Ahşap masa üzerinde ekranı açık bir iMac, klavye ve fare (temsili görsel)

Apple'ın 14 Eylül 2026 tarihinde kapattığı macOS autofs açıklarının teknik ayrıntıları ile kavram kanıtı (PoC) test düzeneği 27 Ekim 2026'da yayımlandı. Açıklar yeni değil: Apple bunları macOS Sequoia 15.8, macOS Tahoe 26.7 ve macOS Golden Gate 27 güncellemeleriyle kapatmıştı. İki açığın da kötüye kullanıldığına dair doğrulanmış bir bilgi yok. Apple'ın macOS'taki Screen Sharing açığına yönelik güncellemesini de daha önce aktarmıştık.

Açıklar ne yapıyor

Açıklar, macOS işletim sisteminde ağ klasörlerini otomatik bağlayan autofs bileşeninde yer alıyor. CVE-2026-84568 numaralı açık bir yol geçişi (path traversal) hatası. Apple'a göre ağ dizin sunucusunu kontrol eden bir saldırgan bu hatayla root yetkisinde kod çalıştırabiliyor. NVD'de yüksek önem düzeyinde, 7,8 CVSS puanıyla yer alan açığı Apple yol doğrulamasını iyileştirerek kapattı.

CVE-2026-84570 numaralı ikinci açık ise bir mantık hatası. Bu hata, indirilen uygulamaları açılmadan önce denetleyen Gatekeeper korumasının atlatılmasına yol açabiliyordu. NVD'de 4,4 CVSS puanıyla orta önem düzeyinde yer alan hatayı Apple denetimleri iyileştirerek giderdi. Apple, iki açığı bildiren araştırmacıyı teşekkür notunda «Mr.Gedik» olarak anıyor; ilk açığın kaydında bu adın yanında «Turkish Technology» de geçiyor. SecurityOnline'ın haberine göre araştırmacı, teknik analizini ve yalnızca yetkili, izole test ortamları için hazırladığı PoC düzeneğini paylaştı.

Saldırı için hangi koşul gerekiyor

SecurityOnline'a göre birçok şirket Mac cihazlarını LDAP ya da Open Directory dizin hizmetine bağlıyor; kullanıcıların ağdaki ev klasörleri de autofs ile bağlanıyor. Saldırının işe yaraması için saldırganın ağ dizin sunucusunu ele geçirmesi ya da dizine yazma yetkisi kazanması gerekiyor.

Saldırı kendiliğinden de başlamıyor. Dizine kayıt eklemek tek başına kod çalıştırmıyor; bunun için Mac'in o kaydı araması gerekiyor. Arama root yetkisiyle yapılırsa kod da root yetkisiyle, bir kullanıcı tarafından yapılırsa o kullanıcının yetkisiyle çalışıyor. İkinci açıkta ise ağdan bağlanan bir klasördeki uygulama Gatekeeper onayı olmadan açılabiliyordu. İki açık da ABD siber güvenlik ajansı CISA'nın, istismar edildiği bilinen açıkları listelediği KEV kataloğunda yer almıyor.

Güncelleme ve önlemler

SecurityOnline, yöneticilere şu adımları öneriyor:

SecurityOnline'a göre dizin denetimleri riski azaltıyor ama güncellemenin yerini tutmuyor.

Türkiye açısından

Haberin Türkiye bağlantısı, Apple'ın teşekkür notunda araştırmacının adının yanında geçen «Turkish Technology» ifadesiyle sınırlı. Apple araştırmacı hakkında başka bilgi vermiyor. Türkiye'de bu açıkların kötüye kullanıldığına ya da etkilenen bir kuruma dair bilgi yok. Siber Güvenlik Başkanlığının (SGB) da bu açıklarla ilgili yayımladığı bir bildirim bulunmuyor. Mac cihazlarını dizin hizmetine bağlayan kurumların sürümleri kontrol etmesi ve dizine kimlerin yazabildiğini gözden geçirmesi yerinde olur.

Kaynaklar

Kapak görseli (temsili): masa üstünde iMac; habere konu sistemlerle ilgisi yoktur — www.Pixel.la Free Stock Photos, Wikimedia Commons, CC0 (1200×675 kırpıldı).