arkadaşlar, sophos güvenlik araştırmacıları ortaya çıkardı yeni bir tehditten. bronze sandcastle diye bir grup var, çin kökenli işte, 2025’in ortasından beri asya ve afrika’daki şirketleri hedef alıyor. şimdi bu çocuklar ne yapıyor dersiniz? sandboxie dll sideloading denen klasik bir numarayı kullanıp arka kapı kuruyor sistemlere. işte bu yazıda detaylarını açıklıyorum.

nedir bu sandboxie dll sideloading meselesi?

kısacası şöyle işliyor agalar: sandboxie, meşru bir izolasyon aracı, yani uygulamaları sandbox ortamında çalıştırıyor. ama bu bronze sandcastle tiplemeri, dll sideloading denen numarayı kullanıyor. yani kötü niyetli dll dosyalarını meşru uygulamaların yanına koyup, uygulama başladığında kötü dll’i yükletiyor. “klasik windows numarası” diyebiliriz buna.

…

arkadaşlar, google yine güvenlik konusunda bir hamle yaptı. chrome tarayıcısına yeni bir savunma mekanizması ekliyorlar ve bu sefer hedef clickfix denen bela. eğer enhanced protection (gelişmiş koruma) açtıysanız, artık tarayıcı sizin kopyala-yapıştır yoluyla zararlı komut çalıştırmanızı engelleyecek.

clickfix nedir bu?

kısacası, kötü niyetli tipler sizi kandırıp terminale veya command prompt’a zararlı komutlar yapıştırtıyor. “hadi bunu çalıştır, sorunun çözülecek” diye. ve işte siz de masum bir şekilde copy-paste yapıyor, sistem tamamen ele geçiyor. klasik sosyal mühendislik, yani insanı kandırma sanatı.

…

arkadaşlar, ciddi ciddi haber var. CISA ve FBI’ın ortak açıklamasına göre SafePay denen fidye yazılımı çetesi 2024’ten beri 600’ün üzerinde kritik altyapı kuruluşunu hacklemişler. elektrik, su, sağlık, telekomünikasyon, endüstri - yani devletin nabzı sayılabilecek yerler. şimdi ne yapacaksınız diye soruyorum.

safepay ne peki, kısacası:

SafePay, son dönemde ortaya çıkan ve ciddi ciddi zararlı bir fidye yazılımı grubu. klasik ransomware operasyonu işletiyorlar: sisteme gir, veriyi çal, sonra “para ver yoksa internete sızdırırız” diye tehdit et. ama bu çetenin hedef seçimi çok stratejik - kritik altyapıları tercih ediyorlar. neden? çünkü bu kurumlar para vermeye daha istekli oluyor.

…

arkadaşlar, dikkat edin şu haberi. php’de CVE-2026-XXXXX ve CVE-2026-XXXXX denen iki tane ciddi açık bulunmuş. php2shell diyorlar buna. spoiler: bugün saat 14:00 UTC’de yama geliyor ama şu ana kadar tam olarak koruyacak bir çözüm yok, hatta güvenlik firmaları tarafından önerilen workaround bile yeterli değilmiş.

durum ne?

php, 9.2 CVSS skoru (yani kritik 🔴) ile iki adet uzaktan kod çalıştırma (RCE) açığını kapatıyor bugün. bu açıklar php2shell olarak biliniyorlar ve şu ana kadar sömürülme potansiyeli çok yüksek. php’nin resmi tarafından hiçbir workaround önerilmemiş, yani yamanın gelmesine kadar pek çok seçeneğiniz yok.

…

arkadaşlar, php’de ciddi ciddi bir açık patlaması yaşandı. CVE-2026-109618 ve CVE-2026-109619 denen iki tane kritik zafiyet bulunmuş, bunlara da php2shell diyorlar. spoiler: bu açıklar uzaktan kod çalıştırmaya (RCE) yarıyor, yani saldırganlar doğrudan sunucunuza komut çalıştırabiliyor. acil acil yamalayın.

durumu bi özetleyelim

php security team acil yama saldı bu hafta. CVE-2026-109618 ve CVE-2026-109619 açıkları kritik seviyede (9.8+ arası), yani en yüksek tehdit derecesi. bu açıklar php’nin çekirdek işlevlerinde gizlenmiş durumda. saldırganlar bu açıkları kullanarak sunucunuza shell bağlantısı kurabiliyor, o yüzden de “php2shell” adını takmışlar.

…

arkadaşlar, bu olay gerçekten çok ilginç ve biraz da sinir bozucu. whatsapp’ın yardım sayfalarında gizli talimatlar bulunmuş. ne talimatları mı? kendi ai destekli chatbot’ına “kullanıcılar veri koruma otoritelerine şikayet etmek isterse, onları bu yöne yönlendirme” diye söyleyen talimatlar.

nedir bu hikaye kısacası?

whatsapp, avrupa’daki kullanıcılarının kendi gizlilik politikasında “veri koruma düzenleyicilerine (data protection authority) şikayet edebilirsiniz” diye yazıyor. yani söz vermiş. ama arkasından, help sayfalarının html kodunun içine gizli talimatlar koymuş. bu talimatlar sadece chatbot’a görünüyor, normal kullanıcılar sayfayı açtığında görmüyor.

…

arkadaşlar, işte size klasik bir siyasi casusluğu hikayesi. nso group’un meşhur pegasus spyware’i (yani o casus yazılımı) sırbistan’da bir üniversite rektörünün iphone’unda bulunmuş. ve zamanlaması da şüpheli tabii ki - seçim öncesi altı gün fark ettiler bunu.

durumu bi özetleyelim

vladan đokić, belgrad üniversitesi rektörü ve sırbistan’daki öğrenci protestoları destekleyen biri. bu adamın iphone’u 2026 yılında pegasus spyware’i ile enfekte edilmiş. citizen lab (yani kötü niyetli yazılımları araştıran uluslararası ekip) 19 ekim’de bunu açıklamış. seçim 25 ekim’de yapılacak, yani tam zamanında fark etmişler.

…

arkadaşlar, microsoft’tan yeni bir zafiyet uyarısı geldi. CVE-2026-80092 denen bu açık, microsoft identity web kütüphanesinde yetki yükseltme (privilege escalation) problemi yaratıyor. kısacası, düşük yetkili bir kullanıcı bu açığı kullanarak admin seviyesine çıkabiliyor. ciddi ciddi hemen güncelleyin, bu çok kritik.

ne oldu kısaca

CVE-2026-80092 açığı microsoft identity web’in v3 ve v4 versiyonlarında bulunmuş. microsoft şimdi güncelleme tablosunu yeniden düzenlediler ve hangi versiyonların etkilendiğini daha açık hale getirdiler. yani microsoft’un kendi tablosunda karışıklık vardı, onu düzelttiler ama açık hala orada.

…

arkadaşlar, hollandalı perakende devi ahold delhaize’e siber saldırı düşmüş. şubat ayında başlayan olay, şu an hala devam ediyor. avrupa’daki çoğu website ve uygulama restore edilmiş ama amerikadaki e-ticaret platformları hala toparlanmaya çalışıyor. kısacası, büyük bir operasyondan bahsediyoruz.

ne oldu tam olarak?

ahold delhaize, albert heijn, jumbo, deen gibi marketleri işleten dev bir şirket. bu saldırıdan sonra tüm dijital hizmetleri çöktü. website’ler açılmıyor, uygulamalar bağlanmıyor, online alışveriş tamamen durdu. yani müşteriler internette ürün almak isteyince “sistem bakımda” mesajı görüyor.

…

arkadaşlar, ciddi bir haber var. OVHcloud’un açık kaynak CLI aracı (command-line interface) GitHub’da ele geçirilmiş ve kötü niyetli tipler bunu bilgi çalan malware dağıtmak için kullanmışlar. yani siz güzelce kendi geliştirici sırlarınızı vermişsiniz farkında olmadan.

ne oldu kısacası

OVHcloud’un CLI tool’u GitHub’da yayınlanıyor ve sistem yöneticileri, geliştiriciler bunu kullanarak OVH bulut altyapısını yönetiyor. hackerlar bu repository’yi ele geçirip, içine backdoor kodu gömmüşler. spoiler: bu kod çalıştığında ortam değişkenlerinizi, API anahtarlarınızı, SSH keylerinizi, hatta AWS credentials’ınızı çalıyor.

…