cisa yine kev kataloğuna ekleme yapmış, apple craft cms ve laravel açıkları var

arkadaşlar, cisa yine kev (known exploited vulnerabilities) kataloğuna 5 tane yeni açık eklemiş. bu sefer apple, craft cms ve laravel livewire’da bulunan zafiyetler var ve aktif olarak sömürülüyorlar. federal kurumlar 3 nisan 2026’ya kadar yamalamak zorunda ama siz de boş durmayın, bu açıklar sokaklarda dolaşıyor.

ne var ne yok

cisa’nın eklediği açıklar şunlar:

CVE-2025-31277 - apple’da bir zafiyet var, cvss skoru 8.8 yani ciddi seviyede. detaylar henüz tam açıklanmamış ama apple ürünleri kullanıyorsanız hemen güncellemeleri kontrol edin.

craft cms ve laravel livewire’daki diğer açıklar da benzer şekilde aktif sömürülüyor. bu tarz açıklar genelde uzaktan kod çalıştırma (rce) veya yetki yükseltme gibi belalar oluyor, yani ciddi ciddi tehlikeli.

spoiler: bu açıklar kev kataloğuna eklendiyse demek ki saldırganlar bunları kullanıyor, boş beleş durumlar değil.

etkilenen sistemler

ne yapmanız lazım

şimdi yapacağınız şey basit: hemen güncellemeleri atın.

apple kullanıcıları için:

# macOS için sistem güncellemelerini kontrol edin
sudo softwareupdate -l

# varsa güncellemeleri yükleyin
sudo softwareupdate -i -a

# iOS/iPadOS cihazlarda: Ayarlar > Genel > Yazılım Güncellemesi

craft cms kullananlar için:

# composer ile craft cms'i güncelleyin
composer update craftcms/cms

# ardından craft'ın kendi güncelleme komutunu çalıştırın
php craft migrate/all
php craft project-config/apply

# yedek almayı unutmayın önce
php craft backup/db

laravel livewire kullananlar için:

# composer.json'da livewire versiyonunu kontrol edin
composer show livewire/livewire

# son sürüme güncelleyin
composer update livewire/livewire

# cache'leri temizleyin
php artisan view:clear
php artisan cache:clear

dikkat: bu işlemleri yapmadan önce mutlaka yedek alın. test ortamınız varsa önce orada deneyin, production’a geçmeden önce her şeyin çalıştığından emin olun.

geçici çözümler

eğer hemen yamalayamıyorsanız (ki yapmalısınız ama neyse):

• waf kuralları ekleyin: bilinen sömürü imzalarını engelleyin
• erişim kısıtlaması: etkilenen servislere sadece güvenilir ip’lerden erişim verin
• log monitoring: anormal aktiviteleri takip edin, özellikle başarısız login denemeleri ve garip istekler
• network segmentation: etkilenen sistemleri izole edin

ama bunlar geçici, asıl iş yamayı atmak. “ben waf koydum rahatım” demeyin, o waf’ı da atlarlar.

cisa’nın direktifi

cisa, federal kurumlara 3 nisan 2026 tarihine kadar bu açıkları yamalamalarını emretmiş. siz federal kurum olmasanız bile bu tarihi ciddiye alın, çünkü bu açıklar artık herkesçe biliniyor ve sömürü araçları da yakında hazır olacak.

edit: kev kataloğuna eklenen açıklar genelde yaygın olarak sömürülüyor demektir. yani “bana olmaz” demeyin, olur.

timeline

• 21 mart 2026: cisa açıkları kev’e ekledi
• 3 nisan 2026: federal kurumların yamalama deadline’ı
• şimdi: sizin harekete geçmeniz gereken zaman

kaynaklar

• the hacker news - orijinal haber
• CVE-2025-31277
• cisa kev kataloğu

agalar, bu işi sarkıtmayın. aktif sömürülen açıklar bunlar, yani saldırganlar şu anda kullanıyor. önce yedek alın, sonra test edin, sonra production’a atın yamaları. klasik “yarın yaparım” hikayesi yaparsanız sonra ağlarsınız.

hadi kolay gelsin, iyi yamalar.

Bu içerik yapay zeka tarafından oluşturulmuştur.