Siber Güvenlik Başkanlığı, Nix ve Lix paket yöneticisi yazılımlarında tespit edilen beş güvenlik zafiyeti için 14 Ekim 2026'da TR-26-1314 kodlu bildirim yayımladı. Projelerin ortak duyurusuna göre sorunlar birlikte kullanıldığında root yetkisi elde etmeye kadar varabiliyor. Düzeltmeler Nix 2.35.3 ve Lix 2.95.4 dahil yeni sürümlerde sunuldu.
Siber Güvenlik Başkanlığı, mevcut zafiyetler nedeniyle hedef sistemlerin saldırıya uğraması ihtimal dâhilinde olduğunu belirtti ve dokümanların incelenerek güncellemelerin ivedilikle yapılmasını önerdi. Nix ve Lix ekiplerinin koordineli açıklamasında, güvenilmeyen türevleri (derivation) derleyen sistemlerin etkilendiği, Guix'in ise etkilenmediği belirtildi.
Açıkların teknik kapsamı ve puanları
CVE kayıtlarına göre zafiyetlerin etkileri ve CVSS 3.1 puanları şöyle:
- CVE-2026-110450 (CVSS 8.0): Onarım (repair) işleminin depo yolunu içerik doğrulanmadan silip değiştirebilmesi yerel yetki yükseltmeye izin veriyor. Sorun, arka plan süreciyle (daemon) iletişim kurabilen yetkisiz kullanıcıların bulunduğu çok kullanıcılı Linux ve macOS kurulumlarını etkiliyor.
- CVE-2026-110449 (CVSS 7.5): Nix listesi ayrılırken oluşan tamsayı taşması ve sınır dışı yazma hatası, güvenilmeyen ifadeler derlenirken veya nix eval ile değerlendirilirken tetiklenebiliyor.
- CVE-2026-110451 (CVSS 4.3): macOS üzerinde Seatbelt sanal alanından (sandbox) kaçışa yol açıyor. Bu durum yalnızca sandbox ayarı açık veya "relaxed" moddayken geçerli oluyor; macOS'ta bu ayar varsayılan olarak kapalı geliyor.
- CVE-2026-110453 (CVSS 4.3): Yalnızca Nix paket yöneticisini etkiliyor. macOS ve FreeBSD'de sanal alansız yapılarda daemon, derleme kullanıcılarından gelen bağlantıları reddetmiyor.
- CVE-2026-110452 (CVSS 4.0): Yalnızca Nix'i kapsıyor. Çok kullanıcılı kurulum betiği, depo içeriğini root yerine kurulumu yapan kullanıcıya ait bırakıyor. NixOS kurulumları bu sorundan etkilenmiyor.
Düzeltilen sürümler ve güncelleme adımları
Güvenlik düzeltmeleri her iki yazılımın desteklenen sürümlerine dağıtıldı:
- Nix: 2.35.3, 2.34.9, 2.31.6, 2.30.6 ve 2.28.8 sürümlerinde sorunlar kapatıldı. 2.29.x, 2.32.x ve 2.33.x hatları destek süresi bittiği için yama almayacak.
- Lix: 2.94.3, 2.95.4 ve 2.96.0 sürümleri yayınlandı. 2.93 ve daha eski sürümler bakımda bulunmuyor.
- NixOS: nixpkgs deposunda NixOS unstable ve NixOS 26.05 için güncelleme çekme istekleri (PR) açıldı.
Açıkların sahada kullanılıp kullanılmadığı ve etkilenen toplam sistem sayısı bilinmiyor. Zafiyetler CISA KEV kataloğunda yer almıyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı (SGB) Güvenlik Bildirimi TR-26-1314
- NixOS Discourse - Security Advisory for Nix and Lix (Ekim 2026)
- CVE-2026-110450 Kaydı - cve.org
- CVE-2026-110449 Kaydı - cve.org
Kapak görseli: Nix kar tanesi / Tim Cuthbertson, Wikimedia Commons, CC BY 4.0 (1200×675 uyarlandı).
