.avif)
Yazılım Tedarik Zinciri Güvenliği Haberleri
Kötü amaçlı paketler, bağımlılık saldırıları ve gerçek dünyadaki ihlaller dahil olmak üzere en son yazılım tedarik zinciri güvenliği olaylarından haberdar olun. Ne olduğunu, neden önemli olduğunu ve geliştiricilerin bir adım önde olmak için neleri düzeltmesi gerektiğini detaylıca inceliyoruz.
wfx-loot kampanyası, CI gizli bilgilerini çalan bir programı on binlerce depoya yayıyor
Ele geçirilmiş hesaplardan oluşan bir dalga, bir CI gizli bilgi hırsızını yayıyor. Etkilenip etkilenmediğinizi, hangi bilgilerin çalındığını ve hangi şifreleri değiştirmeniz gerektiğini öğrenin.
Linux çekirdeğindeki kritik TCP güvenlik açığı, uzaktan kod çalıştırılmasına yol açabilir (CVE-2026-98432)
CVE-2026-98432, uzaktan kod çalıştırılmasına olanak tanıyabilen ve 9,8 puanla derecelendirilmiş kritik bir Linux çekirdeği TCP güvenlik açığıdır. Kimlerin etkilendiğini, yamanın nasıl uygulanacağını ve şu anda ne yapılması gerektiğini öğrenin.
Node2Shell, HTTP2Shell’e dönüşüyor. Brotli güvenlik açığı (CVE-2026-111497) etkilenme alanı, HTTP kullanan birçok kütüphane ve uygulamayı etkiliyor.
Node2Shell’in ardındaki Brotli güvenlik açığı (CVE-2026-111497), Brotli veya brotlicffi kurulu olan ve HTTP kullanan birçok kütüphaneyi ve uygulamayı etkilemektedir. Sürümlerinizi kontrol edin ve düzeltme sürümüne güncelleyin.
Güvenlik Ekipleri Yapay Zeka Destekli Hacker'lara Karşı Nasıl Mücadele Ediyor?
Yapay zeka, bilgisayar korsanları için engelleri önemli ölçüde azalttı. Bunun güvenlik uzmanları için ne anlama geldiği ve sürekli yapay zeka tabanlı sızma testlerinin durumu nasıl değiştirdiği aşağıda açıklanmaktadır.
Storybook'un geliştirme sunucusunda WebSockets kullanarak Kalıcı XSS/RCE
CVE-2026-27148, Storybook’ta tedarik zincirinin ele geçirilmesine yol açabilecek bir WebSocket ele geçirme açığını ortaya koymaktadır. Saldırı yolunu, etkisini ve düzeltme yöntemlerini öğrenin.
Host Header Enjeksiyonu ile Astro Tam Okuma SSRF
Aikido Security’nin yapay zeka tabanlı sızma testi ajanı, Astro’nun SSR uygulamasında bir Sunucu Tarafı İstek Sahteciliği (SSR) güvenlik açığı tespit etti. Önceden oluşturulmuş hata sayfalarında Host başlığı enjeksiyonunun nasıl tam iç ağ erişimine olanak sağladığını öğrenin.
SvelteSpill: SvelteKit + Vercel'de Bir Önbellek Aldatma Hatası
SvelteSpill, Vercel üzerinde barındırılan varsayılan SvelteKit uygulamalarını etkileyen bir önbellek yanıltma (cache deception) zafiyetidir. Kimliği doğrulanmış yanıtlar önbelleğe alınabilir ve kullanıcılar arasında açığa çıkabilir. Zafiyet barındırıp barındırmadığınızı nasıl kontrol edeceğinizi ve riskleri nasıl azaltabileceğinizi öğrenin.
npm arka kapısı, bilgisayar korsanlarının kumar sonuçlarını ele geçirmesine olanak tanıyor
Hedef odaklı bir npm tedarik zinciri saldırısı; bir Express arka kapısı kuruyor, uzaktan SQL/dosya erişimi sağlıyor ve günlükleri (log) tutarlı tutarak kumar bakiyelerini yeniden yazıyor.
npx Karmaşası: Kendi Adını Talep Etmeyi Unutan Paketler
Resmi belgelerde geliştiricilere npx ile çalıştırması söylenen 128 adet kullanılmayan npm paket adını sahiplendik. Yedi ay sonra: 121.000 indirme. Hepsi rastgele (arbitrary) kod çalıştıracaktı.
Sahte Clawdbot VS Code Uzantısı, ScreenConnect RAT Yüklüyor
Clawdbot kimliğine bürünen kötü amaçlı bir VS Code eklentisi, geliştirici makinelerine ScreenConnect RAT yüklüyor.
G_Wagon: 100'den Fazla Kripto Cüzdanını Hedefleyen Python Stealer Dağıtan npm Paketi
ansi-universal-ui npm paketi; 100'den fazla kripto cüzdanını, tarayıcı kimlik bilgilerini ve bulut anahtarlarını hedef alan GWagon bilgi hırsızını (infostealer) dağıtıyor. Saldırgan gerçek zamanlı olarak güncelleme yaparken her 10 sürümü de analiz ettik.
Phishin'e Kapılmak: Özel Kimlik Bilgisi Toplama Sayfaları Sunan npm Paketleri
Hedef odaklı bir oltalama (spear-phishing) kampanyası, npm paketlerini ve jsDelivr'ı ücretsiz bir oltalama altyapısı olarak kullanarak her kurbana özel kimlik bilgisi toplayıcılar sundu.
Kötü Amaçlı PyPI Paketleri spellcheckpy ve spellcheckerpy, Python RAT Dağıtıyor
Saldırganlar, ortalıkta açıkça gizlenmiş zararlı yazılımlar içeren sahte imla denetleyicisi paketlerini PyPI'da yayınladı. Saldırıyı ve geliştiricilerin nelere dikkat etmesi gerektiğini inceliyoruz.
Ajan Yetenekleri, Sanrısal npx Komutlarını Yayıyor
Yapay zeka ajan yetenekleri, hayali npx komutlarını yayarak geliştiriciler ve tedarik zincirleri için gerçek güvenlik ve güvenilirlik riskleri oluşturuyor.
Kritik n8n Güvenlik Açığı, Kimlik Doğrulaması Olmadan Uzaktan Kod Çalıştırılmasına İzin Veriyor (CVE-2026-21858)
n8n'deki kritik bir güvenlik açığı (CVE-2026-21858), şirket içi barındırılan (self-hosted) örneklerde kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına olanak tanır. Kimlerin etkilendiğini ve nasıl düzeltileceğini öğrenin.
Şimdi güvenliğinizi sağlayın
Kodunuzu, bulutunuzu ve çalışma zamanınızı tek bir merkezi sistemde güvenceye alın.
Güvenlik açıklarını otomatik olarak hızla bulun ve düzeltin.
