.avif)
Yazılım Tedarik Zinciri Güvenliği Haberleri
Kötü amaçlı paketler, bağımlılık saldırıları ve gerçek dünyadaki ihlaller dahil olmak üzere en son yazılım tedarik zinciri güvenliği olaylarından haberdar olun. Ne olduğunu, neden önemli olduğunu ve geliştiricilerin bir adım önde olmak için neleri düzeltmesi gerektiğini detaylıca inceliyoruz.
wfx-loot kampanyası, CI gizli bilgilerini çalan bir programı on binlerce depoya yayıyor
Ele geçirilmiş hesaplardan oluşan bir dalga, bir CI gizli bilgi hırsızını yayıyor. Etkilenip etkilenmediğinizi, hangi bilgilerin çalındığını ve hangi şifreleri değiştirmeniz gerektiğini öğrenin.
Linux çekirdeğindeki kritik TCP güvenlik açığı, uzaktan kod çalıştırılmasına yol açabilir (CVE-2026-98432)
CVE-2026-98432, uzaktan kod çalıştırılmasına olanak tanıyabilen ve 9,8 puanla derecelendirilmiş kritik bir Linux çekirdeği TCP güvenlik açığıdır. Kimlerin etkilendiğini, yamanın nasıl uygulanacağını ve şu anda ne yapılması gerektiğini öğrenin.
Node2Shell, HTTP2Shell’e dönüşüyor. Brotli güvenlik açığı (CVE-2026-111497) etkilenme alanı, HTTP kullanan birçok kütüphane ve uygulamayı etkiliyor.
Node2Shell’in ardındaki Brotli güvenlik açığı (CVE-2026-111497), Brotli veya brotlicffi kurulu olan ve HTTP kullanan birçok kütüphaneyi ve uygulamayı etkilemektedir. Sürümlerinizi kontrol edin ve düzeltme sürümüne güncelleyin.
Shai-Hulud 111 gün sonra yeniden ortaya çıktı
Bilinen bir Shai-Hulud solucan yükü (payload) 111 gün boyunca sessiz kaldı, ardından onu yakalaması gereken kötü amaçlı yazılım taramasını atlayarak npm'de yeniden yayınlandı.
StyleSmuggler çözümü: Magento ve Adobe Commerce RCE açığını kapatın
StyleSmuggler, Magento ve Adobe Commerce'i etkileyen, henüz CVE'si ve Adobe yaması bulunmayan kimlik doğrulaması gerektirmeyen bir RCE açığıdır. Aikido'nun çözümü şimdiden hazır.
MECCHA CHAMELEON, RCE'den saklanamaz
MECCHA CHAMELEON'da ikinci bir gecikmeli RCE bulduk: Kötü amaçlı özel bir harita, sisteminizde herhangi bir yere dosya yazabilir ve yeniden başlatmanın ardından kod çalıştırabilirdi. 4.0.0 sürümünde yamanmıştır.
TanStack Query'nin popüler kod üreteci tedarik zinciri solucanının hedefi oldu
TanStack Query için popüler bir kod üreteci olan @7nohe/openapi-react-query-codegen içinde kimlik bilgilerini çalan ve kurbanın yönettiği her pakete yayılan bir tedarik zinciri solucanı keşfedildi.
Popüler Rust crates’leri arrayref, append-only-vec ve internment, bir tedarik zinciri saldırısı sonucunda ele geçirildi
Bir tedarik zinciri saldırısı, popüler Rust paketleri olan arrayref, append-only-vec ve internment'ı tehlikeye attı; derleme zamanında uzak bir yükü indirip çalıştıran kötü amaçlı proc-macro1 paketine bir bağımlılık enjekte etti.
Gogs’ta yine bir RCE daha, ama bu sefer düzeltildi!
CVE-2026-52813 | Bir Aikido pentest ajanı, Gogs'ta bir path traversal açığı tespit etti. Açığı tam RCE seviyesine taşıdık ve iki hata daha bildirerek hepsinin 0.14.3 sürümünde giderilmesini sağladık.
Keyv ve arkadaşları, aktif bir Shai-Hulud tedarik zinciri saldırısında hedef alındı
4 Ağustos 2026 tarihinde, bir saldırganın bakım sorumlusunun GitHub hesabını ele geçirmesinin ardından, Mini Shai-Hulud kötü amaçlı yazılımı keyv ve bununla ilişkili sekiz npm paketine yerleştirildi
Anthropic'in Ateşli Rüyası: Claude'un gerçek anahtarları çalan paketi
Anthropic, PyPI’ye gerçek bir kötü amaçlı yazılım yükleyen bir ajanı ortaya çıkardı. Söz konusu paketi bulduğumuzu düşünüyoruz ve içindeki her hata, yapay zekaya işaret ediyor.
NodeBB'de altı saat içinde sekiz yüksek önem dereceli güvenlik açığı bulmak
AI sızma testimiz tarafından altı saat içinde tespit edilen sekiz adet yüksek önem derecesine sahip NodeBB güvenlik açığı. XSS zincirleri, kimlik doğrulama atlamaları ve gönderi ele geçirme saldırılarının tam teknik analizi.
SleeperGem: RubyGems tedarik zinciri saldırısı, pasif bakımcı hesaplarını hedef alıyor
SleeperGem: Güvenilir gem’lere kötü amaçlı yazılım yerleştirmek amacıyla, toplam indirme sayısı 500.000’i aşan bir tanesi de dahil olmak üzere, iki adet aktif olmayan RubyGem bakımcı hesabı ele geçirildi
WordPress çekirdeğinde (wp2shell), SQL enjeksiyonu yoluyla kimlik doğrulaması yapılmamış uzaktan kod yürütme (RCE)
WordPress çekirdeğinde, SQL enjeksiyonu olduğu doğrulanan, kimlik doğrulaması gerektirmeyen bir uzaktan kod yürütme (RCE) (wp2shell) güvenlik açığı bulunmaktadır. Henüz yama uygulayamıyorsanız, önlemleri alarak hemen 7.0.2 veya 6.9.5 sürümüne güncelleyin. Aikido Zen ile saldırı sınıfını çalışma zamanında engelleyin.
Şimdi güvenliğinizi sağlayın
Kodunuzu, bulutunuzu ve çalışma zamanınızı tek bir merkezi sistemde güvenceye alın.
Güvenlik açıklarını otomatik olarak hızla bulun ve düzeltin.
