Açık kaynak ekosisteminin, tedarik zinciri saldırıları ve bakımcı tükenmişliği nedeniyle kurumsal kullanım için yeni bir eşik aşamasına geldiği aktarılıyor. Yapılan son değerlendirmeler, lisansların değil projenin canlılığı, sürdürülebilir desteği ve hesap verebilirliği üzerinden ayrışan yeni bir kategoriye işaret ediyor.
Open VSX deposunda yayımlanan 77 kötü amaçlı eklenti kaldırıldı; paketlerin 26 Temmuz ile 1 Ağustos 2026 arasında yüklendiği, 3 Ağustos’ta temizlendiği bildirildi. Araştırma, eklentilerin gerçek uzantı adlarını taklit ettiğini, veri sızdırdığını, bazı örneklerin kapsamlı keşif verileri topladığını ve aynı dönemde npm tarafında ChainDrop adlı ayrı bir tedarik zinciri saldırısı yürütüldüğünü ortaya koydu.
Socket, Joyfill ekosistemine ait iki npm paketinde import anında çalışan ve Tron, Aptos ile BNB Smart Chain üzerinden ikinci aşama yükleri çeken kötü amaçlı bir JavaScript implantı bulduğunu açıkladı. Araştırmaya göre paketler, DEV#POPPER ve PolinRider ile ilişkili örüntüler taşıyor; son aşamadaki kod Node.js RAT ve Python infostealer yetenekleriyle kimlik bilgileri, tarayıcı verileri, Git kayıtları ve geliştirme araçlarına ait dosyaları hedef alıyor.
Yapay zekanın yazılım tedarik zincirine dahil olması, güvenlik yaklaşımlarını temelden değiştiriyor. Artık sadece kodun kendisi değil, kodu üreten modeller, otomatik ajanlar ve kullanılan araçların da güvenilirliği denetlenmeli. Bu durum, özellikle büyük ölçekli ve otomatik geliştirme süreçlerinde kritik önem taşıyor.
Mastra'nın npm paketleri, ele geçirilen bir katkıda bulunan hesabı üzerinden yayımlanan zararlı 'easy-day-js' kütüphanesiyle enfekte oldu. Bu saldırı, yapay zeka ve bulut tabanlı uygulamalarda kritik kimlik bilgilerini tehlikeye atıyor. Güvenlik ekiplerinin acil müdahale ve kapsamlı analiz yapması gerekiyor.
npm paket yöneticisinin 12. sürümüyle birlikte, yazılım tedarik zinciri saldırılarını önlemek için kurulum betiklerinin otomatik çalıştırılması varsayılan olarak devre dışı bırakılıyor. Bu değişiklik, Node.js projelerinde kötü amaçlı kodların çalıştırılmasını engellemek için geliştiricilerin betik çalıştırma izinlerini açıkça vermesini gerektiriyor. Güvenlik ekipleri ve geliştiriciler, yeni sürüme geçiş öncesi betik onaylama süreçlerini gözden geçirmeli ve CI/CD ortamlarında ek koruma önlemleri uygulamalıdır.
npm ekosisteminde ele geçirilmiş bakımcı hesapları üzerinden yayılan yeni bir tedarik zinciri saldırısı, yüzlerce paketi zararlı sürümlerle güncelledi. Kampanya, kimlik bilgisi çalma, CI/CD istismarı ve sahte imzalama teknikleriyle kurumsal geliştirme ortamlarını doğrudan risk altına alıyor. Özellikle otomatik bağımlılık güncellemesi yapan ekiplerin token rotasyonu, paket bütünlüğü ve build provenance kontrollerini hızla gözden geçirmesi gerekiyor.
GitHub Actions ekosisteminde kullanılan iki popüler action’ın etiketleri sahte commit’lere yönlendirilerek CI/CD kimlik bilgilerini hedef alan bir tedarik zinciri saldırısı ortaya çıkarıldı. Saldırı, build süreçlerinde çalışan iş akışlarından sırları çekip saldırgan altyapısına sızdırıyor; bu nedenle sürüm etiketi kullanan ekiplerin acilen SHA pinning ve secret rotasyonu yapması gerekiyor.
Son dönemde Chrome Web Mağazası'nda popüler uzantıların sahiplik değişikliği sonrası zararlı kodlar içermeye başladığı tespit edildi. Bu uzantılar, kullanıcıların tarayıcılarında kod enjeksiyonu yaparak hassas verileri çalıyor ve kötü amaçlı yazılım dağıtıyor. Kurumsal ve bireysel kullanıcılar için önemli bir güvenlik tehdidi oluşturan bu gelişmeler, tarayıcı uzantılarının tedarik zinciri güvenliğ
Sha1-Hulud tedarik zinciri saldırısının ikinci dalgası, npm paketleri üzerinden ön yükleme aşamasında çalışan kötü amaçlı betikler aracılığıyla 25.000’den fazla depoyu etkiledi. Saldırganlar, GitHub iş akışlarına sızarak hassas kimlik bilgilerini çalıyor ve ele geçirilen makinelerde rastgele komutlar çalıştırabiliyor. Türkiye’deki kurumlar için kritik altyapı ve KVKK uyumluluğu açısından önemli ri