Bu hafta siber güvenlik gündemi, sahte uygulama sayfalarından yapay zekâ araçlarındaki gizlilik açıklarına, tek tıkla kod çalıştıran zafiyetlerden tedarik…
Eylül 28, 2026
Etiket: tedarik zinciri
Yazı
Cisco ISE açığı, ClickFix ve AI ajanlarında RCE dalgası
Cisco ISE’deki CVE-2026-76460 açığının aktif istismarı doğrulanırken, ClickFix kampanyaları, Brevo’nun tedarik zinciri olayı, Shai-Hulud’un geri dönüşü ve…
Yazı
Jade Sleet, FLATROOF ve ROOFDECK ile Hindistan’daki sağlayıcıda
Jade Sleet’in macOS arka kapılarıyla yürüttüğü kampanyada geliştiriciler ve Terraform depoları hedef alındı.
Yazı
Otonom yapay zekâ ajanları altı saatte binlerce kimliği topladı
Google, saldırganların otonom yapay zekâ ajanlarıyla altı saatte binlerce kimliği topladığını ve AI modellerini hedef aldığını açıkladı.
Yazı
TeamPCP’nin izi Redis saldırılarından yazılım tedarik zincirine uzanıyor
Araştırmacılar, TeamPCP adıyla bilinen grubun 2020’den beri aktif olduğunu ve internet yüzüne açık altyapılardan yazılım tedarik zinciri saldırılarına uzanan bir faaliyet yürüttüğünü açıkladı. Oligo ve Flare’ın bulgularında ShadowRay 2.0, TA-NATALSTATUS, Operation PCPcat, GitHub Actions ile token hırsızlığı, Kubernetes için kube.py betiği ve Mart 2026’ya kadar görülen silici benzeri yeni sürümler yer aldı.
Yazı
Açık kaynakta yeni dönem: Kurumsal kullanım için dayanıklılık şartı geliyor
Açık kaynak ekosisteminin, tedarik zinciri saldırıları ve bakımcı tükenmişliği nedeniyle kurumsal kullanım için yeni bir eşik aşamasına geldiği aktarılıyor. Yapılan son değerlendirmeler, lisansların değil projenin canlılığı, sürdürülebilir desteği ve hesap verebilirliği üzerinden ayrışan yeni bir kategoriye işaret ediyor.
Yazı
Hugging Face Diffusers’ta açıklar kod çalıştırmaya çevrildi
Zafran Labs, Hugging Face’in Diffusers kütüphanesinde trust_remote_code korumasını aşan ve FaceHugger adı verilen üç açık tespit etti. CVE-2026-44827, CVE-2026-45804 ve CVE-2026-44513 olarak listelenen zafiyetler 0.38.0 sürümünde giderildi; araştırmacılar özellikle özel pipeline kullananların ve snapshot indirenlerin dosya kontrollerini vurguladı.
Yazı
Adform’un reklam scripti zehirlendi, kripto cüzdan adresleri değiştirildi
Adform’un paylaşılan takip scriptine kötü amaçlı kod enjekte edildi ve bu kod, Bitcoin, Ethereum ile Tron adreslerini ziyaret edilen sayfalarda değiştirmeye başladı. Olay 27 Temmuz 2026’da fark edildi; şirket scripti kaldırdı, etkilenen müşterileri bilgilendirdi ve kullanıcılardan tarayıcı önbelleğini temizlemelerini istedi.
Yazı
npm Kurulum Komutlarında Otomatik Betik Çalıştırma Varsayılan Olarak Devre Dışı Bırakılıyor
npm paket yöneticisinin 12. sürümüyle birlikte, yazılım tedarik zinciri saldırılarını önlemek için kurulum betiklerinin otomatik çalıştırılması varsayılan olarak devre dışı bırakılıyor. Bu değişiklik, Node.js projelerinde kötü amaçlı kodların çalıştırılmasını engellemek için geliştiricilerin betik çalıştırma izinlerini açıkça vermesini gerektiriyor. Güvenlik ekipleri ve geliştiriciler, yeni sürüme geçiş öncesi betik onaylama süreçlerini gözden geçirmeli ve CI/CD ortamlarında ek koruma önlemleri uygulamalıdır.
Yazı
Haftanın Siber Tehdit Özeti: 47 Sıfırıncı Gün, AI Saldırıları ve Yeni Dolandırıcılık Kampanyaları
Bu hafta siber güvenlik gündemi; 47 sıfırıncı gün açığı, AI destekli saldırılar, bulut kimliği istismarı ve Linux rootkit’leri gibi çok sayıda kritik gelişmeyle yoğunlaştı. Özellikle kurumsal kimlik altyapıları, CI/CD zincirleri ve uzaktan erişim araçları, saldırganların meşru süreçleri kötüye kullanması nedeniyle daha fazla risk altında görünüyor.