Etiket: CI/CD

Anasayfa » CI/CD
npm Kurulum Komutlarında Otomatik Betik Çalıştırma Varsayılan Olarak Devre Dışı Bırakılıyor
Yazı
Haziran 11, 2026Haziran 11, 2026Güvenlik Politikaları, Tedarik Zinciri Güvenliği, Yazılım Güvenliği

npm Kurulum Komutlarında Otomatik Betik Çalıştırma Varsayılan Olarak Devre Dışı Bırakılıyor

tarafından

npm paket yöneticisinin 12. sürümüyle birlikte, yazılım tedarik zinciri saldırılarını önlemek için kurulum betiklerinin otomatik çalıştırılması varsayılan olarak devre dışı bırakılıyor. Bu değişiklik, Node.js projelerinde kötü amaçlı kodların çalıştırılmasını engellemek için geliştiricilerin betik çalıştırma izinlerini açıkça vermesini gerektiriyor. Güvenlik ekipleri ve geliştiriciler, yeni sürüme geçiş öncesi betik onaylama süreçlerini gözden geçirmeli ve CI/CD ortamlarında ek koruma önlemleri uygulamalıdır.

protobuf.js Kütüphanesinde 6 Kritik Güvenlik Açığı: Node.js Uygulamaları RCE ve DoS Tehlikesiyle Karşı Karşıya
Yazı
Haziran 10, 2026Haziran 10, 2026Siber Güvenlik, Uygulama Güvenliği, Zafiyetler

protobuf.js Kütüphanesinde 6 Kritik Güvenlik Açığı: Node.js Uygulamaları RCE ve DoS Tehlikesiyle Karşı Karşıya

tarafından

protobuf.js kütüphanesinde bulunan altı kritik güvenlik açığı, Node.js uygulamalarını uzaktan kod çalıştırma ve hizmet engelleme saldırılarına karşı savunmasız bırakıyor. Bu zafiyetler, özellikle Google Cloud SDK'ları, mesajlaşma otomasyon kütüphaneleri ve CI/CD süreçlerini hedef alıyor. Güvenlik ekiplerinin derhal güncelleme yapması ve şema doğrulama mekanizmalarını güçlendirmesi gerekiyor.

Kripto Para Şirketlerini Hedefleyen JINX-0164: Sahte İş Teklifi ve macOS Kötü Amaçlı Yazılımı
Yazı
Mayıs 28, 2026Mayıs 28, 2026APT, Siber Tehditler, Zararlı Yazılımlar

Kripto Para Şirketlerini Hedefleyen JINX-0164: Sahte İş Teklifi ve macOS Kötü Amaçlı Yazılımı

tarafından

JINX-0164 adlı tehdit aktörü, kripto para şirketlerini hedef alan gelişmiş sosyal mühendislik ve macOS zararlıları kullanıyor. Sahte iş teklifleriyle geliştiricilere ulaşan saldırganlar, CI/CD altyapılarına sızarak kripto cüzdan bilgilerini çalıyor. Bu kampanya, tedarik zinciri saldırıları ve veri hırsızlığı risklerini artırıyor.

npm Tedarik Zinciri Saldırısında 300’den Fazla Paket Zehirlendi
Yazı
Mayıs 22, 2026Mayıs 22, 2026APT, Bulut Güvenliği, Tedarik Zinciri Güvenliği

npm Tedarik Zinciri Saldırısında 300’den Fazla Paket Zehirlendi

tarafından

npm ekosisteminde ele geçirilmiş bakımcı hesapları üzerinden yayılan yeni bir tedarik zinciri saldırısı, yüzlerce paketi zararlı sürümlerle güncelledi. Kampanya, kimlik bilgisi çalma, CI/CD istismarı ve sahte imzalama teknikleriyle kurumsal geliştirme ortamlarını doğrudan risk altına alıyor. Özellikle otomatik bağımlılık güncellemesi yapan ekiplerin token rotasyonu, paket bütünlüğü ve build provenance kontrollerini hızla gözden geçirmesi gerekiyor.

Grafana’da GitHub Sızıntısı: TanStack Tedarik Zinciri Saldırısı Kaynak Kodları ve İç Reposları Açığa Çıkardı
Yazı
Mayıs 22, 2026Mayıs 22, 2026APT, Bulut Güvenliği, Zafiyetler

Grafana’da GitHub Sızıntısı: TanStack Tedarik Zinciri Saldırısı Kaynak Kodları ve İç Reposları Açığa Çıkardı

tarafından

Grafana Labs, GitHub ortamını hedef alan bir tedarik zinciri saldırısı sonrası kaynak kodu ve bazı iç depo içeriklerinin sızdığını doğruladı. Şirket, üretim sistemlerinin etkilenmediğini söylerken, olayın CI/CD token’ları, repo erişimleri ve iç dokümantasyon açısından önemli bir risk oluşturduğunu da ortaya koydu. Bu gelişme, yazılım tedarik zinciri güvenliği ve kimlik bilgisi yönetiminin kurumsal savunmadaki kritik rolünü yeniden gündeme taşıyor.

Google Gemini CLI ve Cursor’daki Kritik RCE Zafiyetleri Düzeltildi
Yazı
Nisan 30, 2026Nisan 30, 2026Bulut Güvenliği, Siber Güvenlik, Zafiyetler

Google Gemini CLI ve Cursor’daki Kritik RCE Zafiyetleri Düzeltildi

tarafından

Google, Gemini CLI ve Cursor bileşenlerinde tespit edilen kritik uzaktan kod çalıştırma (RCE) açıklarını giderdi. Bu zafiyetler, saldırganların kötü amaçlı içerik yükleyerek sistemlerde yetkisiz kod çalıştırmasına imkan tanıyordu. Siber güvenlik ekipleri, ilgili yamaları hızla uygulayarak riskleri azaltmalı.

LiteLLM 1.82.7 ve 1.82.8 Sürümlerinde Trivy CI/CD Zinciri Üzerinden Arka Kapı Tehdidi
Yazı
Mart 27, 2026Mart 27, 2026Siber Tehditler, Yazılım Güvenliği, Zafiyetler

LiteLLM 1.82.7 ve 1.82.8 Sürümlerinde Trivy CI/CD Zinciri Üzerinden Arka Kapı Tehdidi

tarafından

Mart 2024'te yayımlanan LiteLLM 1.82.7 ve 1.82.8 sürümlerinde, Trivy CI/CD güvenlik aracının istismarıyla arka kapı yerleştirildiği tespit edildi. Bu durum özellikle konteyner tabanlı uygulamalar geliştiren kurumları ve güvenlik profesyonellerini yakından ilgilendiriyor. Saldırı zinciri ve önerilen savunma yöntemleri haberimizde detaylandırıldı.

UNC4899’un AirDrop Tabanlı Trojan Saldırısı ile Kripto Firmasına Yönelik Bulut İhlali
Yazı
Mart 15, 2026Mart 15, 2026APT, Bulut Güvenliği, Saldırı Analizi

UNC4899’un AirDrop Tabanlı Trojan Saldırısı ile Kripto Firmasına Yönelik Bulut İhlali

tarafından

2025 yılında UNC4899 adlı devlet destekli tehdit aktörü, bir kripto para şirketinin bulut altyapısını hedef alan karmaşık bir saldırı düzenledi. Geliştiricinin kişisel cihazına trojanlı dosya AirDrop yoluyla aktarılmasıyla başlayan bu saldırı, Kubernetes ortamında kalıcılık ve yüksek ayrıcalıklı erişim kazanma adımları içeriyor. Bu olay, bulut güvenliği ve P2P veri transferlerinin risklerine dikka

UNC6426 Tehdit Grubu, nx npm Tedarik Zinciri Saldırısıyla 72 Saatte AWS Yönetici Hakları Kazandı
Yazı
Mart 15, 2026Mart 15, 2026APT, Bulut Güvenliği, Zafiyetler

UNC6426 Tehdit Grubu, nx npm Tedarik Zinciri Saldırısıyla 72 Saatte AWS Yönetici Hakları Kazandı

tarafından

Geçen yıl gerçekleşen nx npm paketine yönelik tedarik zinciri saldırısında, UNC6426 adlı tehdit aktörü GitHub tokenlarını ele geçirerek AWS ortamında tam yönetici erişimi sağladı. Bu olay, bulut güvenliği ve CI/CD süreçlerinde kritik zafiyetlerin nasıl istismar edilebileceğini gösteriyor.

Rust Paketleri ve AI Destekli Botlarla Geliştirici Sırlarına Yönelik İki Farklı Tedarik Zinciri Saldırısı
Yazı
Mart 15, 2026Mart 15, 2026Siber Tehditler, Tedarik Zinciri Saldırıları, Zafiyetler

Rust Paketleri ve AI Destekli Botlarla Geliştirici Sırlarına Yönelik İki Farklı Tedarik Zinciri Saldırısı

tarafından

2026 Şubat-Mart döneminde, Rust ekosisteminde yayılan kötü amaçlı paketler ve yapay zeka destekli bir botun GitHub Actions iş akışlarını hedef aldığı iki ayrı tedarik zinciri saldırısı tespit edildi. Geliştirici ortamlarından API anahtarları ve tokenlar gibi kritik sırların çalınması, bulut ve CI/CD altyapılarında ciddi güvenlik riskleri oluşturuyor.