arkadaşlar, atlassian yine yapalım dediler. jira, confluence ve bitbucket’da CVE-2026-21589 denen kritik bir açık bulunmuş. kısacası saldırganlar bu açığı kullanarak dosyalara yetkisiz erişim sağlayabiliyor. yani şirketinizin gizli dosyaları, konfigurasyonları, veritabanı bağlantı bilgileri falan hepsi tehlikede olabilir.

spoiler: bu ciddi ciddi acil

bu CVE-2026-21589 açığı self-hosted data center ürünlerini etkiliyor. bulut versiyonlarını kullananlar rahat nefes alabilir ama kendi sunucularında jira, confluence veya bitbucket çalıştıranlar hemen harekete geçmeli. kritik seviyede bir açık bu, yani boş durmayın.

…

arkadaşlar, işte başladı yine. atlassian’ın jira, confluence ve bitbucket ürünlerindeki CVE-2026-21589 açığı şu anda aktif olarak sömürülüyor. kötü tarafı? authentication gerektirmiyor, yani kimlik doğrulamaya ihtiyaç yok. halka açık exploit kodu da yayınlanmış, yani işin fena kısmına geldik.

durumu anlatalım

CVE-2026-21589 dediğimiz bu zafiyet atlassian’ın birden fazla ürün ailesini etkiliyor:

• jira (server ve data center sürümleri)
• confluence (server ve data center sürümleri)
• bitbucket (server ve data center sürümleri)

bu açık kritik seviyede (9.8 CVSS), yani “acil acil yamalayın” kategorisindedir. saldırgan bu açığı kullanarak uzaktan kod çalıştırabiliyor (RCE denen bela), yani sisteminizi tamamen ele geçirebiliyor. ve en kötü kısım? bunu yapmak için sizin sisteminize giriş yapmaya gerek yok. internete açık olan herhangi bir atlassian örneğine erişebilen biri bunu yapabiliyor.

…

arkadaşlar, bu sefer libreoffice ve apache openoffice’te ciddi bir açık bulunmuş. şöyle ki: kötü niyetli bir spreadsheet dosyası açıldığı anda direkt kod çalıştırabiliyor, ve hiçbir makro uyarısı göstermeden yapıyor bunu. yani klasik “bu dosyada makro var, izin veriyor musun?” sorusu bile çıkmıyor. bu açık java desteği açık olduğu zaman devreye giriyor.

nedir bu açık?

CVE-2026-XXXXX zafiyeti (cvss skoru: 8.8 - ciddi 🟠), libreoffice ve openoffice’teki bir güvenlik kontrol mekanizmasını bypass ediyor. normalde makro çalıştırmadan önce programlar sizi uyarır, ama bu açık sayesinde saldırgan bunu atlatabiliyor. java support açık olduğu sürece, siz farkında olmadan kötü amaçlı kod çalıştırılabiliyor.

…

arkadaşlar, microsoft yine bir sürü kıyameti birden saldı. bu sefer de exchange server’da ciddi bir açık var ve CVE-2026-96940 diye kaydedilmiş. cvss skoru 8.8, yani ciddi ciddi bir durum. kısacası authenticated (yani sisteme giriş yapmış) bir saldırgan diğer kullanıcıların mailbox’larına erişebiliyor. yetki yükseltme işleri başlıyor, sonra kim bilir ne olur.

neler var bu açıkta

CVE-2026-96940 açığı microsoft exchange server’da “weak authorization” (zayıf yetkilendirme) problemi yaratıyor. yani şöyle ki: sistem, kullanıcının başka birinin mailbox’ına erişmesini kontrol etmiyor düzgün. authenticated bir attacker (yani sisteme giriş yapmış biri) bu açığı kullanarak diğer kullanıcıların e-postalarını, takvimlerini, tüm kişisel bilgilerini okuyabiliyor.

…

arkadaşlar, bu haber sistem yöneticilerinin rüyasına girmesi gereken bir olay. new jersey’deki bir endüstriyel şirkette çalışan core infrastructure mühendisi, işten ayrıldıktan sonra şirketin ağında 3000+ cihazı kilitleyip fidye yazılımı tarzı bir saldırı yapmış. sonuç? 32 ay hapis cezası. yani ciddi ciddi işin içinden çıkamadı.

olayın özeti

bu mühendis, şirkette altyapı sorumlusu olarak çalışıyormuş. işten ayrıldıktan sonra da hesabını kapatmamışlar ya da o hesapla geri girmiş (detaylar biraz muallak ama neyse). sonra ne yapmış? 3000’den fazla şirket cihazını kilitleyip “fidye ödeyebilirsiniz” tarzı bir durum oluşturmuş.

…

arkadaşlar, google’ın açık kaynak yazılımlar için açtığı bug bounty programında bir gelişme var ve pek de güzel bir haber değil. kısacası google, 1 ekim’den itibaren go, angular, protocol buffers gibi projelerdeki güvenlik açıklarının raporlanmasını durdurdu. yani artık bu projelerde bir açık bulursanız, para kazanamazsınız.

neden böyle bir karar aldı google?

google’ın açıklamasına göre, program otomatikleştirilmiş araçlarla yapılan geçersiz raporlarla dolup taşmış. yani arkadaşlar, bot yazıp random açık rapor edenler o kadar çok olmuş ki, programı sürdürmek imkansız hale gelmiş. spoiler: bu tür programlarda her zaman bu sorun yaşanır, maalesef.

…

arkadaşlar, dell’in system update aracında ciddi bir açık bulunmuş. yani kısacası dell’in kendi sistem güncelleme programında bir gedik var ve bu gedik sayesinde saldırganlar root yetkisi kazanabiliyor. spoiler: bu kritik seviyede bir açık, hemen yamalayın.

nedir bu dell system update (dsu) meselesi?

dell’in system update (dsu) denen bir komut satırı aracı var. bu araç dell sunucuları ve workstation’ları güncellemek için kullanılıyor. firmware’den başlayıp driver’lara kadar her şeyi güncelleyebiliyor. yani dell’in kendi ürünlerini idare etmek için yaptığı tool bu.

…

arkadaşlar, tenfold adında bir araç var bilir misiniz? microsoft 365 ortamlarında kimlik ve erişim yönetimini sağlayan bir şey. işte bu sefer iyi haber var - ücretsiz community edition’a 2 tane yeni feature eklemişler. 150 kullanıcı altında olan organizasyonlar için ideal bu.

ne eklendi peki?

tenfold’un community edition’ına şu iki özellik gelmiş:

1. shared content governance - yani microsoft 365’te paylaşılan içerikleri denetleyebileceksiniz artık. kimin neyi kime paylaştığını, hangi dosyaların dışarıya açık olduğunu görebileceksiniz. “agalar bu dosya kime verildi?” sorusunun cevabını bulabileceksiniz.

2. real-time event auditing - şüpheli kimlik aktivitelerini canlı olarak izleyebileceksiniz. birisi garip bir yerden login olmaya çalışırsa, saatiniz olmayan bir cihazdan erişim sağlanırsa, hemen haberiniz olacak.

…

arkadaşlar, apple şu gün duyurdu ki macos’taki full disk access (fda) ayarını daha sıkı kontrol altına alacak. neden mi? çünkü yapay zeka ajanları denen şeyler bu ayarı kötüye kullanıyor ve kullanıcılar farkında bile değil.

ne oluyor yani?

kısacası, bazı yazılım geliştirici tipler full disk access izni veriyorlar kendi uygulamalarına ama kullanıcılar gerçek ne yaptığını anlamıyorlar. bu izin verilince, uygulama sisteminizin tüm dosyalarına, maillere, mesajlara, hatta tarama geçmişine bile erişebiliyor. yani kısacası, bilgisayarınızda ne varsa, hepsi açık.

…

arkadaşlar, şunu bi anlatalım size. her modern işletme, insan, sistem ve şimdi de AI’lar kimlik bilgilerine (credential) bağımlı. ama burada çok ciddi bir sıkıntı var: bu kimlik bilgileri katmanı o kadar hızlı büyüyor ki, güvenlik takımları ne oluyor ne bittiğini göremiyorlar. yani kısacası, şu an çoğu şirketin elinde kontrol edilemez bir durum var.

neden bu kadar kritik?

agalar, düşünün: veritabanı şifreleri, API anahtarları, cloud erişim tokenleri, service account credentialleri, SSL sertifikaları… bunların hepsi bir yerde saklanıyor. ve bu sayı her gün artıyor. AI sistemleri de eklenince, iş iyice karışıyor. bir şirkette kaç tane credential var, biliyor musunuz? çoğu zaman şirketin kendisi bile bilmiyor.

…