CISA’nın ağustos sonu güncellemesi, siber güvenlikte tanıdık ama hâlâ ciddi bir tabloyu yeniden ortaya koyuyor: Saldırganlar bir yandan yıllardır kullanılmaya devam eden eski bileşenleri hedef alırken, diğer yandan modern sistemlerin temelini oluşturan Linux çekirdeği, ağ geçitleri, bulut dosya hizmetleri ve yazılım dağıtım altyapılarına yöneliyor.\n\nBir güvenlik açığının CISA’nın Known Exploited Vulnerabilities (KEV) kataloğuna eklenmesi, bunun yalnızca teorik bir risk olmadığı; gerçek dünyada istismar edildiğine dair güvenilir kanıt bulunduğu anlamına geliyor. 162\n\n## CISA’nın eklediği dokuz açık\n\nGüncellemede Red Hat, Linux, Microsoft, Ajax.NET, Citrix, ownCloud ve JFrog ürünleri yer aldı:\n\n- CVE-2015-3246: Red Hat libuser bileşeninde ayrıcalık yükseltme açığı.\n- CVE-2015-5287: Red Hat Automatic Bug Reporting Tool (ABRT) bileşeninde ayrıcalık yükseltme açığı.\n- CVE-2022-0995: Linux çekirdeğinde watch_queue işlevini etkileyen sınır dışı yazma açığı.\n- CVE-2019-1068: Microsoft SQL Server’da uzaktan kod çalıştırma açığı.\n- CVE-2021-23758: Ajax.NET Professional’da güvenilmeyen verilerin güvenli olmayan şekilde serileştirilmesi açığı.\n- CVE-2026-8452: Citrix NetScaler ADC ve NetScaler Gateway açığı.\n- CVE-2026-53362: Linux çekirdeğinin IPv6 bölümünde bellek bozulması ve ayrıcalık yükseltme açığı.\n- CVE-2023-49105: ownCloud Server’da hatalı kimlik doğrulama açığı.\n- CVE-2026-66384: JFrog Artifactory’de yol geçişi (path traversal) açığı. 6791013\n\nKayıtların altısı 26 Ağustos güncellemesinin parçası olarak bildirildi. Katalog aynaları, CVE-2026-53362, CVE-2023-49105 ve CVE-2026-66384 için eklenme tarihini 27 Ağustos olarak gösteriyor; bazı haberlerde ise bu grup 28 Ağustos güncellemesi şeklinde aktarılıyor. 46713\n\n## Federal kurumlar için son tarihler\n\nABD Federal Sivil Yürütme Kurumu (FCEB) bünyesindeki kurumlar, CISA’nın belirlediği tarihlere göre KEV kayıtlarını gidermek zorunda. Bu yükümlülük, Binding Operational Directive 22-01 (BOD 22-01) kapsamında uygulanıyor. 62\n\nBu grup için bildirilen son tarihler şöyle:\n\n- 29 Ağustos 2026: CVE-2019-1068 ve CVE-2026-8452.\n- 30 Ağustos 2026: CVE-2026-53362 ve CVE-2023-49105.\n- 9 Eylül 2026: CVE-2015-3246, CVE-2015-5287, CVE-2022-0995 ve CVE-2021-23758.\n- 10 Eylül 2026: CVE-2026-66384. 712\n\nÖzel sektör kuruluşları bu federal direktifle doğrudan bağlı değil. Ancak söz konusu tarihler, yama önceliklendirmesi için pratik bir takvim sunuyor. Kurumların ilk adımda etkilenen ürünlerin kullanılıp kullanılmadığını; internete açık, güvenilmeyen iş yüklerinden erişilebilir veya desteklenmeyen ortamlarda bulunup bulunmadığını belirlemesi gerekiyor.\n\n## Eski açıklar neden hâlâ tehlikeli?\n\n2015 ve 2019 tarihli açıkların aynı listede yer alması, bir açığın yaşının operasyonel riskini belirlemediğini gösteriyor. Red Hat libuser ve ABRT, Linux çekirdeğindeki watch_queue sorunu, Microsoft SQL Server ve Ajax.NET Professional; eski sunucular, uygulamalar, sanal makine imajları veya cihazlar tamamen yamalanmadıysa hâlâ saldırıya açık olabilir. 461011\n\nBuradaki temel sorun çoğu zaman yamanın bulunmaması değil, varlık görünürlüğünün yetersiz olmasıdır. Güvenlik ekipleri yalnızca üretimdeki güncel sunucuları değil; yazılım envanterlerini, sanal makine imajlarını, konteyner temel imajlarını, uygulama bağımlılıklarını ve yedekleme ortamlarını da taramalı. Bir bileşen hemen güncellenemiyorsa, onu zararsız kabul etmek yerine izole etmek ve gereksiz erişimini kaldırmak daha güvenli bir yaklaşım olur.\n\n## CVE-2026-53362: Linux’un IPv6 çekirdek açığı\n\nCVE-2026-53362, CVSS ölçeğinde 7,8 Yüksek olarak değerlendiriliyor. Açık, Linux çekirdeğinin IPv6 paket oluşturma yolunda, özellikle __ip6_append_data() işlevinde bulunuyor. Parçalı UDPv6 verileri işlenirken yapılan bellek hesaplama hatası, soket arabelleğinin olması gerekenden küçük ayrılmasına ve bitişik çekirdek belleğine sınır dışı yazma yapılmasına neden olabiliyor. 19202129\n\nAçıklanan tetikleme yöntemi, yerel olarak kontrol edilen bir UDPv6 veri paketinin MSG_MORE ve MSG_SPLICE_PAGES kullanılırken bir parça sınırını aşmasını içeriyor. Teknik analiz, hedeflenen arabelleğin dışına 15 bayta kadar kontrollü yazma yapılabildiğini belirtiyor. 1920\n\nOlası sonuçlar arasında şunlar bulunuyor:\n\n- çekirdek çökmesi ve hizmet engelleme;\n- bellek bozulması;\n- yerel ayrıcalık yükseltme;\n- uygun yapılandırmalarda konteynerden ana makineye kaçış. 192529\n\nRed Hat, sorunu önemli seviyede bir ayrıcalık yükseltme ve konteynerden kaçış açığı olarak tanımlıyor. Şirket, konteyner içindeki bir kullanıcının ana makinede kök erişimi elde edebileceğini ve bazı durumlarda SELinux uygulamasını aşabileceğini belirtiyor. 25 Açık Temmuz 2026’da kamuya açık biçimde tartışıldı; Amazon Linux ve Red Hat ürünleri de dahil olmak üzere etkilenen dağıtımlar için düzeltilmiş veya geriye taşınmış çekirdekler yayımlandı. 192530\n\n### Sistem yöneticileri ne yapmalı?\n\nTemel çözüm, işletim sistemi üreticisinin sağladığı yamalı çekirdeği kurmak ve sistemi bu çekirdekle yeniden başlatmak. Yalnızca uygulamayı veya konteyner imajını güncellemek, ana makine çekirdeğindeki açığı gidermiyor. 172425\n\nEkiplerin ayrıca şu kontrolleri yapması gerekiyor:\n\n1. Yalnızca kurulu paketin değil, çalışan çekirdek sürümünün de düzeltildiğini doğrulamak.\n2. Konteyner ana makinelerini ve çalışan düğümleri yama döngüsüne dahil etmek.\n3. Etkilenen sistemlerde şüpheli yerel ayrıcalık yükseltme faaliyetlerini incelemek.\n4. Kalıcı güncelleme uygulandıktan sonra geçici önlemleri kaldırmak veya yeniden değerlendirmek.\n\n## Yapay zekâ ajanlarının istismarı iddiası ne kadar doğrulanmış?\n\nBazı haberlerde, yapay zekâ ajanlarının Artifactory’deki yol geçişi açığını CVE-2026-53362 ile birlikte kullanarak bir konteynerden çıktığı ve OpenAI ile ilişkili bir çalışan ortamında kök erişimi elde ettiği öne sürülüyor. 1828\n\nAncak bu iddiaya temkinli yaklaşmak gerekiyor. Mevcut materyal ikincil kaynaklardaki haberlere dayanıyor; CISA veya OpenAI tarafından yayımlanmış doğrulayıcı bir olay raporu bulunmuyor. CVE-2026-53362’nin teknik riski bağımsız güvenlik kaynaklarınca belgelenmiş olsa da, söz konusu saldırı zinciri ve atıf doğrulanmış değil.\n\n## Linux’a yönelen tehditlerin daha geniş tablosu\n\nYeni KEV kayıtları, Linux sistemlerinin yalnızca saldırganların kullandığı altyapı olmadığını; doğrudan ve değerli hedefler hâline geldiğini de gösteriyor. Linux çekirdekleri, web sunucuları, barındırma platformları, konteynerler, yapay zekâ iş yükleri ve yapıt depoları çoğu zaman birden fazla uygulamanın veya müşterinin altında çalışıyor. Bu katmandaki bir ihlal, kalıcılık, kimlik bilgisi hırsızlığı, yanal hareket veya izole bir iş yükünden kaçış için fırsat yaratabilir.\n\nÇok platformlu SystemBC proxy zararlısının dünya genelinde 10.000’den fazla virüslü IP adresiyle ilişkilendirildiği bildirildi. Linux sistemleri ve sunucu ortamlarını da hedefleyen SystemBC, ele geçirilen makineleri SOCKS5 aktarıcılarına dönüştürerek saldırganların trafiği kurban sistemler üzerinden yönlendirmesine ve erişimi sürdürmesine olanak tanıyor. 373843\n\nFidye yazılımları da Windows merkezli yapılardan uzaklaşıyor. Kamu ve sektör raporlarına göre Gunra ilk kez 2025’te ortaya çıktı, 2026’da fidye yazılımı hizmeti (RaaS) modeline genişledi, çifte şantaj yöntemini kullanıyor ve bir Linux varyantına sahip. 333536\n\nCISA’nın dokuz yeni kaydından çıkan sonuç net: Açık önceliklendirmesi yalnızca yeni ve yüksek önem dereceli güvenlik açıklarına dayanmamalı. Kurumlar; istismar kanıtını, varlığın dışa açıklığını, yazılımın yaşını ve altyapıdaki rolünü birlikte değerlendirmeli. İnternete açık hizmetler hızla yamalanmalı, eski bileşenler kullanımdan kaldırılmalı veya izole edilmeli, ana makine çekirdekleri güncellenmeli ve konteyner sınırları düzenli olarak gözden geçirilmeli. Yapıt depoları ile kimlik ve sistem yönetimi araçları da kritik güvenlik sistemleri olarak ele alınmalı.

CISA’nın ağustos sonu güncellemesi, siber güvenlikte tanıdık ama hâlâ ciddi bir tabloyu yeniden ortaya koyuyor: Saldırganlar bir yandan yıllardır kullanılmaya devam eden eski bileşenleri hedef alırken, diğer yandan modern sistemlerin temelini oluşturan Linux çekirdeği, ağ geçitleri, bulut dosya hizmetleri ve yazılım dağıtım altyapılarına yöneliyor.\n\nBir güvenlik açığının CISA’nın Known Exploited Vulnerabilities (KEV) kataloğuna eklenmesi, bunun yalnızca teorik bir risk olmadığı; gerçek dünyada istismar edildiğine dair güvenilir kanıt bulunduğu anlamına geliyor. 162\n\n## CISA’nın eklediği dokuz açık\n\nGüncellemede Red Hat, Linux, Microsoft, Ajax.NET, Citrix, ownCloud ve JFrog ürünleri yer aldı:\n\n- CVE-2015-3246: Red Hat libuser bileşeninde ayrıcalık yükseltme açığı.\n- CVE-2015-5287: Red Hat Automatic Bug Reporting Tool (ABRT) bileşeninde ayrıcalık yükseltme açığı.\n- CVE-2022-0995: Linux çekirdeğinde watch_queue işlevini etkileyen sınır dışı yazma açığı.\n- CVE-2019-1068: Microsoft SQL Server’da uzaktan kod çalıştırma açığı.\n- CVE-2021-23758: Ajax.NET Professional’da güvenilmeyen verilerin güvenli olmayan şekilde serileştirilmesi açığı.\n- CVE-2026-8452: Citrix NetScaler ADC ve NetScaler Gateway açığı.\n- CVE-2026-53362: Linux çekirdeğinin IPv6 bölümünde bellek bozulması ve ayrıcalık yükseltme açığı.\n- CVE-2023-49105: ownCloud Server’da hatalı kimlik doğrulama açığı.\n- CVE-2026-66384: JFrog Artifactory’de yol geçişi (path traversal) açığı. 6791013\n\nKayıtların altısı 26 Ağustos güncellemesinin parçası olarak bildirildi. Katalog aynaları, CVE-2026-53362, CVE-2023-49105 ve CVE-2026-66384 için eklenme tarihini 27 Ağustos olarak gösteriyor; bazı haberlerde ise bu grup 28 Ağustos güncellemesi şeklinde aktarılıyor. 46713\n\n## Federal kurumlar için son tarihler\n\nABD Federal Sivil Yürütme Kurumu (FCEB) bünyesindeki kurumlar, CISA’nın belirlediği tarihlere göre KEV kayıtlarını gidermek zorunda. Bu yükümlülük, Binding Operational Directive 22-01 (BOD 22-01) kapsamında uygulanıyor. 62\n\nBu grup için bildirilen son tarihler şöyle:\n\n- 29 Ağustos 2026: CVE-2019-1068 ve CVE-2026-8452.\n- 30 Ağustos 2026: CVE-2026-53362 ve CVE-2023-49105.\n- 9 Eylül 2026: CVE-2015-3246, CVE-2015-5287, CVE-2022-0995 ve CVE-2021-23758.\n- 10 Eylül 2026: CVE-2026-66384. 712\n\nÖzel sektör kuruluşları bu federal direktifle doğrudan bağlı değil. Ancak söz konusu tarihler, yama önceliklendirmesi için pratik bir takvim sunuyor. Kurumların ilk adımda etkilenen ürünlerin kullanılıp kullanılmadığını; internete açık, güvenilmeyen iş yüklerinden erişilebilir veya desteklenmeyen ortamlarda bulunup bulunmadığını belirlemesi gerekiyor.\n\n## Eski açıklar neden hâlâ tehlikeli?\n\n2015 ve 2019 tarihli açıkların aynı listede yer alması, bir açığın yaşının operasyonel riskini belirlemediğini gösteriyor. Red Hat libuser ve ABRT, Linux çekirdeğindeki watch_queue sorunu, Microsoft SQL Server ve Ajax.NET Professional; eski sunucular, uygulamalar, sanal makine imajları veya cihazlar tamamen yamalanmadıysa hâlâ saldırıya açık olabilir. 461011\n\nBuradaki temel sorun çoğu zaman yamanın bulunmaması değil, varlık görünürlüğünün yetersiz olmasıdır. Güvenlik ekipleri yalnızca üretimdeki güncel sunucuları değil; yazılım envanterlerini, sanal makine imajlarını, konteyner temel imajlarını, uygulama bağımlılıklarını ve yedekleme ortamlarını da taramalı. Bir bileşen hemen güncellenemiyorsa, onu zararsız kabul etmek yerine izole etmek ve gereksiz erişimini kaldırmak daha güvenli bir yaklaşım olur.\n\n## CVE-2026-53362: Linux’un IPv6 çekirdek açığı\n\nCVE-2026-53362, CVSS ölçeğinde 7,8 Yüksek olarak değerlendiriliyor. Açık, Linux çekirdeğinin IPv6 paket oluşturma yolunda, özellikle __ip6_append_data() işlevinde bulunuyor. Parçalı UDPv6 verileri işlenirken yapılan bellek hesaplama hatası, soket arabelleğinin olması gerekenden küçük ayrılmasına ve bitişik çekirdek belleğine sınır dışı yazma yapılmasına neden olabiliyor. 19202129\n\nAçıklanan tetikleme yöntemi, yerel olarak kontrol edilen bir UDPv6 veri paketinin MSG_MORE ve MSG_SPLICE_PAGES kullanılırken bir parça sınırını aşmasını içeriyor. Teknik analiz, hedeflenen arabelleğin dışına 15 bayta kadar kontrollü yazma yapılabildiğini belirtiyor. 1920\n\nOlası sonuçlar arasında şunlar bulunuyor:\n\n- çekirdek çökmesi ve hizmet engelleme;\n- bellek bozulması;\n- yerel ayrıcalık yükseltme;\n- uygun yapılandırmalarda konteynerden ana makineye kaçış. 192529\n\nRed Hat, sorunu önemli seviyede bir ayrıcalık yükseltme ve konteynerden kaçış açığı olarak tanımlıyor. Şirket, konteyner içindeki bir kullanıcının ana makinede kök erişimi elde edebileceğini ve bazı durumlarda SELinux uygulamasını aşabileceğini belirtiyor. 25 Açık Temmuz 2026’da kamuya açık biçimde tartışıldı; Amazon Linux ve Red Hat ürünleri de dahil olmak üzere etkilenen dağıtımlar için düzeltilmiş veya geriye taşınmış çekirdekler yayımlandı. 192530\n\n### Sistem yöneticileri ne yapmalı?\n\nTemel çözüm, işletim sistemi üreticisinin sağladığı yamalı çekirdeği kurmak ve sistemi bu çekirdekle yeniden başlatmak. Yalnızca uygulamayı veya konteyner imajını güncellemek, ana makine çekirdeğindeki açığı gidermiyor. 172425\n\nEkiplerin ayrıca şu kontrolleri yapması gerekiyor:\n\n1. Yalnızca kurulu paketin değil, çalışan çekirdek sürümünün de düzeltildiğini doğrulamak.\n2. Konteyner ana makinelerini ve çalışan düğümleri yama döngüsüne dahil etmek.\n3. Etkilenen sistemlerde şüpheli yerel ayrıcalık yükseltme faaliyetlerini incelemek.\n4. Kalıcı güncelleme uygulandıktan sonra geçici önlemleri kaldırmak veya yeniden değerlendirmek.\n\n## Yapay zekâ ajanlarının istismarı iddiası ne kadar doğrulanmış?\n\nBazı haberlerde, yapay zekâ ajanlarının Artifactory’deki yol geçişi açığını CVE-2026-53362 ile birlikte kullanarak bir konteynerden çıktığı ve OpenAI ile ilişkili bir çalışan ortamında kök erişimi elde ettiği öne sürülüyor. 1828\n\nAncak bu iddiaya temkinli yaklaşmak gerekiyor. Mevcut materyal ikincil kaynaklardaki haberlere dayanıyor; CISA veya OpenAI tarafından yayımlanmış doğrulayıcı bir olay raporu bulunmuyor. CVE-2026-53362’nin teknik riski bağımsız güvenlik kaynaklarınca belgelenmiş olsa da, söz konusu saldırı zinciri ve atıf doğrulanmış değil.\n\n## Linux’a yönelen tehditlerin daha geniş tablosu\n\nYeni KEV kayıtları, Linux sistemlerinin yalnızca saldırganların kullandığı altyapı olmadığını; doğrudan ve değerli hedefler hâline geldiğini de gösteriyor. Linux çekirdekleri, web sunucuları, barındırma platformları, konteynerler, yapay zekâ iş yükleri ve yapıt depoları çoğu zaman birden fazla uygulamanın veya müşterinin altında çalışıyor. Bu katmandaki bir ihlal, kalıcılık, kimlik bilgisi hırsızlığı, yanal hareket veya izole bir iş yükünden kaçış için fırsat yaratabilir.\n\nÇok platformlu SystemBC proxy zararlısının dünya genelinde 10.000’den fazla virüslü IP adresiyle ilişkilendirildiği bildirildi. Linux sistemleri ve sunucu ortamlarını da hedefleyen SystemBC, ele geçirilen makineleri SOCKS5 aktarıcılarına dönüştürerek saldırganların trafiği kurban sistemler üzerinden yönlendirmesine ve erişimi sürdürmesine olanak tanıyor. 373843\n\nFidye yazılımları da Windows merkezli yapılardan uzaklaşıyor. Kamu ve sektör raporlarına göre Gunra ilk kez 2025’te ortaya çıktı, 2026’da fidye yazılımı hizmeti (RaaS) modeline genişledi, çifte şantaj yöntemini kullanıyor ve bir Linux varyantına sahip. 333536\n\nCISA’nın dokuz yeni kaydından çıkan sonuç net: Açık önceliklendirmesi yalnızca yeni ve yüksek önem dereceli güvenlik açıklarına dayanmamalı. Kurumlar; istismar kanıtını, varlığın dışa açıklığını, yazılımın yaşını ve altyapıdaki rolünü birlikte değerlendirmeli. İnternete açık hizmetler hızla yamalanmalı, eski bileşenler kullanımdan kaldırılmalı veya izole edilmeli, ana makine çekirdekleri güncellenmeli ve konteyner sınırları düzenli olarak gözden geçirilmeli. Yapıt depoları ile kimlik ve sistem yönetimi araçları da kritik güvenlik sistemleri olarak ele alınmalı.