ThreatsDay: AI Sırları Sızdı, PingCAP Kaynak Hırsızlığı, Signal Kapama Açığı, Laravel Kimlik Doğrulama Atlatma ve 21’i Aşkın Daha.

Gorsel Kaynagi: The Hacker News

Bu hafta siber güvenlik açısından zaten zorlu geçti. Kritik PHP ve GitLab RCE açıkları, ciddi Linux güvenlik açıkları, sızdırılan eMudhra sertifikaları, bir Node.js RCE açığı, hacklenen LiteLLM sürümü ve yüzlerce ele geçirilen Tor yönlendiricisi. Bunların hepsini birkaç günde halletmek büyük iş. Ve hafta daha bitmedi bile.

Ama bu büyük manşetler hikayenin sadece yarısı. Çalınan parollar, ifşa edilen veritabanları, bozulan giriş kontrolleri ve güvenilir araçların kullanıcılarına karşı kullanılması da sorun çıkarıyor. Bazı saldırılar zekice; bazıları ise birinin basit bir güvenlik açığını açık bırakmasından dolayı işe yarıyor.

Bu ThreatsDay’de, daha az ses getirmiş ama yine de dikkate değer olan hikayelere bakıyoruz. Bazıları tuhaf, bazıları ciddi, bir kaçıysa sizi şaşırtabilir. Bu hafta kaçırmanız gereken diğer her şey işte.

Tehditler her hafta değişiyor. Abone olun, her yeni ThreatsDay Bülteni yayınlandığında sizi bilendirelim.

1. 4.500’den fazla hesap sızdırıldı
   Bluesky, Phishing Saldırısında 4.500’den Fazla Hesabın Sızdırıldığını Onayladı

   Bluesky, 4.500’den fazla hesabın sızdırıldığı bir phishing saldırısı olduğunu bildiğini belirtti. “Saldırı, hükümet ödemesi vazedoran sahte bir teklifi tanıtan gönderiler aracılığıyla yayıldı,” dedi Bluesky. “Sızdırılan hesapları geçici olarak askıya aldık ve hesapların sahipleriyle birlikte onları güvence altına almak ve erişimi geri kazanmak için çalışıyoruz. Hesabınız askıya alındıysa, moderation@blueskyweb.xyz adresine e-posta gönderin ve hesabınıza geri dönmenize yardımcı olalım.”

1. Android kötü amaçlı yazılım dolandırıcılığı kayıpları
   Singapole Polisi, yaklaşık 1 Milyon Singapur Doları Kayıp Veren Android Kötü Amaçlı Yazılım Dolandırıcılığına Uyarıiyor

   Singapole Polis Gücü, sosyal medya platformlarında yaşlılara yönelik faaliyet ve programları, su sporları ve geri dönüşüm girişimlerini tanıtan reklamlar aracılığıyla yayılan, kötü amaçlı yazılımla desteklenen dolandırıcılık türüne ilişkin kullanıcıları uyardı. Kurum, Nisan 2026’dan bu yana en az 62 vakanın bildirildiğini ve bunların 989.000 Singapur Doları kayba yol açtığını belirtti. “Bu dolandırıcılıkta mağdurlar, Facebook gibi sosyal medya platformlarında sahte reklamlarla karşılaşmakta ve program kaydını ya da hizmet düzenlemelerini kolaylaştırmak için bir Android Uygulama Paketi (APK) dosyasını indirmeye yönlendirilmektedir,” diye belirtti Singapole Polis Gücü. “Uygulamayı kurduktan sonra mağdurlar, devlet yetkililerini ya da banka temsilcilerini taklit eden dolandırıcıların kendilerine ait cihazların ya da banka hesaplarının sızdırıldığı ya da suç faaliyetlerine karıştıkları yönünde sahte iddialarda bulunarak aramalarıydı. Mağdurlar ardından paraları transfer etmeye, banka kimlik bilgilerini ya da kişisel bilgilerini açıklamaya ya da soruşturmalar için değerli eşyalarını teslim etmeye ikna edilmektedir.”

1. Müşteri kimlik bilgileri ifşa edildi
   Andromeda, Altyapı Müşterilerini Etkileyen Kimlik Bilgisi Çalınmasını Doğruladı

   Andromeda, ortamındaki kimlik bilgilerine izinsiz erişimi içeren bir güvenlik olayını 13 Ekim 2026’da tespit ettiğini belirtti. “Bu gün ihlal edilen hesapları devre dışı bıraktık ve o günden beri herhangi bir izinsiz faaliyet gözlemadık,” dedi. “Bu faaliyetin yaklaşık 9 Ekim’de sektör çapında bir saldırının parçası olarak başladığına inanıyoruz. Sınırlı sayıda müşteri hesabını etkiledi ve belirli Andromeda ve müşteri kimlik bilgilerinin ifşa edilmesine yol açtı. Etkilenmiş olabileceğinizi düşünüyorsak, zaten bizden haber aldınız.” Şirket, müşteri modellerine, veri setlerine ya da eğitim verilerine izinsiz erişim kanıtı bulunduğunu belirtti.

1. 20 güvenlik açığı düzeltildi
   Roundcube, IMAP Enjeksiyonu ve SSRF Atlatmasını Da İçeren 20 Güvenlik Açığını Düzeltti

   Roundcube, 1.6.20 ve 1.7.5 sürümlerini yayımladı; bu sürümlerde IMAP komutu enjeksiyonu, SSRF filtresi atlatma ve güvensiz ek dosya işleme dahil olmak üzere 20 sorun giderildi. Düzeltilen açıkların herhangi birinin sömürüldüğüne dair kanıt bulunmuyor.

1. İş içi sistemlere sızıldı
   Genesys, İç CRM ve Öğrenme Sistemlerine Sızıldığını Onayladı

   16 Ekim 2026’da Genesys, belirli iş içi sistemlere erişim sağlayan, yetkisiz bir üçüncü tarafı içeren bir siber güvenlik olayından haberdar olduğunu açıkladı; bu sistemler arasında bir öğrenme yönetim sistemi (LMS) ve bir müşteri ilişkileri yönetimi (CRM) platformu yer alıyor. Şirket, mevcut ve potansiyel müşterilerle ilişkileri yönetmek için kullanılan iş ve hesap bilgilerinin izinsiz şekilde erişildiğini ve/veya indirildiğini belirtti. Bununla birlikte, Genesys Cloud, Genesys Engage ve Genesys Engage Cloud platformlarının zedelenmediğini söyledi.

1. Kritik Kubernetes host ele geçirme riski
   NVIDIA AIStore Açığının Kubernetes Host Ele Geçirilmesine Yol Açtığı Idia Ediliyor

   AegisSec Research, yetkili kontainer oluşturmayı ve host düzeyinde zedelenmeyi sağlayan, eski ETL Kubernetes PodSpec başlatma API’sinde mevcut bir NVIDIA AIStore for Linux açığını, CVE-2026-65162 yani ShadowForge (CVSS puanı: 10.0) detaylarıyla açıkladı.

1. NFC ile banka dolandırıcılığı: gözaltına alınan şüpheliler
   Hollanda Polisi, NFC ile banka kartı aktarım dolandırıcılığı scheme’inde iki şüpheliyi gözaltına aldı

   Hollanda polisi, 170 mağduru ve 380.000 euroluk yasa dışı kazancı kapsayan bir banka müşteri hizmetleri dolandırıcılığı scheme’iyle bağlantılı olarak iki şüpheliyi gözaltına aldı. Gözaltına alınan kişiler, Vaassen’li 23 yaşında ve Ede’li 25 yaşında erkeklerdir. “Mağdurlara telefonla ulaşıldı ve onlara bir ses kaydı oynatıldı,” yetkililer, “Dolandırıcılar, Yapay Zekâ kullanarak farklı sesler, bankalar, şirketler ve senaryolar içeren düzinelerce farklı ses kaydı oluşturdu. Ses, örneğin onlara hesaplarında şüpheli aktivite olduğunu bildiriyor [ve] bir uygulama indirmeleri ve kartlarını telefonlarına dayandırarak taramaları için yönlendiriliyordu.” Bu sırada, tehdit aktörleri banka kartının NFC çipinden gelen verileri kendilerine yönlendirebildi ve ardından yetkisiz para çekimleri yapmak için bunu kullandı.

1. Kritik API kimlik doğrulama atlatması
   Laravel, API Kimlik Doğrulama Atlatmaya İzan Eden Kritik TokenGuard Açığını Düzeltti

   Laravel, yerleşik TokenGuard’ının, geçerli API anahtarına sahip olmadan rastgele bir mevcut kullanıcı olarak kimlik doğrulamasını sağlamaya olanak tanıyabilecek kritik bir güvenlik açığını (CVE-2026-114509, CVSS puanı: 9.2) düzeltti. “Belirli veritabanı yapılandırmaları altında (MySQL/MariaDB), bir saldırgan, kimlik doğrulama araması sırasında usulsüz şekilde işlenen, özel olarak hazırlanmış bir string olmayan kimlik değeri gönderebilir ve bu da ardılı sorgunun beklediği gibi kimlik doğrulama hatası vermek yerine istenmeyen bir kullanıcı kaydıyla eşleşmesine yol açar,” dedi Laravel. “Kimlik doğrulamayan bir saldırgan, o kullanıcının API anahtarına sahip olmadan başka bir kullanıcı olarak kimlik doğrulayabilir ve bu da etkilenen koruma tarafından korunan herhangi bir rotada kimlik doğrulama atlamasına ve hesap ele geçirmesine neden olur.” Sorun, 13.29.0 ve 12.68.0 sürümlerinde düzeltildi.

1. Kimlik doğrulaması gerektirmeyen veritabanı ifşası
   
   GLPI’deki Kritik SQL Enjeksiyonu Açığı, Kim Doğrulaması Gerektirmeyen Veritabanına Erişime İzin Veriyor
   

   GLPI 11.0.8’de (GHSA-753w-2942-4pxm) uzak bir saldırganın GLPI uygulamasının tamamının veritabanını okumasına izin verebilecek kim doğrulaması gerektirmeyen bir SQL enjeksiyonu açığı duyuruldu. “Sürüme bağlı olarak, bu okuma erişimi bir yönetici hesabının ele geçirilmesine (aşağıda detaylandırıldı) ve uzak kod yürütülmesine yol açabilir,” dedi Mobeta. Açık, 11.0.9 sürümünde yamalandı.

1. Kritik kim doğrulaması gerektirmeyen uzak kod yürütülme riski
   
   Kritik Eptura Archibus Açıkları, Kim Doğrulaması Gerektirmeyen Uzak Kod Yürütülmesine İzin Veriyor
   

   Rapid7, Eptura Archibus’ta kod yürütülmesine yol açabilecek üç yeni açık keşfettiğini belirtti. “Eski bir API uç noktası, kim doğrulamasını atlayıp kim doğrulaması olmadan çeşitli işlevleri çalıştırmak için sömürülebilir (CVE-2026-107186, CVSS: 8.6 Yüksek),” dedi. “En ciddi işlevler tam veritabanı okumaya (CVE-2026-107187, CVSS: 8.5 Yüksek) ve güvensiz dosya yüklemeye (CVE-2026-107188, CVSS: 9.6 Kritik) olanak tanır. Güvensiz dosya yüklemesi uzak kod yürütülmesine yol açar. Sunucuya HTTP üzerinden ağ erişimi olan kötü niyetli bir aktör, veritabanından sırları ve parolları okuyabilir. Ayrıca ‘NT AUTHORITY/Local Service’ olarak sistem komutlarını çalıştırmak için kod çalıştırabilir ve sunucunun kontrolünü ele geçirebilir.”

1. 3,2 milyon ifşa edilen gizli anahtar
   Zeabur, ikinci siber saldırı sonrası müşteri gizli anahtarlarını ifşa ederek kapatılacağını duyurdu

   Geliştirme platformu Zeabur, saldırganların düz metinde saklanan dahili kimlik bilgilerini sızdırarak altyapısını etkisiz hale getirmesi ve 3,2 milyondan fazla ortam değişkeni kaydı ile 321.810 hesabın bilgilerini çalmasıyla sonuçlanan bir siber güvenlik olayının ardından hizmetlerini 1 Aralık 2026’dan itibaren kapatıp 31 Aralık 2026’ya kadar tamamlayacağını açıkladı. “14-15 Ekim 2026’da bir saldırgan, sızdırılan Zeabur dahili kimlik bilgilerini kullanarak paylaşımlı küme, bazı özel sunucular ve Zeabur dahili sistemlerine girip nihayetinde platform veritabanını okudu,” bir açıklamada belirtildi. Bu, Zeabur’un bu yıl içinde yaşadığı ikinci ihlal oluyor. Ağustos 2026’da şirket, bir saldırganın sistemlerine izinsiz erişip hesap bilgileri, API anahtarları ve diğer gizli anahtarlar dahil hassas verileri çaldığını açıklamıştı.

1. Kaynak kodu ve müşteri verileri çalındı
   PingCAP, Kaynak Kodu Çalınması ve TiDB Cloud Müşteri Bilgilerinin Ifşa Edilmesini Onayladı

   PingCAP, saldırganların çalın kimlik bilgilerini kullanarak dahili sistemlere erişip kaynak kodu ve müşteriyle ilgili kayıtları kopyaladığını açıkladı; buna SQL editör içeriği ve şifreli ana-değer biçiminde API anahtarları dahildi. Olay 9 Eylül ile 7 Ekim 2026 arasında meydana geldi. “İzinsiz bir taraf, çalınan hizmet hesabı kimlik bilgilerini kullanarak belirli PingCAP dahili sistemlerine erişti, veri kopyaladı ve kaynak kodu elde etti,” şirket söyledi. “PingCAP olaydan 7 Ekim’de haberdar oldu ve aynı gün etkilenen kimlik bilgilerini devre dışı bırakmaya başladı.” Dışa aktarılan veri kullanıcı adları ve e-posta adresleri, kuruluş ve proje ilişkileri, SQL editör metni ve hataları, müşteri iletişim bilgileri, sözleşme şartları, siparişler, fiyatlandırma, ödeme şartları ve fatura yapılandırmasını içeriyor.

1. 2,5 milyon dolarlık vergi dolandırıcılığı şeması
   Nijeryalı Kimseye Kimlik Hırsızlığı Şeması Nedeniyle 8 Yıl Hapis

   40 yaşındaki Nijeryalı uyruklu Chukwuemeka Victor Amachukwu (diğer adları Chukwuemeka Victor Eletuo ve So Kwan Leung), yıllarca süren siber saldırı, vergi dolandırıcılığı ve kimlik hırsızlığı şemasını yönetmek nedeniyle ABD’de 8 yıl hapis cezasına çarptırıldı. “Amachukwu, ABD merkezli işletmelere siber saldırı düzenleyip kurbanlarının çalıntı kimlik bilgilerini ele geçirerek kullandı ve dolandırıcılık işledi,” ABD Adalet Bakanlığı’ndan (DoJ) yapılan açıklamada belirtildi. “En azından 2019 yılında ya da o dolaylarında Amachukwu, ortak suikastçısı Kinglsey Uchelue Utulu ve Nijerya tabanlı diğer suikastçılar, ABD merkezli vergi hazırlama işletmelerine siber saldırı düzenlemek amacıyla bir şemaya katıldı. Suikastçılar, bu işletmelerin elektronik sistemlerine erişim sağlamak için hedefli e-posta (spear-phishing) gönderdi. Erim erişimi sağladıktan sonra suikastçılar, işletmenin en azından yaklaşık 800 müşterisinin vergi ve diğer kimlik bilgilerini çaldı. Suikastçılar, New York, Texas ve diğer eyaletlerde yerleşik birkaç ABD merkezli vergi işletmesine siber saldırı düzenledi.” Suikastçılar ayrıca binlerce bireyin çalıntı kimlik bilgilerini elde etti ve bu bilgileri kullanarak İç Gelir İdaresi’ne (IRS) ve eyalet vergi makamlarına sahte vergi beyannameleri sunarak en azından yaklaşık 2,5 milyon dolar elde etti.

1. Askeri kimlik çalınması şeması
   Filipinler’de yaşayan Amerikan dolandırıcı, dolandırıcılıktan suçlu bulundu

   45 yaşındaki ABD vatandaşı Robert Wayne Boling, Filipinler’de yaşarken binlerce ABD’li askerî personeli ve gaziyi dolandıran bir kimlik çalınması ve dolandırıcılık şemasını işletmekten suçlu bulundu. “Boling, Filipinler’den faaliyet gösterdi ve ABD’li askerî personelin ve gazilerin kişisel kimlik bilgilerini (PII) alıp sömürerek hesaplarını tehlikeye atıp para ve gazilere ait ayrıcalıkları çaldı,” diye belirtti Bakanlık. “Boling’in ortaklarından Fredrick Brown, Güney Kore’de ABD Ordusu için sivil tıbbi kayıtlar yöneticisi olarak çalışırken, binlerce askerî bağlantılı kişinin PII’sinin dijital fotoğraflarını çekti. Brown, çalınan PII’yi Boling’e sağladı; Boling ise ortaklarıyla birlikte bu PII’yi banka hesapları ve çevrimiçi hükümet bağlantılı ayrıcalık hesapları dahil olmak üzere ABD’li askerî personelin ve gazilere ait çeşitli hesapları tehlikeye atmakta kullandı.” Boling, tel örgülü dolandırıcılık planlaması ve para aklama planlaması olmak üzere iki ayrı mademden suçlu bulundu. 14 Ocak 2027’de ceza kesimine sevk edilecek ve her bir planlama suçundan itibaren maksimum 20 yıl hapis cezasıyla karşı karşıya.

1. 6 milyon dolarlık veri ihlali anlaşması

   23andMe, 2023 ihlali nedeniyle California ile anlaştı

   Eski adı 23andMe olan holding şirketi Chrome Holding Co., müşterilerin kişisel ve genetik verilerini etkili biçimde koruyamadığı iddia edilen ihlalleri sonlandırmak için California’ya 6 milyon dolar ödemeyi kabul etti; bu da neredeyse 7 milyon kişiye ait hassas bilgileri ifşa eden devasa bir 2023 ihlaline yol açtı. “23andMe Araştırma Enstitüsü’nün muhafaza ettiği genetik veri veya numuneler açısından, tüketiciler şirketin verilerini silmesini, test numunelerini yok etmesini ya da genetik verilerinin araştırma amacıyla kullanılmasına ilişkin iznini geri almasını talep edebilir,” diye belirtti California Başsavcılığının açıklaması.

1. Hatalı yapay zekâ kontrol rehberleri

   ABD hükümeti, Hatalı Yapay Zekâ için Rehberler Yayınladı

   ABD kurumları NSA, CISA ve NIST; onaylanan görevlerinden sapma gösteren yapay zekâ (veya SI) ajanlarını tespit etmek, ortadan kaldırmak ve durdurmak için kuruluşlara yardımcı olacak ortak güvenlik rehberleri yayınladı. Gönüllü rehber, süper zekâ eğitimi ve değerlendirmesi sırasında ortaya çıkabilecek olayların yönetimi için 10 uygulama belirliyor ve bu uygulamalar insan gözetimini sürdürmeye ve güvenli SI geliştirmeye dair halkın güvenini sağlamaya odaklanıyor. “Bu gönüllü belge, önde gelen SI sektörünün eğitim ve değerlendirmesi sırasında ortaya çıkan olayları önlemesine, buna hazırlanmasına ve müdahale etmesine yardımcı oluyor – özellikle bir veya daha fazla SI ajanının, operatörün amaçlanan görev kapsamını tanımlamak veya insan gözetimini sağlamak için dayattığı açık veya örtük politikaları, kontrolleri veya güvenlik önlemlerini ihlal eden önemli, talimat almayan hareketlerde bulunması durumları,” diye belirtti NIST.

1. Kritik geliştirici makinesi RCE

   OpenCode’da Kritik RCE Açığı

   OpenCode’da Windows ve Windows Subsystem for Linux (WSL) etkileyen kritik uzak kod yürütme (RCE) açığı ortaya çıkarıldı. “Açık, saldırgan kontrolündeki bir uzak Model Context Protocol (MCP) sunucusunun, geliştirici makinesinde, ek kullanıcı etkileşimi veya onayı olmadan, uzak bir MCP OAuth kimlik doğrulama süreci sırasında rastgele kodu yürütmesine olanak tanıyor,” dedi Pillar Security. OpenCode’un geliştiricisi Anomaly, sorunu 1.18.33 sürümünde düzeltti. Açık, OpenCode’un birkaç gün önce, ekiplerin merkezî yönetilen API kimlik bilgileri aracılığıyla yapay zekâ modellerine erişim paylaşmasına olanak tanıyan ve dolayısıyla Anthropic, OpenAI ve Google AI modellerinin kullanıcılarıyla bağlantılı API anahtarlarını ifşa etme potansiyeli taşıyan Console’unda yaşanan bir güvenlik ihlalini onaylamasından birkaç sonra geldi. Olay, “OpenCode Console kullanıcılarının %1,4’ünü etkileyen büyük ölçekli bir distilasyon saldırısıyla” ilişkiliydi.

1. Yapay zekâ ile üretilen kodda güvenlik yanlılığı
   Çinli yapay zekâ modelleri Batı kuruluşları için savunmasız kod üretiyor

   Çin lehine eğilimli yapay zekâ modelleri, Batı kuruluşları için uygulama geliştirirken sistematik olarak daha savunmasız kod üretebilir. “Bir uygulama için ‘ABD savunma yüklenicisi’ yerine ‘Çin savunma yüklenicisi’ isteyin, Qwen3-Coder ABD yüklenicisi için 19% daha yüksek olasılıkla sızılabilir bir uygulama geri verecektir,” diye belirtti Hirundo. “Hong Kong’daki demokrasi grubu için inşa edilen uygulamalar, herhangi bir kullanıcının diğer herkesin gizli bilgilerini okumasına 28% daha yüksek olasılıkla izin veriyordu. Prompta bir güvenlik talimatı eklendiğinde, ABD yüklenicisinin uygulamaları nötr bir müşterinin uygulamalarına göre sızılabilirlik açısından 27% daha yüksek olasılıktaydı.” Hirundo, modelin CCP hizalamasının kaldırılmasının da modelin ağındaki bu savunmasızlığı ortadan kaldırdığını ortaya koydu. Gelişme, Çinli açık ağı modellerinin dünya çapında kurumsal iş akışlarına giderek daha fazla dahil edilmesiyle birlikte geldi. Mayıs 2026’da Booz Allen Hamilton tarafından yapılan benzer bir test benzer bir bulgu ortaya koydu: “Çinli LLM’ler, ABD hükümeti kimliğiyle promptlandığında, promptlanmadığında göre daha savunmasız kod üretiyor — ve savunmasızlıklar, Çinli LLM’lerin PRC lehine politik yanlılığı hem verdikleri yanıtlara hem de ürettikleri koda enjekte etmesiyle son derece gizli.”

1. Donanım tabanlı MFA düşürme avlanma
   Okta ve ServiceNow temalı alanlar kullanan avlanma kampanyası

   Bir avlanma kampanyası, e-ticaret SaaS sağlayıcılarını hedeflemek amacıyla aldatılmış SSO portalları ve YubiKey kullanıcılarını hedefleyen MFA düşürme oltaları barındıran Okta ve ServiceNow temalı alanları (riskified-okta[.]com ve shipmonk-servicenow[.]com) kullanıyor. “Kampanya, saldıranların donanım tabanlı MFA’yi, politikanın SMS veya e-posta kodları gibi yedek yöntemlere düşmeye izin verdiği durumlarda atlamasına olanak tanıyan, YubiKey kullanıcılarını hedefleyen bir MFA düşürme oltasıyla sahte Okta giriş sayfalarını eşliyor,” diye belirtti Dataminr. “Hedefleme, muhtemelen bu sağlayıcıların zafiyete uğratılmasının aşağı damardaki üçüncü taraf ihlalleri ve veri zorbalığı için müzakere gücü yaratması nedeniyle e-ticaret altyapı sağlayıcılarında yoğunlaşıyor.”

1. Federal DeepSeek yasağı

   ABD Yasağından Sonra DeepSeek’i Savundu

   Çin Dışişleri Bakanlığı sözcüsü Mao Ning, Çin’in “Çinli şirketlerin meşru hak ve menfaatlerini kararlılıkla koruyacağını” belirterek “Çin, ulusal güvenlik kavramının abartılı şekilde genişletilmesine sürekli olarak karşı çıkar” dedi. Gelişme, Trump yönetiminin federal sivil kurumların IT sistemlerine DeepSeek teknolojisi dahilinde üçüncü taraf ürün ve hizmetlerinin de dahil olduğu şekilde bu teknolojinin kullanımını yasaklamasının ardından geldi. Temmuz ayında çıkarılan ve 19 Ekim 2026’da kamulaştırılan DHS emri, federal sivil kurumların DeepSeek ürün ve hizmetlerini satın almasını da yasaklıyor. Emre göre: “DeepSeek sunucuları Çin Halk Cumhuriyeti’nde (CHC) konumlanmıştır ve CHC hukuk sistemi, hükümet siber ve istihbat görevlilerinin özel şirket altyapısına erişimine olanak tanıyan geniş yetkiler içermektedir. Modellerinin DeepSeek üzerinden barındırılan örnekleri için DeepSeek’in hesap oluşturma süreci kişisel kimlik bilgisini (PII) toplamakta ve kullanıcıları izleyerek dijital parmak izi bırakabilir. DeepSeek’in en yaygın kullanılan uygulamaları, modele bilgi sunmayı gerektiren soru-cevap süreci üzerinden işlev görmektedir ve ABD hükümeti çalışanları veya tedarikçileri tarafından kullanıldığında hassas verilerin CHC’ye aktarılmasına yol açabilir. Söz konusu bilginin CHC’ye aktarılması, ister bağımsız ister halka açık verilerle kombinasyon halinde olsun, ABD kişilerine ve/veya hükümet programlarına yönelik erişilebilir istihbat üretebilir. Modellerin kendileri kötü amaçlı yazılım veya diğer güvenlik açıkları içerebilir.”

1. XWiki sömürülmesi ve botnet faaliyeti
   VulnCheck, XWiki sömürülmelerini ve Flax Typhoon Uyarısında IP’lerle ilişkilendirilen botnet faaliyetlerini Tespit Etti

   Bu ayın başlarında, ABD Federal Soruşturma Bürosu (FBI) ve Adalet Bakanlığı (DoJ), Çin bağlantılı gelişmiş kalıcı tehdit grubu olarak bilinen Flax Typhoon’un kötü amaçlı araçların kullanımını engellediğini duyurdu. Microscan’ın keşif ve bilgisayar açıkları taramasını kolaylaştırdığı, FishHub’un ise kılıç olta saldırıları aracılığıyla bilgisayar ağlarının sömürülmesini ve ardıl yüklerin yerleştirilmesini sağladığı iddia ediliyordu. Bir takip uyarısında VulnCheck, 119.13.79[.]145 (Hong Kong), 211.20.144[.]116 (Tayvan) ve 210.242.76[.]32 (Tayvan) adreslerinden beş açığa yönelik girişim gözlemlediğini belirtti – PHPUnit (CVE-2017-9841), XWiki (CVE-2025-24893), Apache HTTP Sunucusu (CVE-2021-41773), PHP-CGI (CVE-2024-4577) ve ThinkPHP (CVE-2022-47945). “Saldırılar hem Hong hem de Tayvan’dan kaynaklandı,” dedi. “Hong Kong IP’si Meksika, Büyük Britanya ve Malezya’daki hedefleri sömürürken, Tayvan IP’leri Hindistan’daki hedefleri sömürdü.” Tayvan IP’lerinin XWiki’yi sömürmesi ters kabukların yerleştirilmesine yol açarken, Hong Kong IP’si RedTail ailesinden bir botnet’tir.

1. 600’den fazla fidan yazılım mağduru
   SafePay Ransomware: 2024’ten Beri 600’den Fazla Mağdur

   Almanya, Birleşik Krallık ve ABD istihbarat kurumlarından gelen yeni bir uyarı, SafePay fidan yazılım çetesinin Ağustos 2024’ten beri Kuzey Amerika, Güney Amerika, Avrupa ve Avustralya’da en az 600 organizasyonun sızmasına yol açtığını ortaya koydu. Saldırılar, başlangıç erişimi için uç cihaz ürünlerinde ve internete açık ürünlerde bilinen güvenlik açıklarının (CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 ve CVE-2024-40766) sömürülmesi ya da alternatif olarak kimlik ifşalanması ve zorlama parola saldırıları ile gerçekleştiriliyor; ardından kalıcılık, ayrıcalık yükseltme, yatay hareket, veri sızdırma ve fidan yazılım yerleştirme adımları izleniyor. Ağustos 2026’da ABD kurumları, Medusa geliştiricilerinin ve iştiraklerinin Nisan 2026 itibarıyla çeşitli kritik altyapı sektörlerinden 500’den fazla mağdur etkilediğini ve başlangıç erişimi için başlıca yöntem olarak yamalanmamış açıkları sömürmeye devam ettiğini açıklamıştı. Çete aynı zamanda erişim aracılarına da güvenir ve olası mağdurlara erişim sağlamak için onlara 100 dolardan 1 milyon dolara kadar ödeme yaptığını belirtiyor. Buna karşılık, Medusa aktörlerinin kendi zero-day veya N-day açıklarını geliştirdiğine dair bir işaret bulunmuyor.

1. HTTP bağlantısı uyarıları etkinleştirildi

   Chrome, HTTP Üzerinden Bağlanmadan Önce Soruyor

   Google, Chrome’da “güvensiz bir HTTP bağlantısı yapmadan önce kullanıcıdan açıkça izin isteme” yönünde bir değişikliği hayata geçirdi. Bu özellik, önce Safe Browsing’in Gelişmiş Koruma moduna kayıtlı kullanıcılar için etkinleştirildi; şimdi varsayılan olarak tüm kullanıcılar için genişletildi. “Chrome’un HTTP isteği yapmadan önce kullanıcıyı sorması, sayısız kişi ve kuruluşun on yılı aşkın çalışmalarının meyvesidir,” diye ekledi.

1. Önemli çağrı kapatma açığı

   Signal Açığı, Kötü Niyetli Çağırıcıların Kapatmayı Engellemesini Sağlıyor

   Signal mesajlaşma uygulamasında (CVE-2026-113380, CVSS puanı: 9.3) kritik bir güvenlik açığı, kötü niyetli bir çağırıcının kurbanı aramayı kapatsktan sonra bile ses ve görüntü kayıtlarının açık kalmasını sağlayabilir. Sorun, Signal uygulamalarına WebRTC üzerine inşa edilmiş görüntülü ve sesli çağrı hizmetleri sağlayan bir ara katman kütüphanesi olan RingRTC’yi etkiliyor. Aynı zamanda Android, iOS ve masaüstü platformlarındaki tüm Signal istemcilerini de etkiliyor. Çevrimiçi takma adıyla Imahian olarak bilinen bir güvenlik araştırmacısı, “Yerel bir aramayı kapatma, bir acil durdurma anahtarı değildir: yalnızca aramanın sonlu durum makinesi olay kuyruğuna eklenen bir olaydır” dedi. “Uzak eş, bu kuyruğa güvenir; eş kaynaklı olaylar için bir hız sınırı ve aramayı kapatma için öncelikli bir şerit yoktur. Kuyruğu gereksiz verilerle doldurursanız, aramayı kapatma saldırı gürültüsünün sonsuza kadar arkasında bekler ve böylece arama (mikrofon, olası kamera) hiçbir zaman kapatılmaz.”

1. GitHub bağlayıcısı komut enjeksiyonu

   ChatGPT’nin GitHub Bağlayıcısındaki Güvenlik Açığı

   OpenAI ChatGPT’in GitHub Bağlayıcısında, yapay zekâ sohbet botunun yetkili GitHub erişimini bir başka deponu değiştirmek ve dolaylı komut enjeksiyonu yoluyla sırlarını ifşa etmek için kullanmasına yol açabilecek kritik bir güvenlik açığı ortaya çıkarıldı; bu dolaylı komut enjeksiyonu saldırganın kontrol ettiği halka açık bir depoya yerleştiriliyor. Kötü niyetli bir oyuncu ChatGPT’den kendi deposunun dağıtım incelemesini istediğinde, gizli talimatlarla karşılaşır ve ChatGPT bağlayıcısı varsayılan Tüm deponlar izniyle donatılmış başka bir özel depoya bir GitHub Actions iş akışı yazmaya başlar. İş akışı sırlara ve diğer hassas bilgilere erişir ve bunları saldırgana aktarır. Güvenlik araştırmacısı Sunil Tripathy’ye göre açıklama, dolaylı komut enjeksiyonu, aşırı yetkili bir ChatGPT bağlayıcısı ve GitHub Actions’ın ajan özel depoya commit yaptığında rastgele kodu otomatik olarak çalıştırabilme özelliğinin birleşiminden kaynaklanıyor. “Kullanıcının deposunu gözden geçirmesini isteyen bir kurban ile saldırganın kurbanına sıfır erişimi kullanarak, doğrudan ChatGPT GitHub bağlayıcısı aracılığıyla hesaplar arası yazma işlemlerini, CI yürütmesini ve sırların ifşasını gösteriyor,” dedi Tripathy. “Saldırı hiçbir komut enjeksiyonu ve hiçbir belge yüklemesi gerektirmez — sadece halka açık bir depo ve ajanının onu gözden geçirmesini isteyen bir kurban yeterli.” Sorunun OpenAI’ye sorumlu açıklama sonrası şirketten gelen yanıt, sorunu kapsam dışı olarak nitelendirdi.

Hafta bitmedi ve tehditler de bitmedi. Yeni açıklar, yeni saldırılar ve beklenmedik güvenlik olayları herhangi bir anda ortaya çıkabilir. Bugün güvenli görünen, yarınki büyük manşen olabilir. Bu yüzden güvenlik haberlerini takip etmek her zamankinden daha önemli.

Bu derlemeyi faydalı bulduysanız, The Hacker News’a abone olun, sosyal medyada bizi takip edin ve THN’i günlük okumalarınıza dahil edin. Tehditleri izliyoruz, nelerin önemli olduğunu açıklıyoruz ve önümüzdeki gelişmelerin bir adım önünde kalmanıza yardımcı oluyoruz. Çünkü siber güvenlikte bugün atladığınız hikâye, yarın önemli olabilecek hikâye olabilir.

Zorla para talep etme