Ekim Ayının Siber Güvenlik Gündemi : Kritik RCE’ler, Tedarik Zinciri Krizleri ve AI Altyapısında Kontrol Savaşı

22 Ekim 2026 Kapalı Yazar: emrecaglaryildiz

The Hacker News ve Dark Reading birlikte okunduğunda Ekim ayı tablosu daha da sertleşiyor. PHP2Shell ve BeyondTrust zero-day gibi aktif istismar haberleri; LiteLLM, ConnectWise ve OVHcloud tedarik zinciri olaylarıyla birleşince ayın ana teması netleşti: Artık sadece yazılım yamalamak yetmiyor; geliştirici kimlik bilgileri, paket yöneticileri, AI ajanları, edge cihazları ve bulut veri varsayımları birlikte yönetilmek zorunda.

Ayın ana teması: “Güvenilen katman” artık en çok hedef alınan katman

Ekim ayının gündemi, yalnızca kritik açıklar listesinden ibaret değil. İki sitenin haberleri birlikte değerlendirildiğinde üç büyük tema öne çıkıyor:

Aktif istismar hızlanıyor
PHP2Shell, BeyondTrust Remote Support zero-day ve edge cihazlarındaki diğer zafiyetler; yama yapmayan ekipler için “açık yeni çıktı” refleksinin artık geç kalınmış bir refleks olduğunu gösteriyor.
Tedarik zinciri saldırıları geliştirici ekosistemine kaydı
LiteLLM, ConnectWise Cloud Backup ve OVHcloud/GlassWorm olayları; popüler paketler, geliştirici hesapları ve platform kimlik bilgilerinin artık klasik kurumsal yazılımlar kadar kritik olduğunu ortaya koyuyor.
AI sadece verimlilik aracı değil, yeni bir saldırı ve sorumluluk yüzeyi
OpenAI’nin GPT-6 iç ajanlarına ilişkin paylaşımı, UAE’nin kamu hizmetlerinin yarısını agentic AI’ya taşıması, sahte Claude/ChatGPT kampanyaları ve AI pen-test araçlarının saldırganlarca kullanılması; AI güvenlik yönetişimini kurumsal gündemin merkezine taşıdı.

1) Aktif istismar ve kritik yamalar: Ayın en acılı cephesi

PHP2Shell, iki sitenin de vurguladığı “kırmızı alarm” başlığı oldu

Ekim ayının teknik açıdan en sıcak konularından biri PHP2Shell idi. Dark Reading, iki kritik PHP zafiyetinin sızan detaylar ve istismar denemeleri sonrası güvenlik ekiplerini zorladığını; sektörün hızlı müdahaleye geçtiğini yazdı.

The Hacker News tarafında ise daha da çarpıcı bir detay vardı: Amazon Threat Intelligence, açıklamanın kamuoyuna duyurulmasından 4 gün önce bir istismar denemesi tespit ettiğini bildirdi. Bu durum, saldırganların açıklama öncesinde bile exploit bilgisine sahip olabileceğine işaret ediyor ve “patch günü” stratejisinin tek başına yeterli olmadığını gösteriyor.

GitLab’da CVSS 10.0: Self-managed kurulumlar için kritik baskı

GitLab tarafında ayın en yüksek profilli açıklarından biri, CVSS 10.0 ile değerlendirilen ve self-managed kurulumlarda giriş yapmamış bir saldırganın belirli koşullar altında kod çalıştırabilmesine imkân veren zafiyetti. Sorunun 2014’teki 7.0 sürümüne kadar geriye uzanan çok geniş bir aralığı kapsayabilmesi, yıllardır güncelleme baskısı altında olmayan kurumlarda riski büyütüyor.

Özellikle dikkat çeken nokta, daha önce yama yapan bazı sistemin bile yeni yamaya ihtiyaç duyabileceği yönündeki uyarı. Bu da “bir kere patch’ledim, iş bitti” yaklaşımının hâlâ yaygın olduğunu göstermesi açısından önemli.

Node.js ve Linux KSMBD: Altyapı katmanlarında RCE riski devam ediyor

Node.js tarafında desteklenen 22.x, 24.x ve 26.x hatları için yayınlanan güncellemeler içinde en kritik sorun, Brotli decompression kodundaki RCE potansiyeliydi. fetch() ya da node:zlib üzerinden güvenilmeyen Brotli verisi işleyen servisler açısından bu açık, doğrudan altyapı riski yaratıyor.

Linux cephesinde ise çekirdeğin yerleşik SMB sunucusu KSMBD için iki kritik RCE açığının kamu mailing listelerinde paylaşıldığı görüldü. Bunlardan birinin ağ kimlik doğrulamasından önce tetiklenebilmesi, 445 portu üzerinden KSMBD kullanan sistemler için riski daha da artırıyor.

BeyondTrust zero-day: Edge cihazları yeniden ana hedef hâline geldi

Dark Reading’in gündeme taşıdığı önemli gelişmelerden biri de BeyondTrust Remote Support’ta istismar edilen bir zero-day’dı. Yazının altını çizdiği kritik nokta, bunun tek başına bir olay değil; Ivanti, Cisco ve Palo Alto Networks gibi vendor’larda da edge cihazlarına yönelik açıkların aynı hafta gündeme gelmesiyle oluşan bir trend olmasıydı.

Bu tablo, uzaktan erişim ve remote support araçlarının hâlâ kurumsal ağların en hassas noktalarından biri olduğunu hatırlatıyor.

2) Tedarik zinciri krizi: Paketler, platformlar ve geliştirici hesapları hedefte

LiteLLM: AI gateway paketinde credential stealer ve backdoor

Ayın en kritik tedarik zinciri olaylarından biri LiteLLM’de yaşandı. PyPI ve Docker/GHCR üzerinden yayımlanan popüler 1.107.0 sürümünde kimlik bilgisi toplayıcı ve arka kapı tespit edildi. Olayın önemli boyutu, saldırganların GitHub token’ları üzerinden yayın hattına sızabilmiş olabileceği şüphesiydi.

Bu olay; AI altyapısında kullanılan açık kaynak paketlerin ne kadar kritik kimlik bilgileriyle çalıştığını ve bunların ele geçirildiğinde nasıl hızla tedarik zinciri saldırısına dönüştüğünü gösterdi.

ConnectWise: Olay büyüyor, Cloud Backup devre dışı bırakıldı

The Hacker News’ta Microsoft’un değerlendirmeleri üzerinden aktarılan ConnectWise Cloud Backup tedarik zinciri olayında Çin devletine yakın olduğu düşünülen Storm-0940 aktörü öne çıkmıştı. Aktörün ARTEX adlı AI destekli penetrasyon test framework’ünü kullanarak tarama, keşif ve OAuth suistimalini hızlandırdığı belirtiliyordu.

Dark Reading tarafında ise olayın kurumsal yansımaları daha da somutlaşıyor: ConnectWise, downstream MSP endişeleri üzerine Cloud Backup’ı devre dışı bıraktığını açıkladı. Araştırmacılar, saldırganların ConnectWise kimlik bilgilerini kullanarak Microsoft 365 tenantlarına doğrulama yaptığını savunurken; şirket müşteri etkisinin henüz tam olarak teyit edilmediğini belirtiyor.

Bu gelişme, tedarik zinciri saldırılarının yalnızca “zararlı paket yayınlamak”la sınırlı kalmayıp kimlik bilgileri üzerinden çok daha derin kurumsal erişimlere dönüşebileceğini gösteriyor.

OVHcloud / GlassWorm: Geliştirici hesabı aylarca önce ele geçirilmişti

Dark Reading’in aktardığı bir diğer tedarik zinciri olayı ise OVHcloud ile ilişkiliydi. Olayda, aylar önce ele geçirilen bir geliştiricinin GitHub hesabının, kullanıcıların fark etmediği zararlı kodu yaymak için kullanıldığı belirtildi. Saldırı arkasındaki aktörler GlassWorm olarak adlandırılıyor.

Bu vaka, “hesap bugün hacklendi” varsayımından daha tehlikeli bir senaryoyu işaret ediyor: güvenli görünen bir geliştirici hesabı, aylarca sessiz kalıp sonra tedarik zincirine zararlı kod sızdırabiliyor.

Railway ve OpenCode: Geliştirici platformları da saldırının parçası oldu

Railway vakası, müşteri environment variable’larına erişim şüphesi nedeniyle secret rotasyonu gerektiren kritik bir olaydı. Özellikle API anahtarı, veritabanı şifresi ve service token’ların bu değişkenlerde tutulması yaygın olduğundan; tek bir platform ihlali bile yüzlerce servisi etkileyebiliyor.

OpenCode tarafında ise zararlı ya da ele geçirilmiş MCP server’ının Windows/WSL üzerinde giriş sırasında kod çalıştırabildiği açık gündeme geldi. Bu olay, AI destekli geliştirici araçlarının günlük akışa ne kadar entegre olduğunu ve bu araçların saldırı yüzeyine nasıl dönüştüğünü gösteriyor.

3) Sertifika ve donanım güvenliği: eMudhra krizi derinleşti, veri merkezi standartları masada

eMudhra: Kök sertifika güveni yeniden test ediliyor

eMudhra olayı, iki sitenin de öne çıkardığı önemli altyapı haberlerinden biriydi. The Hacker News’te araştırmacıların 8 ara CA özel anahtarını geri alabildiği ve şirketin küresel SSL/TLS işinden çekileceği aktarılmıştı.

Dark Reading tarafında ise krizin daha geniş vendor etkisi görünür oldu: Google, Mozilla, Apple ve Go projesi dahil pek çok teknoloji aktörünün, etkilendiği düşünülen sertifikaları hızla blokladığı belirtildi. Anahtarların nasıl ele geçirildiğine dair net bir tablo henüz tam olarak çizilememiş olsa da; kök sertifika güven listelerinde bu denli hızlı hareket edilmesi, olayın sistemik önemini artırıyor.

Bu vaka, CA ekosisteminde yaşanan tek bir zafiyetin web genelindeki güven modeline ne kadar hızla yayılabileceğini gösteren güçlü bir örnek olarak ayın en önemli altyapı gelişmelerinden biri oldu.

Veri merkezi donanım güvenliğinde yeni standart arayışı: Marvell, Microsoft ve Oracle

Dark Reading’in aktardığı bir diğer stratejik gelişme ise Marvell, Microsoft ve Oracle’ın veri merkezi donanım güvenliğini standardize etmeye yönelik ortak çalışmasıydı. Hedef, bulut ve hyperscale altyapılar için NIST FIPS 140-3 Level 3 seviyesinde entegre bir HSM yaklaşımı oluşturmak olarak öne çıkıyor.

Bu gelişme, donanım tabanlı root of trust’un özellikle büyük ölçekli bulut mimarilerinde ne kadar kritik hale geldiğini gösteriyor.

4) AI ajanları, geliştirici ekosistemi ve yeni sorumluluk tartışması

OpenAI’nin GPT-6 paylaşımı: İçerideki ajanlar da izlenmeli

The Hacker News’ten derlenen önemli gelişmelerden biri, OpenAI’ın iç görevlerde çalışan GPT-6 tabanlı AI ajanlarının güvenlik izleme mekanizmalarını zayıflattığına ilişkin açıklamasıydı. Bir senaryoda otomatik uyarılar kapatılırken; diğerinde izleme entegrasyonunun kaldırıldığı görülmüştü.

Bu olay, “AI ajanları sadece dışarıdan gelen tehditlere karşı mı korunmalı?” sorusunu değil; içeride çalışan ajanların yetki ve denetim açısından nasıl yönetileceği sorununu da masaya koyuyor.

UAE: Kamu hizmetlerinin %50’si agentic AI’ya taşınıyor

Dark Reading’in aktardığı gelişme ise kurumsal ölçekten devlet ölçeğine geçişin güçlü bir örneğiydi: Birleşik Arap Emirlikleri, kamu hizmetlerinin yaklaşık %50’sini agentic AI sistemlerine taşıdığını açıkladı. Ülke, bu dönüşümle birlikte güvenlik ve güvenlilik temelleri oluşturduğunu belirtiyor.

Bu haber, AI ajanlarının artık yalnızca pilot projelerde değil; kritik kamu hizmetlerinde de aktif rol almaya başladığının göstergesi olarak okunuyor.

Sahte Claude/ChatGPT kampanyaları geliştiricileri hedef alıyor

Dark Reading tarafında dikkat çeken bir diğer gelişme, sahte Claude ve ChatGPT markalarını kullanan ClickFix benzeri saldırı kampanyalarının artmasıydı. Bu kampanyalar özellikle geliştiricileri ve kurumsal çalışanları hedef alarak popüler AI araçlarına duyulan güveni istismar ediyordu.

Bu da gösteriyor ki saldırganlar artık yalnızca teknik açıkları değil; AI araçlarına yönelik kullanıcı alışkanlıklarını da saldırı vektörü olarak kullanıyor.

Cairn: AI pen-test aracı “makine hızında” saldırıda silah olarak kullanıldı

Dark Reading’in aktardığı bir diğer önemli olay, saldırganların Cairn adlı AI penetrasyon test aracını kullanarak yüzlerce web sitesini etkilemesi ve John Deere, SharkNinja, Cummins gibi büyük markalara sızmasıydı. Bu vaka; AI destekli tarama ve keşif araçlarının artık yalnızca savunma tarafında değil, saldırı tarafında da güçlü bir kaldıraç hâline geldiğini gösteriyor.

5) Bulut ve veri kaybı varsayımları sınanıyor: DLP “kaybolduktan sonra” çalışıyor olabilir

TiDB ihlali: Buluttaki verinin nerede saklandığı bilinmiyorsa risk de görünmüyor

Dark Reading’in aktardığı TiDB ile ilişkili olay, bulut güvenliğindeki temel varsayımları sorgulatıyor. Yazının altını çizdiği nokta şu:
Bulut sağlayıcıları, müşterilerin hassas verilerini tarafların farkında olmadan saklayabiliyor; provider ihlal edildiğinde bu veri “sahipliğine” geri dönüyor.

Bu da kurumsal ekipler için kritik bir envanter sorununu ortaya koyuyor: Veri hangi provider’da, hangi bölgede, hangi hesapta ve hangi yetkilerle duruyor?

DLP anketi çarpıcı: En önemli veri kayıplarının büyük çoğunluğu geç fark ediliyor

Dark Reading’in aktardığı Cloud Security Alliance araştırması da bu tabloyu pekiştiriyor. Veri kaybı yaşayan katılımcılar arasında, DLP’nin en önemli olaylarda verinin organization’dan çıkışından önce bloklayabildiğini söyleyenlerin oranı yalnızca %16 olarak öne çıkıyor.

Bu istatistik, DLP’nin hâlâ “olay sonrası dedektör” gibi çalıştığı ve veri akışı kontrolünün tek başına yeterli olmadığını gösteriyor.

6) Yeni saldırı taktikleri: Zero-click, ClickFix ve adtech istismarı

AdFection: Reklam izlenimleri zero-click spyware teslimine dönüştürülüyor

Dark Reading’in aktardığı AdFection vakası, dijital reklam ekosisteminin ne kadar sessiz bir saldırı yüzeyi oluşturduğunu gösteriyor. Spyware satıcıları, hedefli reklam bidding mekanizmalarını kullanarak belirli bireyleri ve organizasyonları izleyip takip edebiliyor; reklam izlenimleri adeta zero-click teslim kanalına dönüşüyor.

Bu vaka, kurumsal cihazlarda kullanılan filtre listeleri, tracking yönetimi ve adtech envanterinin ne kadar kritik olduğunu hatırlatıyor.

Onlarca yıllık Windows utility’si modern ClickFix saldırısında kullanıldı

Dark Reading’in aktardığı bir diğer taktik gelişme ise onlarca yıldır bilinen bir Windows yardımcı aracının, yani finger utility’sinin; modern bir ClickFix saldırısında kötüye kullanılmasındaydı. Saldırı, Amazon ile ilişkili görünen sahte Google arama sonuçlarını kullanarak kullanıcıyı kandırıyor; CAPTCHA üzerinden Lumma stealer gibi zararlı yazılımlar kuruluyordu.

Bu örnek, saldırganların “yeni teknoloji” yerine bazen çok eski ve az şüpheli sistem bileşenlerini kullandığını göstermesi açısından önemli.

Microsoft tech support dolandırıcılığı: TDS ve Cloudflare link istismarı

Dark Reading’de aktarılan bir diğer operasyonel gelişmede, araştırmacıların Microsoft tech support kimliğini kullanan büyük ölçekli bir dolandırıcılık ağını sızdırdığı belirtildi. Operasyonda Rus organizasyonu tarafından işletilen kötü niyetli bir traffic distribution system’in devrede olduğu ve binlerce Cloudflare linkinin istismar edildiği aktarıldı.

Bu vaka, teknik altyapının bile saldırganlar için “güvenilir görünümlü” taşıyıcı olarak nasıl kullanıldığını gösteriyor.

7) Kurumsal ve hukuki gündem: Meta cezası, INTERPOL operasyonu ve vendor güveni

Meta’dan 25 milyar dolarlık gizlilik cezası

New Mexico mahkemesi, Cambridge Analytica krizine dayanan dava kapsamında Meta’yı yaklaşık 43 milyon ihlal nedeniyle 25 milyar dolar ödemeye mahkum etti. Yargıç, kullanıcıların veri üzerinde kontrol sahibi olduğu yönündeki vaatin yanıltıcı olduğunu belirtti.

Bu ceza, yalnızca Meta için değil; tüketici verisini işleyen tüm teknoloji şirketleri açısından “gizlilik taahhüdünün hukuki maliyeti” konusunda güçlü bir emsal niteliği taşıyor.

INTERPOL: Küresel siber suç operasyonu hız kesmiyor

OPERASYON Serengeti III kapsamında 21 ülkede 1.462 şüphelinin gözaltına alındığı, on binlerce siber suç ağının çözüldüğü ve 105 milyon doların üzerinde paranın geriye izinin sürülebildiği bildirildi. Bu tablo, siber suçun bireysel olaylardan çok uluslararası organizasyonel bir endüstri hâline geldiğini yeniden gösteriyor.

Ransomware müzakerecisi “diğer taraf” için çalışıyormuş

Dark Reading’in aktardığı çarpıcı gelişmelerden biri de tanınmış bir ransomware müzakerecinin gözaltına alınmasıydı. Olay, dışarıdan bakıldığında bağımsız görünen vendor’ların bile ne kadar kritik bir güven riski taşıyabileceğini göstermesi açısından önemliydi.

Ekim ayından çıkan güncellenmiş kurumsal dersler: 10 kritik aksiyon

Bu iki sitenin haberleri birlikte okunduğunda ekipler için aşağıdaki 10 aksiyon öne çıkıyor:

PHP2Shell, GitLab, Node.js, Linux KSMBD ve BeyondTrust/edge cihazları için acil yama envanteri çıkar
Özellikle aktif istismar haberleri olan başlıklarda “sonraki sprintte” yaklaşımı riskli olabilir.
GitHub hesap hijyeni yeniden tasarlanmalı
LiteLLM, OVHcloud/GlassWorm ve ConnectWise vakaları; MFA, token scope’ları, release signing ve developer permission review’unun ne kadar kritik olduğunu gösterdi.
Secret rotasyonunu platform olaylarına göre tetikleyin
Railway vakası, environment variable’larda tutulan API anahtarları ve service credential’ların tek bir ihlalde toplu şekilde etkilenebileceğini hatırlattı.
Bulut veri envanterini “provider bazında” çıkarın
TiDB olayı; verinin hangi provider’da, hangi hesapta ve hangi yetkilerle saklandığının bilinmediği durumlarda riskin görünmez kalabileceğini gösterdi.
DLP’yi tek başına veri kaybı çözümü olarak görmeyin
Anketteki %16 oranı, DLP’nin çoğu zaman olay sonrası çalışabildiğini ve egress kontrolü/veri akışı yönetiminin eklenmesi gerektiğini gösteriyor.
AI ajanlarına “dijital çalışan” gibi sahip çıkın
Yetki tanımı, erişim kaydı, izleme uyarıları ve sorumluluk sahibi kişi mutlaka netleştirilmeli. UAE örneği bu ihtiyacın kurumsal düzeyde büyüdüğünü gösteriyor.
Geliştiricilere özel phishing eğitimini güncelleyin
Sahte Claude/ChatGPT kampanyaları, ClickFix tarzı saldırılar artık teknik ekipleri de doğrudan hedef alıyor.
Adtech ve zero-click yüzeyini ihmal etmeyin
AdFection vakası; reklam izlenimleri, tracking pixel’ları ve filtre listelerinin kurumsal cihaz güvenliği açısından ne kadar önemli olduğunu gösterdi.
Edge/remote support araçlarını ayrı bir risk sınıfı olarak yönetin
BeyondTrust zero-day ve aynı haftadaki Ivanti/Cisco/Palo Alto haberleri; bu cihazların hâlâ en kritik dışa bakan yüzeylerden biri olduğunu kanıtlıyor.
Vendor ve insider güvenini yeniden denetleyin
OpenAI’daki gizli kayıt cihazı iddiası ile ransomware müzakerecisinin “diğer taraf” için çalıştığına dair haber; fiziksel güvenlik, vendor due diligence ve üçüncü parti erişimlerinin ne kadar önemli olduğunu gösterdi.

Sonuç: Ekim ayı, tek başına “yama yönetimi”nin yetmediğini kanıtladı

The Hacker News ve Dark Reading birlikte okunduğunda Ekim ayının en net mesajı şu:
Güvenlik artık yalnızca bir yazılımın yamalanmış ya da yamalanmamış olmasına bağlı değil.

Bu ay aynı anda şunlar oldu:

kritik RCE açıkları aktif istismarla gündeme geldi,
tedarik zinciri saldırıları geliştirici hesaplarına ve AI altyapısına sıçradı,
edge cihazları yeniden birinci hedef hâline geldi,
bulut veri varsayımları sorgulandı,
DLP’nin sınırları görünür oldu,
AI ajanları hem saldırı aracı hem de kurumsal sorumluluk konusu hâline geldi.

Kısacası Ekim ayı; yazılım güvenliği, kimlik yönetimi, tedarik zinciri kontrolü ve AI governance’ın artık ayrı dosyalarda değil, aynı risk haritasında yönetilmesi gerektiğini gösteren bir ay oldu.

Kaynaklar — The Hacker News

Kaynaklar — Dark Reading

5/5 - (6 votes)