.avif)
Yazılım Tedarik Zinciri Güvenliği Haberleri
Kötü amaçlı paketler, bağımlılık saldırıları ve gerçek dünyadaki ihlaller dahil olmak üzere en son yazılım tedarik zinciri güvenliği olaylarından haberdar olun. Ne olduğunu, neden önemli olduğunu ve geliştiricilerin bir adım önde olmak için neleri düzeltmesi gerektiğini detaylıca inceliyoruz.
wfx-loot kampanyası, CI gizli bilgilerini çalan bir programı on binlerce depoya yayıyor
Ele geçirilmiş hesaplardan oluşan bir dalga, bir CI gizli bilgi hırsızını yayıyor. Etkilenip etkilenmediğinizi, hangi bilgilerin çalındığını ve hangi şifreleri değiştirmeniz gerektiğini öğrenin.
Linux çekirdeğindeki kritik TCP güvenlik açığı, uzaktan kod çalıştırılmasına yol açabilir (CVE-2026-98432)
CVE-2026-98432, uzaktan kod çalıştırılmasına olanak tanıyabilen ve 9,8 puanla derecelendirilmiş kritik bir Linux çekirdeği TCP güvenlik açığıdır. Kimlerin etkilendiğini, yamanın nasıl uygulanacağını ve şu anda ne yapılması gerektiğini öğrenin.
Node2Shell, HTTP2Shell’e dönüşüyor. Brotli güvenlik açığı (CVE-2026-111497) etkilenme alanı, HTTP kullanan birçok kütüphane ve uygulamayı etkiliyor.
Node2Shell’in ardındaki Brotli güvenlik açığı (CVE-2026-111497), Brotli veya brotlicffi kurulu olan ve HTTP kullanan birçok kütüphaneyi ve uygulamayı etkilemektedir. Sürümlerinizi kontrol edin ve düzeltme sürümüne güncelleyin.
Ele geçirilmiş @injectivelabs/sdk-ts, sahte telemetri aracılığıyla cüzdan anahtarlarını sızdırıyor
@injectivelabs/sdk-ts paketinin kötü niyetli bir sürümü, “kullanım telemetrisi” olarak etiketlenmiş kodun içine bir cüzdan anahtarı hırsızını gizlemiş ve bunu 17 npm paketine daha yaymıştır. İşte bunun nasıl işlediği ve projelerinizi nasıl kontrol edebileceğiniz.
Rocket.Chat'te MongoDB ObjectId'i sürekli olarak tahmin etme
Aikido'nun yapay zeka tabanlı sızma testi uzmanı, Rocket.Chat'te bu dosya erişim açığını tespit etti. MongoDB'nin ObjectId değerine daha yakından bakıldığında, bu açığın istismar edilmesine yol açan zayıf rastgelelik ortaya çıktı.
Varsayılan phpBB yapılandırmasında kimlik doğrulama atlatma
Yapay zeka tabanlı sızma testi uzmanlarımız, phpBB’de kritik bir kimlik doğrulama atlama açığı (CVE-2026-48611) tespit etti: Kimlik doğrulaması yapılmamış tek bir istek, herhangi bir hesaba giriş yapmanıza olanak tanıyor. Açığın ayrıntılarına ve düzeltme yöntemine göz atın.
Güvenliği ihlal edilmiş GitHub eylemi codfish/semantic-release-action, CI/CD sırlarını çalıyor
codfish/semantic-release-action, 24 Haziran 2026 tarihinde ele geçirildi. Saldırganlar, v2–v5 etiketlerini, CI/CD gizli bilgilerini hedef alan bir Miasma kimlik bilgisi çalma yüküne yönlendirdi. İşte neler olduğu ve bu durumdan etkilenip etkilenmediğinizi nasıl kontrol edebileceğiniz.
140'tan fazla popüler Mastra npm Paketi Tedarik Zinciri Saldırısına Uğradı
Yükleme sırasında bir yükü sessizce indirip çalıştırmak üzere kötü amaçlı bir bağımlılık ekleyen bir tedarik zinciri saldırısı sonucunda 141 Mastra npm paketi ele geçirildi.
Birden fazla JetBrains IDE eklentisi AI anahtarlarını çalarken yakalandı
Yedi farklı satıcı hesabı altında yayınlanan, en az 15 JetBrains IDE eklentisinden oluşan koordineli bir kampanya, ayarlarına yapıştırdığınız yapay zeka sağlayıcısının API anahtarını ele geçiriyor.
Güvenliği ihlal edilmiş Rust crate'i onering, kod sızdırma gerçekleştiriyor.
Crates.io'da bulunan ve güvenliği ihlal edilmiş onering Rust crate v1.4.1 sürümü, her derleme işleminde en son commit'inizin farkını barındırılan bir Sentry uç noktasına sızdıran kötü amaçlı bir build.rs dosyası içeriyordu.
phpBB'de, binlerce forumda on milyonlarca kullanıcıyı etkileyen 10 yıllık kritik bir güvenlik açığı.
Aikido Security, phpBB’de on milyonlarca kullanıcıyı etkileyen, kimlik doğrulaması gerektirmeyen kritik bir kimlik doğrulama atlama açığı keşfetti. Herhangi bir hesabı ele geçirmek için tek bir HTTP isteği yeterli — bu güvenlik açığı, 2014 yılından beri kod tabanında mevcut.
Durun, binding.gyp Neler Yapabilir ki? npm'in En Garip Derleme Sistemini Keşfetmek.
Yükleme sırasında kabuk genişletmeleri, sanal alan kaçışları ve derleyici ele geçirme yoluyla zararlı kod çalıştırabilen, ancak genellikle göz ardı edilen npm derleme dosyası olan binding.gyp’yi derinlemesine inceleyelim.
Red Hat npm Paketleri, Kimlik Bilgisi Çalan Bir Solucanı Yaymak İçin Güvenliği İhlal Edildi.
Açık kaynaklı Mini Shai-Hulud kötü amaçlı yazılımından türetilen ve bulut kimlik bilgilerini ile CI/CD boru hatlarındaki geliştirici araçlarını hedef alan, kimlik bilgilerini çalan bir solucan nedeniyle, @redhat-cloud-services hesabına ait çok sayıda resmi npm paketi ele geçirildi.
Meşru Görünümlü Codex Uzak Kullanıcı Arayüzü, Yapay Zeka Token'larınızı Gizlice Çalıyor.
Codex’in özenle tasarlanmış uzaktan kullanım arayüzü olan “codexui-android” adlı npm paketi, aktif olarak geliştirilmekte olup haftalık binlerce kullanıcıya sahiptir. Bu paket, geçtiğimiz bir ay boyunca OpenAI kimlik doğrulama jetonlarını fark edilmeden sızdırıyordu.
Tedarik Zinciri Saldırısı, Kimlik Bilgisi Çalan Bir Yazılımla Laravel-Lang Paketlerini Hedefliyor.
Saldırganlar, popüler Laravel-Lang paketlerinin 200'den fazla sürümüne bir kimlik bilgisi hırsızı yerleştirdiler; bu hırsız, bulut anahtarlarını, SSH anahtarlarını, tarayıcıları, kripto cüzdanlarını ve daha fazlasını hedef alıyordu.
Şimdi güvenliğinizi sağlayın
Kodunuzu, bulutunuzu ve çalışma zamanınızı tek bir merkezi sistemde güvenceye alın.
Güvenlik açıklarını otomatik olarak hızla bulun ve düzeltin.
