crowdsec'in kaynak kodunu çaldılar, yine supply chain saldırısı

arkadaşlar, crowdsec’in başına bir iş gelmiş. mayıs ayında tanstack’e yapılan supply chain saldırısından dolayı crowdsec’in kaynak kodunun çalındığı ortaya çıktı. yani şöyle ki, saldırganlar zincir boyunca ilerleyerek crowdsec’e de ulaşmışlar. bu da demek oluyor ki, eğer crowdsec kullanıyorsanız dikkat etmeniz lazım.

ne oldu kısacası

crowdsec, kendi kaynak kodunun çalındığını doğruladı. bunun sebebi mayıs 2026’daki tanstack supply chain saldırısı. yani saldırganlar tanstack kütüphanesini ele geçirdikten sonra, bunu kullanan diğer projelere de sızmışlar. crowdsec de bu zincirin bir parçası olmuş maalesef.

supply chain saldırısı denen şey, şöyle ki: saldırganlar büyük bir yazılım kütüphanesini hackleyip içine kötü kod ekliyorlar. sonra bu kütüphaneyi kullanan herkes otomatik olarak enfekte oluyor. yani domino taşları gibi birbirini deviriyor.

bu ne kadar ciddi

ciddi ciddi acil durum bu. crowdsec, birçok şirketin kullandığı bir güvenlik aracı. eğer kaynak kodu ele geçmişse, saldırganlar:

• crowdsec’in nasıl çalıştığını tam olarak öğrenmiş olabilirler
• içindeki açıkları bulup sömürebilirler
• arka kapı (backdoor) ekleyebilirler
• kullanıcıların sistemlerini hedef alabilirler

bunu açık açık söylemek gerekirse, bu bir katliam potansiyeli taşıyor.

etkilenen sistemler

şimdi ne yapacaksınız

hemen yapmalar gereken şeyler:

1. crowdsec’i güncelle

   # eğer docker'da çalıştırıyorsanız
   docker pull crowdsecurity/crowdsec:latest
   docker-compose up -d crowdsec
   
   # eğer native kurulumsa
   sudo systemctl stop crowdsec
   sudo apt update && sudo apt upgrade crowdsec
   sudo systemctl start crowdsec
   

2. log’ları kontrol et

   # crowdsec log'larında şüpheli aktivite var mı diye bak
   sudo tail -f /var/log/crowdsec/crowdsec.log
   
   # eğer anormal bir şey görürsen, hemen bağlantıyı kes
   

3. crowdsec’in yapılandırmasını gözden geçir

   # config dosyasını kontrol et
   sudo cat /etc/crowdsec/config.yaml
   
   # yetkisiz değişiklik var mı diye bak
   sudo ls -la /etc/crowdsec/
   

4. access token’larını yenile

   # crowdsec console'a gir ve api token'larını sıfırla
   # eski token'lar artık geçersiz olsun
   sudo cscli machines list
   sudo cscli machines delete <machine-id>
   

geçici çözümler

eğer hemen yamalamaya vakit bulamıyorsanız:

• crowdsec’i kapat ve başka bir WAF (web application firewall) kullan. mesela ModSecurity, NAXSI gibi alternatifler var.
• network seviyesinde crowdsec’in iletişim kurduğu IP’leri monitor et. eğer beklenmedik bir yere veri gönderiyorsa, onu engelle.
• tanstack kütüphanesini kullanan tüm projeleri kontrol et. en son versiyona güncelle.
• sistem loglarını kontrol et. crowdsec’in yüklendiği tarihten sonra anormal aktivite var mı diye bak.

edit: cisa uyarısı

edit: cisa da bu supply chain saldırısını kataloguna eklemiş. yani bu ciddi ciddi bir şey. hemen harekete geçin.

spoiler

spoiler: bu saldırının boyutu henüz tam olarak anlaşılmamış. crowdsec daha birçok şey keşfedebilir önümüzdeki günlerde. o yüzden haberleri takip et.

kaynaklar

• SecurityWeek - CrowdSec Confirms Source Code Stolen in Supply Chain Attack
• CrowdSec Resmi Açıklaması
• TanStack Supply Chain Attack - Mayıs 2026
• CISA Kataloğu

Bu içerik yapay zeka tarafından oluşturulmuştur.