.avif)
Yazılım Tedarik Zinciri Güvenliği Haberleri
Kötü amaçlı paketler, bağımlılık saldırıları ve gerçek dünyadaki ihlaller dahil olmak üzere en son yazılım tedarik zinciri güvenliği olaylarından haberdar olun. Ne olduğunu, neden önemli olduğunu ve geliştiricilerin bir adım önde olmak için neleri düzeltmesi gerektiğini detaylıca inceliyoruz.
wfx-loot kampanyası, CI gizli bilgilerini çalan bir programı on binlerce depoya yayıyor
Ele geçirilmiş hesaplardan oluşan bir dalga, bir CI gizli bilgi hırsızını yayıyor. Etkilenip etkilenmediğinizi, hangi bilgilerin çalındığını ve hangi şifreleri değiştirmeniz gerektiğini öğrenin.
Linux çekirdeğindeki kritik TCP güvenlik açığı, uzaktan kod çalıştırılmasına yol açabilir (CVE-2026-98432)
CVE-2026-98432, uzaktan kod çalıştırılmasına olanak tanıyabilen ve 9,8 puanla derecelendirilmiş kritik bir Linux çekirdeği TCP güvenlik açığıdır. Kimlerin etkilendiğini, yamanın nasıl uygulanacağını ve şu anda ne yapılması gerektiğini öğrenin.
Node2Shell, HTTP2Shell’e dönüşüyor. Brotli güvenlik açığı (CVE-2026-111497) etkilenme alanı, HTTP kullanan birçok kütüphane ve uygulamayı etkiliyor.
Node2Shell’in ardındaki Brotli güvenlik açığı (CVE-2026-111497), Brotli veya brotlicffi kurulu olan ve HTTP kullanan birçok kütüphaneyi ve uygulamayı etkilemektedir. Sürümlerinizi kontrol edin ve düzeltme sürümüne güncelleyin.
Google API anahtarları, siz sildikten sonra bile çalışmaya devam ediyor.
Bir Google API anahtarını silmek, anahtarın geçerliliğini hemen sona erdirmez. Yaptığımız testlerde, silme işleminden sonra 23 dakikaya kadar başarılı kimlik doğrulamaları gerçekleştiği görüldü ve Google bu sorunu gidermeyi reddetti.
VS Code eklentilerinin Vahşi Batısı ve zehirli bir eklentinin GitHub'ı nasıl ihlal ettiği
Dün, Visual Studio Marketplace’te Nx Console (2,2 milyon yükleme) uzantısının 18 dakika boyunca ele geçirilmesinden bir gün sonra, zararlı bir VS Code uzantısı GitHub’a sızdı ve otomatik güncelleme özelliği açık olan tüm kullanıcılara ulaştı.
Kötü amaçlı bir VS Code eklentisi aracılığıyla GitHub ihlal edildi: geliştirici cihazları neden asıl hedef?
GitHub, zararlı bir VS Code eklentisinin bir çalışanın cihazını ele geçirdiğini ve 3.800 adet şirket içi depoyu açığa çıkardığını doğruladı. Geliştirici iş istasyonları neden artık tedarik zincirinin bir numaralı hedefi haline geldi?
Microsoft'un PyPi'daki durabletask paketi ele geçirildi. Mini Shai Hulud yine saldırıyor... yine!
Microsoft ile bağlantılı bir Python paketinin kademeli olarak ele geçirilen üç sürümü, AWS ve Kubernetes üzerinden yayılan, bulabildiği tüm bulut kimlik bilgilerini sızdıran ve İsrail ile İran’daki sistemlerdeki diskleri silen tam özellikli bir bilgi hırsızı sunuyor
Mini Shai-Hulud yine iş başında: npm solucanı yüzlerce @antv paketini ele geçirdi
Mini Shai-Hulud npm solucanı, Alibaba’nın @antv paketlerini, echarts-for-react ve timeago.js’yi etkiledi. Bu solucanın yükü, CI/CD gizli bilgilerini çalıyor, VS Code ve Claude Code’a arka kapılar yerleştiriyor ve ele geçirilmiş paketleri yeniden yayınlayarak yayılıyor. İşte neler olduğu ve ekibinizi nasıl koruyabileceğiniz.
Mini Shai-Hulud Geri Döndü: npm Solucanı Mistral ve Tanstack dahil 160'tan fazla paketi etkiledi
Mini Shai-Hulud geri döndü; TanStack, UiPath, Squawk ve diğer platformlarda bulunan 169 npm paketini ele geçirerek geliştirici ve CI/CD gizli bilgilerini çaldı, ardından güvenilir yayın iş akışları yoluyla yayıldı.
Popüler PyTorch Lightning Paketi Mini Shai-Hulud Tarafından Ele Geçirildi
Popüler PyTorch Lightning sürümleri 2.6.2 ve 2.6.3’te, Mini Shai-Hulud kampanyası kapsamında kimlik bilgilerini, kripto cüzdanlarını ve VPN yapılandırmalarını çalan bir kötü amaçlı yazılım tespit edildi.
Mini Shai-Hulud, Bun Tabanlı Bir Gizli Bilgi Çalıcısı ile SAP npm Paketlerini Hedefliyor
Güvenliği ihlal edilmiş SAP npm paketleri, GitHub, npm, bulut ve CI gizli bilgilerini çalmak için Bun tabanlı bir ön yükleme yükü kullanıyor ve ardından OhNoWhatsGoingOnWithGitHub aracılığıyla GitHub üzerinden yayılıyor.
Birisi, .env dosyalarınızı çalmak için sahte bir "tanstack" paketinin dört sürümünü 27 dakika içinde yayınladı.
Sahte bir "tanstack" npm paketi, bugün 27 dakika içinde dört adet kötü amaçlı sürüm yayınlayarak, kurulum sonrası kancası aracılığıyla .env dosyalarını sızdırdı. İşte neler olduğu, kimlerin etkilendiği ve kimlik bilgilerinizi nasıl değiştireceğiniz.
Tarayıcı eklentilerini tedarik zinciri saldırı vektörleri gibi ele alma zamanı geldi.
Vercel güvenlik ihlali, güvenlik sektörünün çok iyi bildiği bir senaryoyu izledi: Üçüncü taraf koduna zımnen güvenilir, ardından bu kod kaynakta ele geçirilir. Bunun için bir çerçeve yapımız var. Sadece bunu henüz tarayıcı uzantılarına uygulamadık. (Spoiler: Yazılım bağımlılıkları için bunu yapıyoruz)
Shai-Hulud Geri mi Döndü? Güvenliği İhlal Edilmiş Bitwarden CLI, Kendi Kendini Yayan Bir npm Solucanı İçeriyor.
@bitwarden/cli v2026.4.0 sürümünde tespit edilen kötü amaçlı yazılım, SSH anahtarlarını, bulut gizli bilgilerini ve yapay zeka kodlama aracı kimlik bilgilerini çalıyor, ardından kurbanların kendi npm paketleri aracılığıyla yayılıyor. İçinde: Kendisine “Shai-Hulud: The Third Coming” adını veren bir solucan bulunuyor.
Şimdi güvenliğinizi sağlayın
Kodunuzu, bulutunuzu ve çalışma zamanınızı tek bir merkezi sistemde güvenceye alın.
Güvenlik açıklarını otomatik olarak hızla bulun ve düzeltin.
