GÜNLÜK BÜLTEN
Node.js RCE'nin Arkasındaki Brotli Kod Çözücü Hatası, Bun, Python ve Diğer Yaygın Kullanılan Dilleri de Etkiliyor…
Bugünkü bilgilendirmede, yaygın Brotli kod çözücü hataları, LiteLLM'deki tedarik zinciri sızıntısı ve CISA tarafından tespit edilen yeni aktif güvenlik açıkları ele alınıyor.
5 haber3 dk okuma
Yazılım tedarik zinciri riskleri ve yamalanmamış altyapı açıkları, günümüz güvenlik gelişmelerine hakim durumda. Açık kaynak kodlu bileşenlere ve kurumsal cihazlara güvenen kuruluşlar acil bakım görevleriyle karşı karşıya.
İlk olarak, Google'ın Brotli kod çözücüsündeki bir bellek bozulması güvenlik açığı, Node.js, Bun, Python ve Envoy dahil olmak üzere yaygın olarak kullanılan yazılım ekosistemlerini etkiliyor. Aynı zamanda, CISA, Collabora Online ve Arista VeloCloud Orchestrator'daki aktif olarak istismar edilen güvenlik açıklarını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi.
Güvenlik ekipleri, geliştirici depolarındaki açığa çıkan gizli bilgileri derhal denetlemeli, CISA kataloğunda listelenen çevre sistemleri için satıcı yamalarını uygulamalı ve Brotli bağımlılıklarını ortamlar genelinde güncellemelidir.
Sızdırılan LiteLLM Anahtar Dosyası, Saldırganların GitHub Token'larını Çalmasına ve Yayın Sürecini Ele Geçirmesine Olanak Sağladı
Mayıs 2026'nın sonlarında halka açık bir GitHub deposunda (LiteLLM-Labs/lite-harness) sızdırılan bir Agent Platform anahtarı, saldırganların GitHub token'larını çalmasına olanak sağladı. Tehdit aktörü daha sonra çalınan erişimi kullanarak LiteLLM'nin yayın sürecini ele geçirdi ve Python paketinin kötü amaçlı bir sürümünü yayınladı.
- Ne yapılmalı
- Açığa çıkan API anahtarlarını ve GitHub belirteçlerini değiştirin, CI/CD sürüm işlem hatlarını denetleyin ve LiteLLM paket bütünlüğünü doğrulayın.
CISA, Collabora Online ve Arista VeloCloud'da Aktif Olarak İstismar Edilen İki Kritik Güvenlik Açığını Tespit Etti
CISA, aktif olarak istismar edilen Collabora Online Built-in CODE Server'daki CVE-2026-110447 ve Arista VeloCloud Orchestrator'daki CVE-2026-114625 güvenlik açıklarını bilinen istismar edilen güvenlik açıkları kataloğuna ekledi. Bu hatalar sırasıyla işletim sistemi komut enjeksiyonuna ve SQL enjeksiyonuna olanak tanıyor.
- Ne yapılmalı
- Collabora Online Dahili CODE Sunucusunu 26.4.303 veya daha yeni bir sürüme güncelleyin ve Arista VeloCloud Orchestrator için yamaları uygulayın.
Node.js RCE'nin Arkasındaki Brotli Kod Çözücü Hatası, Bun, Python ve Diğer Yaygın Kullanılan Yazılımları da Etkiliyor
Google'ın Brotli kod çözücüsündeki bir bellek bozulması açığı, Brotli sıkıştırılmış verileri açan birçok programda mevcuttur; bunlar arasında Bun, Python Brotli ve brotlicffi paketleri ve Brotli'yi açmak için kurulan Envoy proxy'leri yer almaktadır.
- Neden önemli
- Etkilenen her uygulama Google'ın Brotli kod çözücüsünün kendi kopyasını içerdiğinden, bu çalışma ortamlarına ve proxy'lere güvenen kuruluşlar, kod yürütülmesini önlemek için her bir satıcının güncellemelerini takip etmeli ve uygulamalıdır.
- Ne yapılmalı
- Etkilenen çalışma ortamlarını ve Bun, Envoy ve Python Brotli bağımlılıkları dahil olmak üzere paketleri yamalı sürümlere güncelleyin.
Google, yapay zekâ destekli arama ile paylaşılan Gmail ve Fotoğraflar verilerinin hedefli reklamlar için kullanılabileceğini söylüyor.
Google, 16 Ekim 2026 tarihinden itibaren geçerli olmak üzere gizlilik politikasını güncelleyerek, Google Photos, Gmail ve Drive'dan paylaşılan verilerin, Arama veya Gemini Uygulamalarındaki yapay zeka özellikleriyle birlikte hedefli reklamlar sunmak amacıyla işlenebileceğini açıklığa kavuşturdu.
- Neden önemli
- Kişisel veya Çalışma Alanı verilerini Google Arama ve Gemini AI özelliklerine entegre eden kullanıcılar ve kuruluşlar, Gmail, Fotoğraflar ve Drive'daki içerikleri kişiselleştirilmiş reklam hedeflemesine maruz bırakabilir.
- Ne yapılmalı
- Google hesabınızın gizlilik ayarlarını gözden geçirerek Workspace uygulamaları ile Arama/Gemini arasında hizmetler arası veri paylaşımını kısıtlayın.
Araştırmacılar, bir botnet'i besleyebilecek Popcorn Time Updater'ı uzaktan devre dışı bırakmak için 2 milyondan fazla güncelleme yayınladı.
Hollandalı güvenlik firması Eye Security, terk edilmiş Time4Popcorn uygulamasındaki savunmasız bir arka plan güncelleme programını (Updater.exe) devre dışı bırakmak için iki milyondan fazla uzaktan güncelleme yayınlayarak IXIM Operasyonunu gerçekleştirdi. Güncelleme programının sorguladığı kayıtsız alan adı, büyük ölçekli bir botnet tarafından ele geçirilme riski taşıyordu.
- Ne yapılmalı
- Time4Popcorn gibi yetkisiz eski yazılımları tespit edip kaldırın ve doğrulanmamış güncelleme alan adlarına olan bağlantıları engelleyin.
Öne çıkanlar
- Node.js, Bun, Python ve Envoy genelindeki Brotli kod çözücü uygulamaları, CVE-2026-111497 bellek bozulması açığını giderecek şekilde güncellendi.
- CISA uyarılarının ardından Collabora Online Dahili CODE Sunucusu (CVE-2026-110447) ve Arista VeloCloud Orchestrator (CVE-2026-114625) güvenlik açıklarına yama uygulandı.