arkadaşlar, iş otomasyon platformu n8n’de iki tane kritik seviye açık bulunmuş ve yamalanmış. eğer n8n kullanıyorsanız acil acil güncelleyin, yoksa başınız ağrır.

ne var ne yok

n8n dediğimiz şey workflow automation platformu, yani iş akışlarınızı otomatikleştirdiğiniz bir araç. güvenlik araştırmacıları burada iki tane bomba gibi açık bulmuş:

1. CVE-2026-27577 - CVSS skoru 9.4, yani kritik 🔴

   • expression sandbox kaçışı var, yani uzaktan kod çalıştırma (RCE) yapılabiliyor
   • saldırgan n8n’in expression engine’ini kullanarak sandbox’tan kaçıp sistem komutları çalıştırabiliyor
   • kısacası: kötü niyetli biri sunucunuzda istediği komutu çalıştırabilir

2. CVE-2026-27493 - CVSS skoru 9.5, yani daha da kritik 🔴

   …

arkadaşlar, n8n kullananlar var mı aranızda? varsa hemen bu yazıyı okuyun çünkü ciddi bir durum var. cisa (amerikan siber güvenlik kurumu) çarşamba günü CVE-2025-68613 açığını kev kataloğuna ekledi. sebep basit: aktif olarak sömürülüyor.

ne var ne yok

CVE-2025-68613 açığı n8n’de expression injection zafiyeti. yani kısacası saldırganlar kod enjekte edip uzaktan kod çalıştırabiliyorlar (rce). cvss skoru 9.9, yani kritik seviyede acil yamala 🔴 kategorisinde.

şimdi en kötü kısmı söyleyeyim: censys ve shodan’da yapılan taramalara göre 24,700 tane n8n instance’ı internete açık durumda. yani 24 bin 700 tane potansiyel hedef var ortada.

arkadaşlar, yeni bir tehdit var ortada ve bu sefer hedef hr departmanları. bir yıldan fazla süredir rus dilli bir saldırgan grubu, “blacksanta” adını verdikleri bir edr katili (edr killer) yazılımla saldırılar düzenliyor.

spoiler: bu yazılım, sistemlerde kurulu güvenlik çözümlerini (edr/antivirus) devre dışı bırakıyor, yani savunmasız kalıyorsunuz.

ne oluyor yani?

şöyle ki, saldırganlar önce hr departmanlarına hedefli phishing mailleri gönderiyor. içinde iş başvurusu, cv, özgeçmiş gibi görünen dosyalar var ama aslında bunlar blacksanta malware’ini sisteme bulaştırıyor.

arkadaşlar, salesforce’tan bir uyarı geldi. kötü niyetli tipler, experience cloud sitelerini kitlesel olarak tarıyor ve yanlış yapılandırmaları istismar ediyor. işin ilginç tarafı, aurainspector diye açık kaynaklı bir aracı modifiye edip kullanıyorlar bu iş için.

ne oluyor yani?

salesforce’un açıklamasına göre, saldırganlar müşterilerin herkese açık experience cloud sitelerindeki aşırı izinli guest user (misafir kullanıcı) yapılandırmalarını istismar ediyor. yani şöyle ki, normalde misafir kullanıcıların görmemesi gereken hassas verilere erişim sağlıyorlar.

aurainspector normalde salesforce lightning component’lerini debug etmek için kullanılan meşru bir araç. ama saldırganlar bunu modifiye edip, otomatik tarama aracına çevirmişler. böylece binlerce salesforce sitesini tarayıp, zayıf yapılandırılmış olanları tespit ediyorlar.

arkadaşlar, hepimiz biliyoruz o panik anını. yeni bir kritik açık açıklanıyor, herkes telaşa düşüyor, gece yarısı yamalar atılıyor, kafeinli içecekler tüketiliyor. ama intruder’ın güvenlik şefi güzel bir yazı yazmış: “bu panik aslında önlenebilir” diyor.

şöyle ki, yeni bir açık ne zaman çıkacağını kontrol edemezsiniz ama ne kadar sisteminizin internete açık olduğunu kesinlikle kontrol edebilirsiniz. sorun şu: çoğu ekip aslında ne kadar fazla şeyin internete baktığının farkında bile değil.

sorun nerede yani

agalar, durum şöyle: sömürü süreleri (time-to-exploit) gittikçe kısalıyor. yani bir açık açıklandıktan sonra saldırganların onu kullanmaya başlaması eskiden günler alırken, şimdi saatler hatta dakikalar alıyor.

arkadaşlar, bir hafta daha geride kaldı ve yine “şaka mı bu?” dedirten haberlerle doluydu. saldırganlar mesaide, savunmacılar mesaide, ortada da pazartesi sabahı çok kötü geçiren bir sürü insan var. artık böyle işliyor bu iş.

ama iyi haber de var: bu hafta gerçekten kazanılan zaferler oldu. yani sahte değil, gerçek zaferler. iyi adamların ortaya çıkıp işi yaptığı, fark yarattığı türden.

qualcomm’da sıfır-gün açığı

spoiler: qualcomm yongalarında aktif olarak sömürülen bir sıfır-gün açığı var.

arkadaşlar, salesforce’un başı dertte. shinyhunters diye bildiğimiz hacker çetesi, salesforce aura platformundaki bir açığı sömürerek aktif olarak veri çalıyor. salesforce ise “yok yok, bu yanlış yapılandırma meselesi” diyor ama shinyhunters “yeni bir bug kullanıyoruz” diye ısrar ediyor. bakalım gerçek ne, ama siz yine de önleminizi alın.

ne oluyor yani?

salesforce, experience cloud (eski adıyla community cloud) kullanan müşterilerine uyarı yayınlamış. şöyle ki: eğer guest user’lara (misafir kullanıcılara) gerekenden fazla yetki vermişseniz, bunlar sisteminize girip veri çalabiliyormuş. salesforce bunu “misconfiguration” yani yanlış yapılandırma diye adlandırıyor.

arkadaşlar, palo alto networks unit 42’nin yeni raporuna göre çinli bir apt grubu yıllardır asya’daki kritik altyapılara saldırıyormuş. havacılık, enerji, hükümet, kolluk kuvvetleri, ilaç, teknoloji ve telekomünikasyon sektörlerini hedef almışlar. güney, güneydoğu ve doğu asya’daki yüksek değerli kurumlar risk altında.

spoiler: saldırganlar web sunucu açıklarını sömürüyor ve mimikatz kullanarak kimlik bilgilerini çalıyorlar. klasik apt hareketi yani.

saldırı detayları

bu yeni keşfedilen tehdit grubu, web sunucularındaki zafiyetleri istismar ederek ağlara sızıyormuş. ilk erişimi aldıktan sonra mimikatz denen meşhur aracı kullanarak kimlik bilgilerini topluyorlar. yani önce kapıdan giriyorlar, sonra bütün anahtarları çalıyorlar.

arkadaşlar, ilginç bir haber var bugün. anthropic’in claude opus 4.6 denen yapay zeka modeli, mozilla ile yaptıkları güvenlik ortaklığı kapsamında firefox’ta 22 tane yeni güvenlik açığı bulmuş. yani artık açık avında yapay zekalar da sahaya inmiş durumda.

spoiler: bu açıkların 14 tanesi yüksek (high), 7 tanesi orta (moderate), 1 tanesi de düşük (low) seviyede. hepsi firefox 148 sürümünde yamalanmış, geçen ay yayınlanmış.

ne olmuş peki

anthropic, claude opus 4.6 modelini firefox’un kaynak kodunu tarattırmış. sadece 2 haftalık bir sürede 22 tane güvenlik açığı tespit etmiş. yani yapay zeka, klasik güvenlik araştırmacılarının aylar süren işini 2 haftada yapmış.

arkadaşlar, openai yeni bir oyuncak daha çıkardı ortaya: codex security. yapay zeka destekli bir güvenlik ajanı bu, kodunuzdaki açıkları buluyor, doğruluyor ve üstüne bir de düzeltme önerisi sunuyor. yani artık kodunuzu tarayan bir ai asistan var.

ne bu codex security meselesi?

openai cuma günü bu özelliği duyurdu. şu an research preview aşamasında ve chatgpt pro, enterprise, business ve edu müşterilerine sunuluyor. bir ay boyunca ücretsiz kullanabiliyorsunuz codex web üzerinden.

spoiler: openai bu aracı kendi üzerinde test etmiş, 1.2 milyon commit taramış ve 10.561 tane yüksek öncelikli güvenlik sorunu bulmuş. yani iş yapıyor bu sistem.