PHP, GitLab, NGINX ve bulut altyapılarında art arda ortaya çıkan kritik siber güvenlik açıkları, internetin farklı katmanlarında ciddi riskler oluşturdu. Ekim 2026’da yayımlanan güvenlik yamaları uzaktan kod çalıştırma, hizmet kesintisi ve hassas erişim bilgilerinin ele geçirilmesi gibi tehditlere karşı önlem gerektirirken dijital sertifikalarla yazılım tedarik zincirini etkileyen olaylar da gündeme geldi. Birbirinden bağımsız gelişen saldırılar, kuruluşların sunucularını güncellemesini, bulut erişimlerini incelemesini ve çalınmış olabilecek kimlik bilgilerini yenilemesini öncelikli hale getirdi.
PHP ve GitLab Güvenlik Açıkları Acil Güncelleme Gerektiriyor
PHP’de ortaya çıkan kritik güvenlik açıkları, internet sitesi sahiplerini ve sunucu yöneticilerini güncelleme sürecine yöneltti. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıklar için PHP geliştiricileri 21 Ekim 2026 tarihinde güvenlik düzeltmeleri yayımladı. PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri, ilgili düzeltmeleri içeren sürümler arasında yer aldı.
Söz konusu açıklar, belirli koşullarda saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına yol açabiliyor. WordPress gibi yaygın içerik yönetim sistemlerinin PHP altyapısından yararlanması, güncelleme ihtiyacını geniş bir kullanıcı kitlesi açısından önemli hale getiriyor. PHP 8.1 ve daha eski sürümleri kullanan kuruluşların da destek durumunu ve işletim sistemi sağlayıcılarının sunduğu güvenlik yamalarını incelemesi gerekiyor.
GitLab tarafında ise CVE-2026-110264 koduyla izlenen kritik bir güvenlik açığı için düzeltme yayımlandı. En yüksek önem derecesi olan 10 üzerinden 10 puanla değerlendirilen sorun, belirli koşullarda saldırganların kullanıcı hesabıyla oturum açmadan sunucuda kod çalıştırmasına imkân tanıyabiliyor.
Açığın kaynağında, özel olarak hazırlanmış bir düzenli ifadenin işlenmesi sırasında meydana gelen tam sayı taşması bulunuyor. GitLab’ın açıklamasına göre sorun, 2014 yılında yayımlanan 7.0 sürümünden itibaren uzanan bir sürüm aralığını etkiliyor. Şirket, 21 Ekim’de güvenlik güncellemelerini duyururken eski sürümler için de düzeltmeler hazırladı.
GitLab, açığın saldırılarda kullanıldığına ilişkin bir bulgu paylaşmadı. Buna rağmen kendi sunucularında GitLab çalıştıran kuruluşların güncellemeleri uygulaması ve işlem sırasında ortaya çıkabilecek veritabanı değişiklikleriyle ilgili kesinti riskini hesaba katması gerekiyor.
İnternet iletişiminin temel bileşenlerinden HTTP/3 de bellek tüketimiyle ilişkili güvenlik sorunlarıyla gündeme geldi. Araştırmacıların belirlediği QPACK kaynaklı hatalar, bazı uygulamalarda saldırganların tek bir bağlantı üzerinden sunucunun belleğini tüketerek hizmet kesintisine neden olmasına yol açabiliyor.
HTTP/3, istemcilerle internet sunucuları arasındaki veri aktarımını düzenleyen protokolün yeni neslini oluşturuyor. QPACK ise iletişim sırasında tekrarlanan başlık bilgilerini sıkıştırarak veri aktarımını daha verimli hale getiriyor. Ancak bazı uygulamalarda sıkıştırılmış verinin açıldıktan sonra kullanacağı bellek yeterince erken sınırlandırılmadığında küçük bir veri girdisi çok daha büyük bir kaynak tüketimine neden olabiliyor.
Araştırmacıların testlerinde bazı uygulamalarda bellek kullanımındaki artışın 4.000 kata ulaştığı bildirildi. Belleğin tükenmesi, sunucunun yeni bağlantılara yanıt verememesine ve hizmetin kesilmesine yol açabiliyor.
İncelenen 10 HTTP/3 uygulamasının yedisinde benzer sorunlar tespit edildi. quic-go, Cloudflare quiche, lsquic ve Wireshark için düzeltmeler yayımlanırken Bun, aioquic ve Rust tabanlı h3 kütüphanesi için araştırmanın aktarıldığı sırada henüz bir düzeltme bulunmadığı belirtildi. Bu nedenle HTTP/3 kullanan kuruluşların yalnızca ana sunucu yazılımını değil, iletişim protokolünü işleyen kütüphaneleri de kontrol etmesi gerekiyor.
Node.js Dört Yüksek Önem Dereceli Güvenlik Açığını Kapattı
Sunucu uygulamalarında ve web hizmetlerinde yaygın kullanılan Node.js de dört yüksek önem dereceli güvenlik açığı için güncelleme aldı. JavaScript kodunun tarayıcı dışında çalışmasını sağlayan platformdaki sorunlardan biri, belirli koşullarda uzaktan kod çalıştırılmasına yol açabilecek nitelikteydi.
Diğer iki açık ise TLS doğrulamasının atlatılmasıyla ilişkiliydi. TLS, internet üzerinden aktarılan verilerin şifrelenmesini ve bağlantı kurulan sunucunun kimliğinin doğrulanmasını sağlayan güvenlik mekanizması olarak kullanılıyor. Doğrulama kontrollerindeki hatalar, uygulamaların gerçekten bağlanmak istedikleri hizmetle iletişim kurup kurmadığını anlamasını zorlaştırabiliyor.
Özellikle hassas verileri işleyen sistemlerde TLS doğrulamasının doğru çalışması önem taşıyor. Kuruluşların Node.js güncellemelerini uygularken kullandıkları sürümleri, bağımlılıkları ve bağlantı yapılandırmalarını incelemesi gerekiyor.
eMudhra Sertifikalarındaki Sorun Dijital Güven Zincirini Etkiledi
Hindistan merkezli sertifika otoritesi eMudhra’ya ait sekiz ara sertifikanın özel anahtarlarının tehlikeye girdiği bildirildi. Dijital sertifikalar, internet sitelerinin kimliğini doğrulamak ve şifreli bağlantıların güvenilirliğini desteklemek amacıyla kullanılıyor. Ara sertifikalar ise üst düzey sertifika otoriteleriyle internet siteleri arasında güven zincirinin kurulmasına yardımcı oluyor.
Aktarılan teknik bulgulara göre sorun, söz konusu sertifikaların özel anahtarlarının son derece zayıf üretilmesiyle bağlantılıydı. Normal şartlarda geniş bir olasılık uzayından seçilmesi gereken anahtarların, tahmin edilmesini kolaylaştıracak kadar küçük değerlerden oluştuğu bildirildi.
Bir saldırganın bu anahtarları elde etmesi, güvenilir görünen sahte sertifikalar oluşturmasına ve başka internet sitelerini taklit etmesine yol açabilir. Böyle bir saldırıda şifreli iletişimin dinlenmesi veya değiştirilmesi riski ortaya çıkabilir. Ancak bu tür bir müdahale için saldırganın iletişim trafiğini araya girerek yönlendirebildiği bir konumda olması da gerekebilir.
Google ve Mozilla dahil teknoloji sağlayıcıları, etkilenen sertifikalara karşı koruma adımları attı. Google, 17 Ekim’de aldığı ihbarı doğruladıktan sonra Chrome’da ilgili anahtarları engelleyen bir güncelleme devreye aldı. Android cihazlar için de Google Play Hizmetleri üzerinden koruma sağlandığı bildirildi.
Sertifika sorununa karşı Go programlama dilinde de değişiklik yapıldı. Go ekibi, 20 Ekim’de yayımlanan 1.27.3 ve 1.26.10 sürümlerinde etkilenen sekiz anahtarla ilişkili sertifika zincirlerini reddeden bir düzenleme gerçekleştirdi. Go, bulut altyapıları ve sunucu uygulamalarında yaygın biçimde kullanıldığı için söz konusu değişiklik, bu dile dayanan hizmetleri de ilgilendiriyor.
İnternet trafiğini yönlendirmek, web isteklerini karşılamak ve uygulama sunucularıyla bağlantı kurmak amacıyla kullanılan NGINX de güvenlik güncellemeleri yayımladı. F5 bünyesindeki NGINX ekibi, 14 Ekim’de beş güvenlik açığını gidermek için 1.30.6 ve 1.31.7 sürümlerini duyurdu.
Açıklanan sorunların üçü bellek yönetimiyle ilişkiliydi. Belirli yapılandırmalarda bu hatalar sunucu süreçlerinin çökmesine, bazı koşullarda ise uzaktan kod çalıştırılmasına yol açabiliyordu. Bir başka açık, belirli TLS yapılandırmalarında istemci sertifikası doğrulamasının atlatılmasıyla ilişkili bir oturum sahteciliği riski oluşturuyordu. Beşinci sorun ise HTTP/3 üzerinden gelen bir istekte fazladan verinin arka uç sunucuya aktarılmasına neden olabiliyordu.
NGINX, kararlı sürümü kullananlara 1.30.6’ya, ana geliştirme dalını kullananlara ise 1.31.7’ye geçmelerini önerdi. İnternet trafiğinin önemli bir bölümünü yöneten bu tür yazılımlardaki açıklar, sunucu yöneticilerinin güncelleme süreçlerini geciktirmemesini gerektiriyor.
Güvenlik olayları yalnızca web sunucuları ve ağ bileşenleriyle sınırlı kalmadı. Birden fazla yapay zekâ sağlayıcısına gönderilen istekleri ortak bir altyapı üzerinden yönlendirmek için kullanılan açık kaynaklı LiteLLM projesi de yazılım tedarik zinciri saldırısının hedefi oldu.
Aktarılan bilgilere göre saldırganlar projeye zararlı kod yerleştirerek bu kodları PyPI, Docker Hub ve GitHub Container Registry gibi yazılım dağıtım platformlarında yayımladı. Geliştiricilerin paket ve konteyner görüntülerini edindiği bu platformlardaki zararlı bileşenler, uygulamaların çalışma ortamlarını riske atabiliyor.
Zararlı paketlerde iki temel işlev öne çıktı. İlk bileşen, bulut hizmetlerine ait erişim bilgilerini, parolaları ve yapay zekâ servislerinin kimlik bilgilerini çalmayı hedefliyordu. İkinci bileşen ise ele geçirilen sistemlerde uzaktan komut çalıştırılmasına imkân tanıyabilecek bir uzaktan erişim truva atı olarak tanımlandı.
LiteLLM, zararlı sürümleri ve konteyner görüntülerini kaldırdığını açıkladı. Ancak daha önce etkilenen sürümleri yükleyen kuruluşların yalnızca yeni sürüme geçmesi yeterli olmayabilir. Sistemlerin incelenmesi, erişim bilgilerinin yenilenmesi ve şüpheli faaliyetlerin araştırılması da gerekiyor.
Bulut tabanlı uygulama geliştirme ve barındırma platformu Railway, 21 Ekim’de bir güvenlik ihlalini duyurdu. Şirketin ilk incelemesine göre yetkisiz bir üçüncü taraf, müşterilerin uygulamalarında kullanılan ortam değişkenlerine erişmiş olabilir. Bu bilgiler arasında API anahtarları, veritabanı parolaları ve özel yazılım depolarına erişim bilgileri bulunabiliyor.
Ortam değişkenleri, uygulamaların çalışması için gereken ayarları ve gizli bilgileri saklamak amacıyla kullanılıyor. Bu verilere erişim sağlanması, saldırganların Railway üzerindeki uygulamaların ötesine geçerek bağlantılı hizmetlere ulaşması riskini doğurabilir. Railway, bazı bilgilerin şifresi çözülmüş biçimde ele geçirilmiş olabileceğini de belirtti.
Şirket, olayın yapay zekâ modellerini çalıştıran altyapı sağlayıcılarını hedef alan daha geniş bir saldırı dizisiyle bağlantılı olabileceğini değerlendirdi. Bağlantılı hizmet sağlayıcılarına bilgi verildiği ve olası risklere karşı erişim anahtarlarının iptal edilmesinin istendiği bildirildi. Ancak saldırının arkasındaki kişiler ve hedef alınan diğer sağlayıcılar hakkında kesin bir açıklama yapılmadı.
Railway, müşterilerine uygulamalarda saklanan gizli bilgileri değiştirmelerini, bağlantılı hizmetlerin kayıtlarını incelemelerini ve hesaplarındaki olağan dışı erişimleri kontrol etmelerini önerdi. Bir kripto para izleme paylaşımında, ihlalle bağlantılı olabileceğinden şüphelenilen bir cüzdandan en az 369.300 dolar değerinde varlığın HitBTC’ye ve başka adreslere aktarıldığı öne sürüldü. Ancak cüzdanın Railway saldırısıyla bağlantısı doğrulanmış değil.
Siber Güvenlik Ekiplerini Birden Fazla Cephede Mücadele Bekliyor
PHP, GitLab, HTTP/3, Node.js ve NGINX gibi bileşenlerde ortaya çıkan güvenlik sorunları, yazılım altyapısının farklı katmanlarında eş zamanlı güncelleme ihtiyacı doğurdu. eMudhra sertifikalarındaki sorun dijital güven zincirini etkilerken LiteLLM ve Railway olayları yazılım tedarik zinciriyle bulut ortamlarında saklanan hassas bilgilerin önemini ortaya koydu.
Söz konusu olayların tamamının tek bir saldırı kampanyasına bağlı olduğuna ilişkin bir kanıt bulunmuyor. Ancak farklı güvenlik sorunlarının aynı dönemde gündeme gelmesi, sistem yöneticilerinin önceliklendirme ve olay müdahale süreçleri üzerindeki baskıyı artırıyor.
Kuruluşların ilk aşamada internete açık sistemlerini envanter üzerinden belirlemesi, ilgili güvenlik yamalarını uygulaması ve kullanılan yazılım bileşenlerinin sürümlerini doğrulaması gerekiyor. Bulut ortamlarında ise API anahtarlarının, veritabanı parolalarının ve diğer gizli bilgilerin yenilenmesi; erişim kayıtlarının incelenmesi ve yetkilerin en az ayrıcalık ilkesine göre sınırlandırılması önem taşıyor.
Yapay zekâ destekli araçların saldırı ve savunma süreçlerindeki rolü de gündemdeki yerini koruyor. Ancak mevcut olayların tümünü yapay zekâya bağlamak doğru değil; her olayın teknik nedeni ve saldırı yöntemi ayrı ayrı değerlendirilmeli. Önümüzdeki dönemde güvenlik ekiplerinin başarısını, yalnızca yamaların hızlı uygulanması değil, ihlal sonrasında kalıcı erişimlerin tespit edilmesi ve sistemlerin güvenli biçimde yeniden doğrulanması da belirleyecek.
