Siber Güvenlik Başkanlığı (SGB), Python'un yaygın görüntü işleme kütüphanesi Pillow'daki 12 güvenlik açığı için TR-26-1362 numaralı bildirimi 20 Ekim 2026'da yayımladı; açıkların tamamı Pillow 13.0.0'da kapatıldı. Web uygulamalarının kullanıcılar tarafından yüklenen resimleri ölçeklendirmek ve dönüştürmek amacıyla sıkça başvurduğu kütüphane, özel hazırlanmış zararlı görüntü veya PDF dosyaları aracılığıyla hedef alınabiliyor.
JPEG çözücüde yığın taşması
Bildirideki en yüksek puanlı açık, 9,2 CVSS puanı alan CVE-2026-112403 zafiyeti oldu. Uygulama kodları draft() ya da thumbnail() işlevleriyle görsel küçültme yaparken, libjpeg-turbo 3.x bileşeniyle derlenmiş ortamlarda geometri doğrulamasının devre dışı kalabildiği ve bellek bozulması, çökme ya da olası kod yürütme riskinin oluştuğu açıklandı.
Bildiride yer verilen diğer zafiyetler şunlardır:
- TIFF çözücüde sınır dışı okuma nedeniyle bellek içeriğinin sızması (CVE-2026-112404, puan: 8,8) ve Image.transform işleminde çift serbest bırakma (CVE-2026-112402).
- Sıfır genişlikli görsellerde sınır dışı okuma ile Image.merge tarafında NULL işaretçi hataları.
- PDF ve MIC dosyalarının işlenmesi sırasında uygulamayı kilitleyen sonsuz döngü açıkları.
- MSP RLE çözücüsünde küçük bir dosyanın bellekte sınırsız şekilde açılarak kaynak tüketmesi ve GIF yorum alanlarında karesel büyüme kaynaklı hizmet aksatma zafiyetleri.
CISA değerlendirmesinde bu açıklardan beşi için kavram kanıtı (PoC) kodunun bulunduğu ancak herhangi bir aktif istismarın bildirilmediği aktarıldı. Açıklar bilinen istismar kataloğunda yer almıyor.
Geliştiricilerin sistemlerini pip install --upgrade pillow komutuyla 13.0.0 sürümüne yükseltmeleri gerekiyor. Pillow kütüphanesini dolaylı bağımlılık olarak barındıran Docker imajları ve Python projeleri denetlenmeli, özellikle dış dünyadan görsel yüklemesi kabul eden servislere güncellemede öncelik verilmelidir.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1362 Pillow (Python Kütüphanesi) Güvenlik Zafiyeti, 20 Ekim 2026
- Pillow — GitHub Security Advisories
- CVE Program — CVE-2026-112403
Kapak görseli (temsili): Pillow logosu — Jeorval / Wikimedia Commons, CC BY-SA 4.0 (1200×675 düzenlendi).
