Ghidra tersine mühendislik aracında bir programın makine kodu ve çözümlenmiş kaynak kodu ekranı (temsili görsel; haberdeki açıkların görüntüsü değildir)

Anthropic, 27 Ekim 2026 tarihinde Frontier Red Team ekibinin hazırladığı teknik yazıda, son birkaç ayda yayımlanmamış bir şirket içi araştırma modeliyle Chrome, Safari, Android, Windows ve Linux üzerinde beş farklı açık zinciri kurduğunu açıkladı. Modelin adı açıklanmadı; yetenek anlatımı Anthropic'in kendi araştırmasına dayanıyor. Anthropic'e göre açıklar koordineli açıklama politikasıyla üreticilere bildirildi; politika geliştiricilere yama için 90 gün, kamuya açık bildirimin ötesindeki ayrıntılar için 45 gün daha tanıyor. Şirkete göre açıkların tümü yamalandı. Açıklar CISA'nın istismar edildiği bilinen açıklar (KEV) kataloğunda yer almıyor ve gerçek bir saldırıda kullanıldıkları bildirilmedi. Anthropic, gelişmiş siber yeteneklere sahip modellerine nitelikli güvenlik profesyonellerinin erişimini genişletilen Siber Doğrulama Programı üzerinden sağlıyor.

Beş zincir ne yapıyordu

Anthropic'in açıklamasına göre macOS'ta varsayılan ayarlı Chrome üzerinde tek tıkla korumalı alan dışına çıkarak uzaktan kod çalıştırmaya imkan veren bir zincir kuruldu. Google'a bildirilen açıklar için 62 CVE numarası atandı ve bu açıkların hepsi kritik ya da yüksek önem derecesinde sınıflandırıldı. Bunların 13 tanesi korumalı alandan kaçış, 21 tanesi ise sayfa işleme (renderer) sürecini ele geçirmeye yarayabilecek açıklardı. Anthropic'e göre bu açıkların tümü Chrome 156 itibarıyla yamalı. Google'ın 20 Ekim'de kararlı kanala çıkardığı Chrome 156 güncellemesi toplam 353 güvenlik düzeltmesi içeriyor; 62 CVE sayısı ise Anthropic'in Google'a bildirdiği açıklara ilişkin. Google 27 Ekim'de Chrome'u yeniden güncelleyerek Linux için 156.0.8078.73, Windows ve Mac için 156.0.8078.73 ya da 156.0.8078.74 sürümünü kararlı kanala çıkardı; 52 güvenlik düzeltmesi içeren bu güncellemede de Anthropic'e atfedilen, Claude yardımıyla bildirilmiş açıklar listeleniyor.

Safari üzerinde kurulan tek tık zinciri, siteleri ayıran aynı köken politikasını atlatarak kullanıcının tarayıcı geçmişine, çerezlerine ve oturum açtığı diğer sitelerdeki verilere erişilmesine yol açıyordu. Anthropic'e göre Apple raporu aynı gün kabul etti ve düzeltmeyi kullanıcılara sundu. Anthropic'in bu düzeltme için bağlantı verdiği iOS 26.5.2 ve iPadOS 26.5.2 güvenlik belgesinde (29 Haziran 2026) Anthropic'e atfedilen bir WebKit açığı, CVE-2026-43715, yer alıyor.

Android tarafında, kilitli bir telefondan ekran kilidi açılmadan fotoğraf ve kişisel bilgilerin alınmasına yol açan üç açık birleştirildi. Testleri fiziksel bir Google Pixel 9 üzerinde yapılan bu zincir, Anthropic'e göre Google tarafından giderildi. Açıklar için CVE numarası ve yama tarihi açıklanmadı.

Windows tarafında, Windows'un yerleşik HTTP/3 uygulamasıyla (HTTP.sys) istek karşılayan makinelerin ağ üzerinden uzaktan çökertilmesine yol açan bir hizmet reddi açığı bulundu; açık kod çalıştırmaya değil, hizmetin durmasına yol açıyor. Microsoft sorunu 14 Nisan 2026'da yayımlanan CVE-2026-33096 kaydıyla giderdi. Açığın CVSS 3.1 puanı Microsoft tarafından 7,5 olarak belirlendi.

Linux tarafındaki zincir sıfır tık nitelikliydi; yani kullanıcının hiçbir işlem yapmasına gerek kalmıyordu. Anthropic'e göre multipath TCP dinleyicisi bulunan Linux sunuculara ağ üzerinden paket gönderilerek, kimlik bilgisi olmadan en yüksek yetkiyle (root) komut çalıştırılabiliyordu. Çekirdekteki açık CVE-2026-98432 olarak kaydedildi; NVD'de 15 Ekim 2026'da yayımlanan kayda CISA-ADP değerlendirmesinde 9,8 CVSS puanı verildi. Düzeltme ana çekirdek koduna alındı ve bakımı süren kararlı çekirdek dallarına aktarıldı. Anthropic ayrıca OpenBSD, FreeBSD ve Linux'ta yerel yetki yükseltme açıkları ile web uygulamalarında çok sayıda açık bulunduğunu ancak sayıların açıklanmadığını bildirdi.

Hangi güncellemeler gerekli

Açıkların tümü yamalı olduğundan korunmanın yolu güncellemelerin uygulanmasından geçiyor:

Anthropic savunuculara ne öneriyor

Anthropic'e göre öncü yapay zeka modelleri artık birden fazla açığı bulup çalışan bir saldırı zincirine dönüştürebiliyor; şirket, bunun eskiden yalnızca az sayıda uzman ekibin yapabildiği bir iş olduğunu belirtiyor. Bu değerlendirme Anthropic'e ait; bağımsız bir doğrulama yayımlanmadı.

Şirket, savunucular için kendi kodlarını taramanın her zamankinden önemli olduğunu söylüyor ve yeni açıkların koda girmesini azaltmak için taramanın kod değişikliği (PR) aşamasında yapılmasını öneriyor. Anthropic, Claude Code için bir güvenlik rehberi eklentisini herkese açık yayımladı. Şirketin 6 Ekim'de genişlettiği Siber Doğrulama Programı ise nitelikli güvenlik profesyonellerine Claude Opus 5.5, Claude Sonnet 5.5 ve Claude Mythos 5.1 gibi modellerle gelişmiş siber yeteneklere erişim sunuyor.

Türkiye açısından

Anthropic'in yazısında Türkiye'ye özgü bir veri yer almıyor. Chrome ve Safari tarayıcıları ile Android, Windows ve Linux işletim sistemleri Türkiye'de de kurumlarda ve bireysel kullanıcılarda yaygın biçimde kullanılıyor. Açıkların gerçek bir saldırıda kullanıldığına dair bir bilgi bulunmasa da sistem yöneticilerinin ve kullanıcıların sürüm kontrolü yaparak güncellemeleri tamamlaması önem taşıyor.

Kaynaklar

Kapak görseli (temsili): Ghidra tersine mühendislik aracı ekranı; haberdeki açıkların ya da istismarların görüntüsü değildir — Philipnelson99, Wikimedia Commons, CC BY-SA 4.0 (1200×675 küçültüldü).