CISA, JetBrains TeamCity’deki CVE-2026-63077 açığının sahada aktif olarak istismar edildiğini açıkladı. 9,8 puanlı hata, kimliği doğrulanmamış saldırganlara sunucu üzerinden komut çalıştırma ve CI/CD süreçlerine sızma imkânı verebiliyor. Federal kurumlar için son yamalama tarihi 8 Ağustos 2026.
AWS, Google ve Vercel’in ajan altyapılarında tespit edilen üç açık kapatıldı. Bulgular, model atlatıldığında araç çağrılarının doğrudan tetiklenebildiğini ve denetimin araç katmanında yapılması gerektiğini gösteriyor.
Gitea, 1.22.1 ile 1.27.0 arasındaki sürümlerini etkileyen ve CVE-2026-59774 olarak izlenen kritik dosya okuma açığını 1.27.1 ile kapattı. Açık, public bir depo üzerinden Org-mode biçimlendirmesi kullanılarak servis hesabının okuyabildiği dosyaların içeriğini sızdırabiliyor; Gitea, bazı koşullarda bunun komut çalıştırma zincirine dönüşebileceğini ve yöneticilerin 1.27.1’e geçmesi gerektiğini açıkladı.
CISA, Langflow, Apache Tomcat ve N-able N-central ürünlerindeki üç açık için KEV kaydı açtı. Tomcat istismarı Çince konuşan bir aktöre bağlanırken, N-central açıkları için FCEB kurumlarına 7 Ağustos 2026’ya kadar yama zorunluluğu verildi.
cPanel & WHM ile WP Squared’i etkileyen CVE-2026-58048, doğrulanmış bir hesap üzerinden veritabanı yönetici yetkileriyle SQL çalıştırılmasına izin verebilen kritik bir açık olarak güncellendi. Aynı duyuru paketinde cpsrvd’de bir HTTP request smuggling hatası ve Exim tarafında iki ayrı güvenlik sorunu da yer aldı. cPanel yamalı sürümleri yayımladı, ancak bazı yöneticilerin kısa listeler yerine kurulu nokta sürümünü kontrol etmesi gerekiyor.
Thermo Fisher, DNA analizinde kullanılan bazı dosyaların fark edilmeden değiştirilebilmesine yol açan CVE-2026-17583 açığını yamadığını duyurdu. Yama beş ürün hattını kapsıyor, üç eski ürün içinse destek sona erdiği için güncelleme gelmeyecek. Şirket, dosya bütünlüğünü doğrulamak için dijital imza eklerken, araştırmacılar açığın 1995’e kadar uzanan eski dijital kayıtlarda da iz bırakmadan manipülasyona kapı aralayabileceğini söylüyor.
Zafran Labs, Hugging Face’in Diffusers kütüphanesinde trust_remote_code korumasını aşan ve FaceHugger adı verilen üç açık tespit etti. CVE-2026-44827, CVE-2026-45804 ve CVE-2026-44513 olarak listelenen zafiyetler 0.38.0 sürümünde giderildi; araştırmacılar özellikle özel pipeline kullananların ve snapshot indirenlerin dosya kontrollerini vurguladı.
Adobe, Campaign Classic’te CVE-2026-48449 adlı 10.0 puanlı kritik açığı ve CVE-2026-48448 numaralı yüksek riskli SQL enjeksiyonu sorununu kapattı. Şirket, ACC v7 7.4.3 build 9398 için yayımlanan yamada açıkların aktif kullanıldığına dair iz görmediğini; aynı dönemde Adobe Bridge için de sekiz kritik zafiyeti giderdiğini açıkladı.
Unit 42’nin analizine göre, Telegram üzerinden yönetilen DeepSeek tabanlı bir ajan 460’tan fazla hedefe karşı istismar girişiminde bulundu; Langflow ve n8n denemeleri başarısız kaldı, asıl ihlaller ise NetScaler ve Marimo üzerinden kaydedildi. Raporda, Hermes Agent’in yanlış yapılandırılmış HTTP sunucusu nedeniyle model dosyaları, API anahtarları ve saldırı kayıtlarının açığa çıktığı; ayrıca saldırganın knaithe ve KnYuan adlarıyla izlendiği aktarıldı.
Gitea’da CVE-2026-60004 kodlu, CVSS 9.8 puanlı kritik bir açık 1.27.1 ile kapatıldı. Hata, varsayılan açık kayıt nedeniyle dışarıdan oluşturulabilen hesaplarla repository yazma yetkisi üzerinden uzaktan kod çalıştırmaya kadar uzanabiliyor. 27-28 Temmuz tarihlerindeki duyurularda otomatik yükseltme, PoC kodu ve ayrı bir dosya dahil etme düzeltmesi de yer aldı.