesinti yaşanabileceği de belirtiliyor
HTTP/3 sunucuları tek bir bağlantıyla çökertilebiliyor
İnternetin yeni nesil bağlantı protokollerinden HTTP/3’ü etkileyen güvenlik açıkları da gündemde. Güvenlik araştırmacılarının ortaya çıkardığı QPACK kaynaklı hatalar, saldırganın kullanıcı hesabına ihtiyaç duymadan tek bir bağlantıyla savunmasız sunucuları devre dışı bırakmasına yol açabiliyor.
HTTP/3, internet siteleriyle kullanıcıların cihazları arasındaki veri aktarımını düzenleyen protokolün yeni sürümü. QPACK ise bu iletişim sırasında tekrarlanan başlık bilgilerinin daha az veriyle gönderilmesini sağlıyor. Ancak bazı uygulamalarda sıkıştırılmış verinin açıldıktan sonra kapladığı bellek yeterince erken sınırlandırılmıyor.
Bunun sonucunda saldırgan, sunucuya görece küçük miktarda veri göndererek çok daha büyük bir bellek tüketimi oluşturabiliyor. Araştırmacıların testlerinde bazı uygulamalarda bellek kullanımındaki artış 4.000 kata kadar ulaştı. Sunucunun belleğinin tükenmesi, yeni bağlantılara yanıt verememesine ve hizmetin kesilmesine neden olabiliyor.
Araştırma kapsamında test edilen 10 HTTP/3 uygulamasının yedisinde aynı türden sorunlar tespit edildi. quic-go, Cloudflare quiche, lsquic ve Wireshark için düzeltmeler yayımlanırken Bun, aioquic ve Rust tabanlı h3 kütüphanesi için açıklama sırasında henüz bir düzeltme bulunmuyordu.
Node.js için dört yüksek önem dereceli açık kapatıldı
Web siteleri ve sunucu uygulamalarının geliştirilmesinde yaygın kullanılan Node.js de aynı dönemde kritik güvenlik güncellemeleri aldı. JavaScript kodunun tarayıcı dışında, sunucularda ve farklı uygulamalarda çalışmasını sağlayan platformda dört yüksek önem dereceli güvenlik açığı giderildi.
Açıklanan sorunlardan biri, saldırganın uzaktan kod çalıştırmasına imkan tanıyabilecek nitelikteydi. Diğer iki açık ise TLS doğrulamasının atlatılmasına yol açabilecek sorunlarla ilişkiliydi. TLS, internet üzerinden aktarılan verilerin şifrelenmesini ve bağlantı kurulan sunucunun kimliğinin doğrulanmasını sağlayan güvenlik mekanizması.
Bu tür bir doğrulama sorunu, uygulamanın karşısındaki sunucunun gerçekten bağlanmak istediği hizmet olup olmadığını kontrol etmesini zorlaştırabilir. Özellikle hassas bilgileri işleyen uygulamalarda bu kontrollerin doğru çalışması önem taşıyor.
eMudhra da hedefte
Gündemin en kritik başlıklarından biri, internet bağlantılarının güvenliğini sağlayan dijital sertifikalarla ilgili. Hindistan merkezli sertifika otoritesi eMudhra’ya ait sekiz ara sertifikanın özel anahtarlarının tehlikeye girdiği ortaya çıktı. Sorun, tekil sitelerin yanı sıra bu sertifikalara güvenen tarayıcıları, uygulamaları ve sunucuları da ilgilendiriyor.
Dijital sertifikalar, bir internet sitesinin kimliğini doğrulamak için kullanılıyor. Tarayıcı bir siteye güvenli bağlantı kurarken sertifika zincirini kontrol ediyor. Bu zincirdeki ara sertifikalar, üst düzey sertifika otoriteleriyle internet siteleri arasında güven ilişkisi kurulmasına yardımcı oluyor.
eMudhra olayında sorun, söz konusu sertifikaların özel anahtarlarının son derece zayıf üretilmiş olması. Normalde tahmin edilmesi mümkün olmayacak kadar geniş bir olasılık aralığına sahip olması gereken anahtarların, yalnızca birkaç bitlik güvenlik sağlayacak kadar küçük değerlerden oluştuğu bildirildi. Bu durum, anahtarların ele geçirilmesini veya yeniden oluşturulmasını son derece kolay hale getirdi.
Bu anahtarlara sahip bir saldırgan, güvenilir görünen sahte internet sertifikaları üreterek başka siteleri taklit edebilir. Böyle bir saldırı, kullanıcıyla gerçek hizmet arasına girerek şifreli iletişimin dinlenmesine veya değiştirilmesine imkan tanıyabilir. Bunun için saldırganın trafiği araya girerek yönlendirebildiği bir konumda olması da gerekiyor.
Google, Mozilla ve diğer teknoloji sağlayıcıları etkilenen sertifikaları engellemek için adımlar attı. Google’ın açıklamasına göre 17 Ekim’de alınan ihbarın doğrulanmasının ardından Chrome’da ilgili anahtarları engelleyen güncelleme devreye alındı. Android cihazlar için de Google Play Hizmetleri üzerinden koruma sağlandı. Go programlama dilinin 1.27.3 ve 1.26.10 sürümleri de etkilenen sekiz anahtarla ilişkili sertifika zincirlerini reddedecek şekilde güncellendi.
Go programlama dili sekiz sertifika anahtarını acil olarak engelledi
eMudhra olayı, yazılım ekosisteminde beklenmedik bir başka gelişmeye de yol açtı. Go ekibi, 20 Ekim’de yayımlanan 1.27.3 ve 1.26.10 sürümlerinde söz konusu sekiz ara sertifika anahtarından geçen bağlantıları reddeden bir değişiklik yaptı.
Go, bulut altyapılarından sunucu uygulamalarına kadar geniş bir alanda kullanılıyor. Bu nedenle yapılan değişiklik, yalnızca Go ile yazılmış uygulamaları geliştiren kişileri ilgilendirmiyor. Bu uygulamalara dayanan hizmetlerin de güncellenmesini gerektirebiliyor.
Go ekibi, hangi sertifika otoritesine ait olduklarını ilk açıklamasında belirtmediği anahtarları, işletimlerine ilişkin belirli güvenlik endişeleri nedeniyle engellediğini bildirdi. Anahtarların eMudhra ile eşleştirilmesi ise yayımlanan özetlerde aktarılan teknik incelemelere dayanıyor.
NGINX’te beş güvenlik açığı giderildi
İnternet sitelerinin büyük bölümünde istekleri karşılamak, trafiği yönlendirmek ve uygulamalarla kullanıcılar arasında bağlantı kurmak için kullanılan NGINX de güvenlik güncellemeleri yayımladı. F5 bünyesindeki NGINX ekibi, 14 Ekim’de beş güvenlik açığını gidermek üzere 1.30.6 ve 1.31.7 sürümlerini duyurdu.
Açıkların üçü bellek yönetimiyle ilgiliydi ve belirli yapılandırmalarda sunucu süreçlerinin çökmesine, bazı koşullarda ise uzaktan kod çalıştırılmasına imkan tanıyabilirdi. Bir diğer sorun belirli TLS yapılandırmalarında istemci sertifikası kontrollerinin atlatılmasına yol açabilecek bir oturum sahteciliği riskini beraberinde getiriyordu. Beşinci açık ise HTTP/3 üzerinden gelen bir istekte fazladan verinin arka uç sunucuya aktarılmasına neden olabiliyordu. NGINX, kararlı sürüm kullananlara 1.30.6’ya, ana geliştirme dalını kullananlara ise 1.31.7’ye geçmelerini önerdi.
Yapay zeka altyapısı LiteLLM üzerinden saldırı düzenlendi
Son güncelerde yaşanan güvenlik sorunları yalnızca internet siteleri ve sunucu yazılımlarıyla sınırlı kalmadı. Birden fazla yapay zeka sağlayıcısına gönderilen istekleri tek bir altyapı üzerinden yönlendirmek için kullanılan açık kaynaklı LiteLLM de saldırıya uğradı.
Saldırganın projeye zararlı kod yerleştirdiği ve bu kodları PyPI, Docker Hub ve GitHub Container Registry gibi yazılım dağıtım platformlarında yayımladığı bildirildi. Bu platformlar, geliştiricilerin uygulamalarında kullandıkları paketleri ve hazır yazılım bileşenlerini indirmesine imkan tanıyor.
Zararlı paketlerde iki farklı işlevin öne çıktığı bildirildi. İlk bileşen, bulut hizmetlerine ait erişim bilgilerini, parolaları ve yapay zeka servislerinin kimlik bilgilerini çalmayı hedefliyordu. İkinci bileşen ise saldırganların ele geçirilen sistemlerde uzaktan komut çalıştırmasına imkan tanıyabilecek bir uzaktan erişim truva atıydı.
LiteLLM, zararlı sürümleri ve konteyner görüntülerini kaldırdığını açıkladı. Ancak daha önce bu sürümleri yükleyen kullanıcıların yalnızca yeni sürüme geçmesi yeterli olmayabilir. Etkilenen sistemlerin incelenmesi, erişim bilgilerinin değiştirilmesi ve olay müdahale adımlarının uygulanması gerekiyor.
Railway saldırısında API anahtarları ve veritabanı parolaları tehlikede
Bulut tabanlı uygulama geliştirme ve barındırma platformu Railway de 21 Ekim’de bir güvenlik ihlali yaşandığını duyurdu. Şirketin ilk incelemelerine göre yetkisiz bir üçüncü taraf, müşterilerin uygulamalarında kullanılan ortam değişkenlerine erişmiş olabilir. Bu veriler arasında API anahtarları, veritabanı parolaları ve özel yazılım depolarına erişim bilgileri bulunabiliyor.
Ortam değişkenleri, uygulamaların çalışması ve yazılımın dağıtılması sırasında ihtiyaç duyduğu ayarları ve gizli bilgileri saklamak için kullanılıyor. Bu nedenle söz konusu bilgilere erişilmesi, saldırganların yalnızca Railway üzerindeki uygulamalarla sınırlı kalmayıp bu uygulamaların bağlandığı diğer hizmetlere de ulaşmasına imkan tanıyabilir. Railway, bazı verilerin şifresi çözülmüş hallerine erişilmiş olabileceğini de belirtti.
Şirket, olayın yapay zeka modellerini çalıştıran altyapı sağlayıcılarını hedef alan daha geniş bir saldırı dizisinin parçası olabileceğini düşünüyor. Bu kapsamda bağlantılı hizmet sağlayıcılarına bilgi verildiği ve olası risklere karşı erişim anahtarlarının iptal edilmesinin istendiği bildirildi. Ancak Railway, saldırının arkasındaki kişileri veya hedef alınan sağlayıcıları henüz açıklamadı.
Railway, müşterilerine uygulamalarda saklanan tüm gizli bilgileri değiştirmelerini, bağlantılı hizmetlerin kayıtlarını şüpheli etkinliklere karşı incelemelerini ve hesaplarında olağan dışı erişim olup olmadığını kontrol etmelerini önerdi. Şirket, hesabının saldırıdan etkilenip etkilenmediğine ilişkin kesin bildirim beklenmeden API anahtarlarının, veritabanı parolalarının ve diğer erişim bilgilerinin yenilenmesini istiyor.
Ayrı bir kripto para izleme paylaşımında ise Railway ihlaliyle bağlantılı olabileceğinden şüphelenilen bir cüzdandan en az 369.300 dolar değerinde varlığın HitBTC’ye ve başka adreslere aktarıldığı öne sürüldü. Söz konusu cüzdanın, CryptoBillis Ledger Drainer ile ilişkilendirilen bir adresten de fon aldığı belirtildi. Ancak cüzdanın Railway saldırısıyla bağlantısı henüz doğrulanmış değil.
Siber kıyamet mi yaşanıyor?
Son günlerde siber güvenlik dünyasında peş peşe yaşanan olaylar, internet altyapısının ne kadar kırılgan olabileceğini bir kez daha ortaya koyuyor. PHP ve GitLab gibi yaygın kullanılan yazılımlardaki kritik açıklar, yapay zeka altyapılarına yönelik saldırılar, dijital sertifikalardaki güvenlik sorunları ve bulut platformlarında yaşanan veri ihlalleri aynı döneme denk geldi. Üstelik bazı açıklar uzaktan sistemlere müdahale edilmesine, bazıları hizmetlerin devre dışı bırakılmasına, bazı ihlaller ise hassas erişim bilgilerinin ele geçirilmesine kapı aralayabiliyor.
Bütün bu olaylar tek bir saldırının parçası olmasa da internetin farklı katmanlarında aynı anda alarm verilmesi, güvenlik ekiplerinin üzerindeki baskıyı artırıyor. Özellikle eski yazılımların güncellenmesi ve çalınmış olabilecek erişim bilgilerinin yenilenmesi önümüzdeki günlerde birçok kuruluş için öncelikli gündem maddesi olacak. Henüz tüm detaylar ortaya çıkmış değil ancak tüm bu yaşananlarda yapay zeka araçlarının rolü de merak konusu.
