Microsoft'un Redmond'daki genel merkezinde Building 92 binası ve Microsoft tabelası (temsili görsel)

Microsoft, Google'ın Brotli sıkıştırma kütüphanesindeki CVE-2026-111497 açığı nedeniyle 25 Ekim 2026'da .NET için plan dışı bir güvenlik güncellemesi yayımladı. Güncelleme .NET 8, .NET 9, .NET 10 ve .NET 11 Release Candidate 3'ü kapsıyor; Microsoft kullanıcılara mümkün olan en kısa sürede güncelleme yapmalarını önerdi. Açık, Brotli ile sıkıştırılmış veriyi açan uygulamalarda kimliği doğrulanmamış bir saldırganın işlem belleğini okumasına ya da bozmasına yol açabiliyor; bu durum bilgi sızması, hizmet aksaması veya yetki yükseltmeyle sonuçlanabiliyor.

Brotli, Google'ın geliştirdiği ve internet trafiğinde veri boyutunu küçültmek için yaygın kullanılan bir sıkıştırma biçimi. Microsoft'a göre Brotli açma, .NET ve ASP.NET Core kurulumlarında varsayılan olarak kapalı; açığın tetiklenebilmesi için uygulamanın istek ya da yanıt açmayı elle etkinleştirmesi veya Brotli API'lerini doğrudan çağırması gerekiyor. .NET Framework bu açıktan etkilenmiyor.

Hangi uygulamalar etkileniyor

Açık, dışarıdan gelen Brotli verisini doğrudan işleyen yazılımlarda ortaya çıkıyor. Microsoft, risk altındaki kullanım senaryolarını şu şekilde sıralıyor:

Microsoft Güvenlik Yanıt Merkezi (MSRC), açığın önem derecesini .NET ve Visual Studio için «Kritik» olarak belirledi. Açığın CVSS 3.1 taban puanı ise 8,1 (Yüksek). Saldırı ağ üzerinden, ayrıcalık ve kullanıcı etkileşimi gerekmeden yapılabiliyor ancak saldırı karmaşıklığı yüksek. MSRC'ye göre açık kamuya açıklanmış durumda ve istismar olasılığı «daha yüksek» olarak değerlendiriliyor; buna karşın istismar edildiğine dair bir bilgi yok. Açık, CISA'nın bilinen istismar edilen açıklar kataloğunda (KEV) da yer almıyor.

Sorun, Google Brotli çözücüsündeki sınır dışı yazma hatasından kaynaklanıyor; Brotli'nin düzeltilmiş sürümleri 1.0.10, 1.1.1 ve 1.2.1. Açık ilk kez 21 Ekim 2026'da Node.js güncellemesiyle duyurulmuştu; Siber Güvenlik Başkanlığı (SGB) da aynı açığı Node.js bildiriminde paylaşmıştı. JFrog'un güvenlik araştırma ekibi .NET'te yerel bir konsol uygulamasıyla yalnızca bir çökme gösterdi; .NET'te kod çalıştırma gösterilmedi. PHP ekibi de 26 Ekim 2026'da Windows paketlerini (8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1) Brotli 1.2.1 ile yeniden yayımladı. php.net'e göre bu paketlerde açık, cURL'de otomatik yanıt açma etkinse tetiklenebiliyor.

Hangi sürüme geçmeli

Sistem yöneticilerinin ve yazılım geliştiricilerin çalışma zamanı ortamlarını ve SDK paketlerini yeni sürümlere yükseltmesi gerekiyor. Yayımlanan düzeltilmiş sürümler şunlar:

Visual Studio 2022 için 17.14.43, Visual Studio 2019 için 16.11.61, Visual Studio 2026 için 18.11.2, PowerShell için de 7.4.22, 7.5.13 ve 7.6.9 sürümleri düzeltmeyi içeriyor. Çalışma zamanına bağlı uygulamalarda sunucuya yeni paketi kurup servisi yeniden başlatmak yeterli oluyor. Ancak kendi içinde paketlenmiş (self-contained) ve NativeAOT uygulamalarının güncel SDK ile yeniden derlenip yayımlanması, container'ların ise güncel .NET imajlarıyla yeniden derlenip dağıtılması gerekiyor; yalnızca sunucu seviyesinde yapılan güncellemeler bu uygulamaların içindeki çözücüyü değiştirmiyor. Sistemdeki sürümleri doğrulamak için dotnet --list-runtimes komutu kullanılabiliyor. Microsoft, hemen güncelleyemeyenlere saldırganın kontrol edebileceği Brotli verisini açmamalarını öneriyor.

Linux'ta ikinci açık: CVE-2026-114148

Microsoft aynı güncelleme paketinde CVE-2026-114148 kodlu ikinci bir açığı da kapattı; bu açık Brotli'den bağımsız. Yalnızca Linux'u ilgilendiren bu açık, ASP.NET Core arşiv paketlerindeki (tarball) güvensiz dosya sahipliği bilgisinden kaynaklanıyor. MSRC'nin «Önemli» olarak derecelendirdiği ve CVSS 3.1 puanı 7,8 olan yerel açık, düşük yetkili bir saldırganın dosyaları değiştirerek yetki yükseltmesine izin verebiliyor; istismar edildiğine dair bir bilgi yok. Düzeltme için güncellenen arşivin yeni ve boş bir dizine --no-same-owner parametresiyle açılarak temiz kurulum yapılması gerekiyor; eski kurulumun üzerine açmak sorunu gidermiyor.

Türkiye açısından

Şu ana kadar Türkiye'ye özgü bir etkilenme veya bu açığı hedef alan bir siber saldırı bildirilmedi. SGB, 26 Ekim 2026 itibarıyla .NET veya ASP.NET Core için ayrı bir bildirim yayımlamadı; kurum aynı açığı 23 Ekim 2026'da yalnızca Node.js güncellemeleri kapsamında duyurmuştu. Genel bir önlem olarak, .NET ile web uygulaması, API ya da servis çalıştıran kurumların kurulu sürümleri kontrol etmesi, yukarıdaki sürümlere geçmesi, self-contained ve container dağıtımlarını da yeniden derlemesi öneriliyor.

Kaynaklar

Kapak görseli (temsili): Microsoft'un Redmond kampüsündeki Building 92; haberle doğrudan ilgili bir olay fotoğrafı değildir — Coolcaesar, Wikimedia Commons, CC BY-SA 4.0 (16:9 kırpıldı, 1200×675).