Güvenlik açıkları
CTM360: 17 bin ClickFix URL’si; EtherHiding ve Vidar Stealer
CTM360, sahte Cloudflare doğrulamasıyla 17 binden fazla URL’de ClickFix’i inceledi; ~3 bin URL hâlâ aktif, altyapıda EtherHiding, yükte Vidar.
Güvenlik açıkları haberleri · Sayfa 19
Güvenlik açıkları
cPanel CalDAV: hesap sahibi root kod çalıştırabiliyor (CVE-2026-87899)
cPanel, 22 Eylül 2026’da CalDAV/CardDAV’taki kritik yetki yükseltmesini kapattı. Kimlikli bir hesap sahibi root olarak kod çalıştırıp sunucunun tam denetimini alabiliyor; yamalı sürümler yayımlandı.
Güvenlik açıkları
GitLab kritik yama: CI/CD regex ile kimlikli RCE (CVE-2026-89078)
GitLab, 23 Eylül 2026’da CE/EE için 19.4.1, 19.3.3 ve 19.2.7 yamalarını yayımladı. İki kritik açık, özel hazırlanmış CI/CD düzenli ifadesiyle kimlikli kullanıcının sunucuda kod çalıştırmasına yol açabiliyor.
Güvenlik açıkları
WordPress CVE-2026-87902: Patchstack aktif sömürü ve dosya yazımı gördü
Patchstack, CVE-2026-87902 için keşiften dosya yazmaya geçen saldırı trafiğini bildirdi; hacim on kat arttı. WordPress 7.1.2 güncellemesi acil.
Güvenlik açıkları
WordPress 7.1.2: kimlik doğrulamasız kritik şablon açığı kapatıldı
WordPress 22 Eylül 2026’da 7.1.2’yi yayımladı; kimlik doğrulaması olmadan yerel PHP dosyasının şablon çözümüne çekilebildiği kritik açığı kapattı. CVE-2026-87902; koşullar sağlanırsa RCE riski.
Güvenlik açıkları
CERT Polska: MikroTrick zinciri MikroTik RouterOS’ta kimliksiz yönetim açıyor
CERT Polska, MikroTik RouterOS SSH’te CVE-2026-67279 ile CVE-2026-86060’ı birleştiren MikroTrick zincirinin kimlik doğrulamasız tam yönetim verdiğini ve yamalardan önce sömürüldüğünü yazdı.
Güvenlik açıkları
SolarWinds Observability’de iki kimliksiz RCE açığı yamalandı
SolarWinds, Observability Self-Hosted ürününde CVE-2026-28324 (CVSS 9.8) ve CVE-2026-28325 (CVSS 8.8) için 2026.2.3 sürümünü yayımladı; her iki açık da kimlik doğrulamasız uzaktan kod çalıştırmaya yol açabiliyor.
Güvenlik açıkları
CERT Polska: Meta reklamıyla Android ücretli abonelik dolandırıcılığı
CERT Polska, 23 Eylül’de Polonya’yı hedefleyen çok aşamalı bir Android ücretli abonelik (toll fraud) operasyonunu yayımladı; Meta reklamları Google Play’deki uygulamalara yönlendiriyor.
Güvenlik açıkları
Check Point Management’ta CVSS 9.8 sıfır gün aktif sömürüde
Check Point, Management Server’da CVSS 9.8 sıfır gün açığını (CVE-2026-93616) duyurdu. Şirket az sayıda müşterinin saldırıya uğradığını ve yamanın hazır olduğunu bildirdi.
Güvenlik açıkları
Arista VeloCloud Orchestrator’da CVSS 10.0 açık sömürülüyor
Arista Security Advisory 0183’e göre CVE-2026-93952 CVSS 10.0 ve aktif sömürüde; Hosted/Dedicated yamalandı, on-prem 5.2 ve 6.4 için düzeltme çıktı.
Güvenlik açıkları
WaterPlum Contagious Interview: 30 bin cihaz, 10,71 milyon $
Japonya, ABD, Avustralya ve Almanya uyarısında WaterPlum’un sahte iş görüşmesiyle en az 30 bin cihazı ele geçirip 10,71 milyon dolar kripto çaldığı yazıyor.
Güvenlik açıkları
Google, Pixel cihazlarda hedefli saldırılarda kullanılan CVE-2026-58704 açığını kapattı
Google, Pixel cihazların hücresel modem bileşenini etkileyen CVE-2026-58704 açığının sınırlı ve hedefli saldırılarda kullanılıyor olabileceğini bildirdi. Desteklenen Pixel modellerinde 2026-09-05 güvenlik yaması veya daha yeni bir seviye öneriliyor.
Güvenlik açıkları
Acronis cPanel ve Plesk eklentisi açığı hedefli saldırılarda kullanılıyor
Acronis, CVE-2026-87886 kodlu yerel ayrıcalık yükseltme açığının sınırlı ve hedefli saldırılarda kullanıldığına ilişkin bulgu açıkladı. cPanel/WHM ve Plesk için yayımlanan düzeltmelerin gecikmeden uygulanması öneriliyor.
Güvenlik açıkları
Cisco Secure Email Gateway açığı aktif saldırılarda kullanılıyor
Cisco PSIRT, Secure Email Gateway ürünlerini etkileyen CVE-2026-76461 kodlu kritik SQL enjeksiyonu açığının aktif saldırılarda kullanıldığını doğruladı. Kimlik doğrulaması gerektirmeyen açık, özel hazırlanmış bir e-posta üzerinden root yetkisiyle komut çalıştırılmasına yol açabiliyor; geçici çözüm bulunmuyor.
Güvenlik açıkları
MongoDB Server açığı yetkilendirmeyi devre dışı bırakabiliyor: CVE-2026-82067 için güncelleme uyarısı
MongoDB Server yapılandırma doğrulamasındaki CVE-2026-82067 açığı, büyük-küçük harf işleme hatası nedeniyle yetkilendirme alt sisteminin başlangıçta kapalı kalmasına yol açabiliyor. Ağa erişebilen kimliği doğrulanmamış bir saldırgan, etkilenen veritabanında yönetici işlemleri gerçekleştirebilir.