arkadaşlar, citrix salı günü netscaler adc ve netscaler gateway için güvenlik yamalarını saldı. toplamda 6 tane açık var ve bunların içinde dosya okuma (arbitrary file read) ve servis çökertme (dos) yapılabilecek güvenlikler mevcut. hemen atlayın yamalara, sonra “sunucu niye çöktü” diye ağlamayın.

ne olmuş peki

citrix’in netscaler ürünlerinde (eski adıyla citrix adc ve citrix gateway) yetersiz input doğrulama kaynaklı açıklar bulunmuş. saldırganlar bu açıkları kullanarak sistemdeki dosyaları okuyabilir veya servisi çökertebilir. yani hem bilgi sızıntısı riski var, hem de hizmet kesintisi riski.

…

arkadaşlar, anthropic’ten güzel bir haber geldi bugün. amerikan ticaret bakanlığı (department of commerce) claude’un en güçlü iki modeli olan fable 5 ve mythos 5 üzerindeki ihracat kontrollerini kaldırmış. yani şu yapay zeka modellerine erişim yasağı kalkmış, çarşamba günü itibariyle herkes kullanabilecek.

ne olmuştu ki?

geçtiğimiz aylarda abd hükümeti, güçlü yapay zeka modellerinin yanlış ellere geçmesini engellemek için bazı kısıtlamalar getirmişti. anthropic’in en son nesil modelleri de bu kısıtlamaların içine girmişti. yani kullanıcılar bu modellere erişemiyordu bir süredir.

…

arkadaşlar, anthropic’ten güzel haber geldi. abd ticaret bakanlığı, yaklaşık 2.5 hafta önce claude fable 5 ve mythos 5 modellerine koyduğu ihracat kısıtlamasını 30 haziran’da kaldırmış. yani fable 5 tekrar hizmete giriyor.

ne olmuştu ki?

hatırlarsınız, haziran ortalarında abd hükümeti anthropic’in bu modellerine ihracat kontrolü getirmişti. sebebi de modellerin “jailbreak” yani güvenlik kısıtlamalarını aşma konusunda başarılı olmasıymış. mythos 5 daha sıkı kontrol altındaydı, fable 5 ise orta seviye bir kısıtlama almıştı.

…

arkadaşlar, lorem ipsum diye bir zararlı yazılım kampanyası var, biliyorsunuzdur belki. işte bu kampanya artık clickfix diye bir yöntemle dağıtılıyormış. dark reading’in yeni analizine göre bu iş vice society ransomware grubuyla bağlantılı olabilir. yani ciddi bir tayfa bu.

olay ne?

şöyle ki agalar, saldırganlar wordpress sitelerini ele geçiriyorlar (klasik hareket) ve ardından bu siteleri kullanarak lorem ipsum zararlısını yaymaya çalışıyorlar. ama bu sefer clickfix denen bir teknik kullanıyorlar. clickfix nedir diyenler için kısaca açıklayayım: kullanıcıyı kandırıp bir şeye tıklatıyorlar, sonra da zararlı yazılım sisteme bulaşıyor. sosyal mühendisliğin günceli yani.

…

arkadaşlar, cisa yine kataloguna bir cpanel eklentisi açığı eklemiş. bu sefer litespeed cpanel eklentisinde bulunan CVE-2026-54420 açığından bahsediyoruz ve spoiler: aktif olarak sömürülüyor.

amerikan federal kurumlarına 3 gün süre vermişler yamalamak için. siz de “beni ilgilendirmez” demeyin, eğer cpanel kullanıyorsanız ve litespeed eklentisi yüklüyse hemen atlayın işin başına.

ne var ne yok bu açıkta

CVE-2026-54420 zafiyeti litespeed’in cpanel user-end eklentisinde bulunuyor. detaylar henüz tam açıklanmamış ama cisa’nın kev (known exploited vulnerabilities) kataloğuna eklemesi demek ki saldırganlar bunu aktif olarak kullanıyor demek.

…

arkadaşlar, ai gateway dünyasında ciddi bir olay var. litellm diye popüler bir açık kaynaklı ai gateway’de zafiyet zinciri bulunmuş. obsidian security’nin araştırmacıları keşfetmiş bunu. şöyle ki, düşük yetkili bir hesapla başlıyorsunuz, 3 tane açığı zincirleyip tam admin oluyorsunuz, sonra da sunucuda kod çalıştırıyorsunuz. yani kısacası tam bir felaket senaryosu.

spoiler: bu zafiyet zinciri başarılı olursa, gateway’in elinde tuttuğu tüm api anahtarları, provider secret’ları falan hepsi gidiyor.

olay ne tam olarak

litellm, 100’den fazla ai model sağlayıcısını (openai, anthropic, google vs.) tek bir openai-uyumlu arayüz arkasında toplayan bir proxy/gateway. yani şirketler bunu kullanarak farklı ai modellerine tek noktadan erişiyorlar. oldukça yaygın kullanılıyor.

…

arkadaşlar, bugün teknik bir zafiyet değil de daha çok operasyonel bir güvenlik açığından bahsedeceğim. yeni çalışan alımlarında yapılan klasik bir hata var ve bu hata ciddi güvenlik riskleri yaratıyor.

sorun ne peki

yeni bir eleman işe başladığında it ekipleri genelde aceleyle “geçici” bir parola oluşturup mail veya sms ile gönderiyorlar. “ilk gün parolası” denen şey bu işte. mantık güzel gibi duruyor ama pratikte şöyle oluyor:

• bu parolalar hiç değiştirilmiyor, “geçici” ama kalıcı oluyor
• mail veya sms ile gönderildiği için düz metin olarak kayıtlarda duruyor
• aynı parola birden fazla hesap için kullanılıyor
• yeni çalışan parolayı not defterine yazıyor, masasında bırakıyor

spoiler: bu parolalar çoğu zaman “Sirket123!” falan gibi tahmin edilebilir şeyler oluyor.

…

arkadaşlar, siber suç dünyasından yeni bir gelişme var. ukraynalı oleksii oleksiyovych lytvynenko isimli bir adam, abd’de conti fidye yazılımı çetesiyle çalıştığını kabul etmiş. adam loader geliştirme işlerinde bulunmuş çete için.

olay ne bu conti meselesi

conti dediğimiz şey, bildiğiniz ransomware çetelerinin devleriyle. 2020-2022 arası dönemde yüzlerce şirketi vurmuşlar, milyonlarca dolar fidye toplamışlar. costa rica’yı bile felç etmişlerdi bir ara, hatırlarsınız belki.

şimdi bu lytvynenko arkadaş, çetenin kullandığı loader’ı geliştirmekle suçlanıyormuş. loader dediğimiz şey, kötü amaçlı yazılımı sisteme yükleyen, antivirüslerden kaçıran küçük ama kritik bir parça yani. bunlar olmadan ransomware’i sisteme sokamazsınız.

…

arkadaşlar, eğitim sektöründen kötü bir haber var. infinite campus denen k-12 öğrenci bilgi sisteminde mart ayında bir veri sızıntısı yaşanmış ve 137 binden fazla okul çalışanının kişisel bilgileri çalınmış. saldırıyı shinyhunters çetesi üstlenmiş, yani bildik isimlerden.

olay ne, nasıl olmuş?

shinyhunters ekibi (bunları hatırlarsınız, daha önce de bir sürü büyük şirkete saldırmışlardı) mart ayında infinite campus’un salesforce sistemine saldırmış. infinite campus, amerika ve kanada’da binlerce okulun kullandığı öğrenci bilgi sistemi. yani küçük bir hedef değil, ciddi bir altyapıdan bahsediyoruz.

…

arkadaşlar, npm’den güzel bir haber var. npm 12 ile birlikte paket yöneticisi, bağımlılıklardan gelen scriptleri otomatik çalıştırmayı durduracak. yani artık npm install dediğinizde her paket istediği gibi script çalıştıramayacak. bu supply chain saldırıları için ciddi bir önlem.

olay ne?

şöyle ki, şu an npm install dediğinizde, paketler preinstall, postinstall gibi scriptler çalıştırabiliyor. kötü niyetli birisi paketine zararlı bir script koyarsa, siz hiç farkında olmadan o script çalışıyor. klasik supply chain attack yöntemi işte.

…