Güvenlik açıkları
CVE-2026-82329, varsayılan yapılandırmada kimlik doğrulamasız yönetici erişimine yol açabilen kritik açık (9.8). JFrog 28 Ağustos’ta yamaladı. The Hacker News / watchTowr: 1 Eylül’de saldırganlar admin token üretmeye başladı. Bulut yamalı; self-hosted yükseltmeli. Canlıdaki CVE-2026-66384 ayrı kayıt.
Sızıntılar
FulcrumSec, MAG sızıntısında erişimi istemci JavaScript’teki Iterable API kimliğine bağlıyor. BleepingComputer bir yolcu kaydını doğruladı; yöntemi, 86 GB ve 200 bin yaklaşan seyahat iddiasını bağımsız doğrulayamadı. MAG spesifik iddiaları yanıtlamadı. Suriq analizi yöntem doğruysa tarayıcı anahtarını inceliyor.
Sızıntılar
Krebs, Savunma Bakanı Pete Hegseth’in ehliyet kaydının Nexus’ta satıldığını yazdı; Pentagon teyidi yok. FBI New Orleans idscan.net soruşturması açtı. 153 milyon Nexus iddiası.
Finans
Dropbox, 4–21 Ağustos 2026 arasında hesaba yetkisiz erişim görüldüğünü e-postayla yazdı; kayıtlarda dosya görüntüleme veya indirme kanıtı yok diyor. Lenovo kimlik sağlayıcı, e-posta doğrulama. 9to5Mac 1 Eylül. Yahoo Finance: DBX kapanış 34,26 (−%2,64); kapanış sonrası 33,66. Düşüşün tek nedeni bu olay değil.
Genel
Anadolu Ajansı, Cemil Murat Budak imzasıyla 1 Eylül 2026’da Ankara Cumhuriyet Başsavcılığı açıklamasını aktardı: MİT ve Ankara İl Emniyet TEM, örgütün kriptolu haberleşme programı Signal’in deşifresine yönelik çalışma yürüttü. 13 şüpheli hakkında gözaltı kararı; eş zamanlı operasyonda 10’u yakalandı. Kamu kaynakları Signal protokolünün kırıldığını söylemiyor.
Genel
Kullanıcılar 1 Eylül 2026’da istenmeyen şifre sıfırlama e-postası ve doğrulama kodu bildirdi. X ürün mühendisi Mridul Singhai, saldırganların X Money yaygınlaşınca yetkisiz erişim sanıyor göründüğünü; araştırmanın sürdüğünü; şimdiye kadar ihlal kanıtı bulunmadığını yazdı. CryptoBriefing aktardı.
Sızıntılar
KVKK, Travelport International Operations Limited’in bildirimini 26 Ağustos 2026 / 2026/1797 kararıyla ilan etti. İhlal 6–7 Ağustos’ta; ViewTrip’te kimlik doğrulama PNR+soyad isterken yalnızca rezervasyon referansıyla erişim açılmış. Kimliği bilinmeyen üçüncü kişi sınırlı rezervasyon bilgisine erişti. Bildirilen 73.958, Türkiye acentelerinin PNR’lerine dayanıyor; ikamet ülkesi alanı olmadığı için TR ikamet sayısı daha düşük olabilir diyorlar.
Sızıntılar
KVKK, redgalaxygame.space veri sorumlusu Doğanay Ürgüplüoğlu’nun bildirimini 5 Ağustos 2026 / 2026/1636 kararıyla ilan etti. İhlal 2–3 Ağustos’ta; eski bir ekip üyesi yetkisini aşıp yazılım depolarına girdi, veritabanını kopyalayıp ticari amaçla kullandı ve sildi. Etkilenen: 7.507 kişi. Parola hash’leri, özel mesajlar ve ödeme kayıtları listede.
Sızıntılar
KVKK, Emsa Elektromotor Alternatör Sanayi ve Ticaret A.Ş.’nin veri ihlali bildirimini 29 Temmuz 2026 / 2026/1565 kararıyla ilan etti. Şirket ihlali 28 Temmuz’da tespit etti: sanallaştırma, merkezi depolama ve birden fazla yedekleme bileşeni şifrelenerek erişilemez hale geldi. Etkilenen kişi sayısı henüz belirlenemedi. Bu, Mega/Novaform/Emsa Enerji üçlüsünden ayrı bir tüzel kişi.
Yapay zeka
METR (metr.org), 31 Ağustos 2026 güvenlik güncellemesinde 2026’da iki dış aktör olayını anlattı: Mart’ta genel (kamuya açık) modeller hesabına ait API anahtarı çalındı; yaklaşık 600 bin dolarlık kredi değeri tüketildi, kotanın ücretsiz verildiği yazıldı. Mayıs’ta sürdürülen sonda okuma-SQL açığına değinildi. METR, danışmanlı soruşturma sonrası hassas bilgiye erişilmediğine inandığını söylüyor.
Sızıntılar
NovoCure Limited (Nasdaq: NVCR), 1 Eylül Form 8-K madde 8.01’de orta Ağustos’ta bilgi sistemlerinin bir kısmına yetkisiz erişim olduğunu yazdı. 1.400’den fazla ABD hasta kaydında yalnızca iç kimlik numarası; Batı ABD’de 50’den az hastada ek tanıtıcı veri. Tedavi cihazına erişim yok, sistemler açık. Maddi etki görmüyor; gerekirse 1.05 ile düzelteceğini söylüyor.
Genel
ReliaQuest, 22 Ağustos’ta sosyal mühendislik hedefi olduğunu yazdı: bir çalışanın parola ve MFA onayıyla kimlik panosunda kısa süreli salt-görüntü oturumu açıldı; cihaz güveni yönetilmeyen uçtan uygulamaya erişimi kesti. Müşteri verisi ve uygulama erişimi yok diyor. ShinyHunters üstlenmesi ve aktör adı şirketçe kamuya teyit edilmedi (BleepingComputer, 24 Ağustos).
Sızıntılar
Jack Henry & Associates (Nasdaq: JKHY), 31 Ağustos’ta sınırlı iç / üretim dışı kurumsal ortamda siber olay yazdı. Müşteriye dönük sistemler ve çekirdek platformlar erişilmedi, kesinti yok. Şimdiye kadar 10’dan az müşterinin PII’si etkilendi; 7.200+ müşteriye bildirim, etkilenenlere 2 yıl kredi izleme. Giriş: ShinyHunters vishing. Şantaj denemesi; ödeme yok; mali açıdan maddi değil diyor.
Yapay zeka
Kuzey Kaliforniya yargıcı Rita Lin, Pentagon’un Anthropic’e yapıştırdığı supply chain risk etiketini 27 Ağustos’ta hukuka aykırı saydı ve kaldırılmasını emretti. Gerekçe: 1. Değişiklik misillemesi ve 5. Değişiklik süreç yokluğu. Pentagon CNN’e hemen yanıt vermedi. DC’de ikinci dava sürüyor.
Finans
Cronos, Tectonic istismarını validator-consensus acil eylemiyle durdurduktan sonra zinciri olay öncesine aldı. 30 Ağustos 23:49 UTC’de blok 90.896.189’dan üretim yeniden başladı. PeckShield: yaklaşık 74 milyon çekim iddiası, Ethereum’a yaklaşık 6 milyon. Post-mortem yok.
Tüm konu dosyaları · KVKK ve veri ihlalleri · CVE ve yama takibi · Ürüne göre USOM bildirimleri