Siber Güvenlik Başkanlığı, BlueMoon adlı istismar zincirine ilişkin ayrıntılı güvenlik duyurusu yayımladı. Bildirim kodu TR-26-1200; duyuru tarihi 28 Eylül 2026. Duyuru, Google Chrome ile Microsoft Windows’taki üç zafiyetin art arda kullanılarak zararlı bir internet sayfasından sistemin ele geçirilmesine uzanan zinciri anlatıyor.
Zincirde yer alan CVE’ler şöyle: CVE-2026-85046 (Chrome V8 tip karmaşası / kod yürütme), CVE-2026-87491 (Chrome V8 sınır dışı yazma / sandbox kaçışı) ve CVE-2026-85880 (Windows ALPC yığın taşması / yetki yükseltme). Başkanlık metnine göre üç zafiyetin de gerçek saldırılarda kullanıldığı bildirilmiş; Google iki Chrome açığı için sahada istismar bulunduğunu açıklamış, CISA ise üç CVE’yi Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna eklemiştir.
Duyuruya göre saldırı, kullanıcının hedefli oltalama bağlantısını açmasıyla başlayabiliyor. Zincirin yalnızca tarayıcıyı veya yalnızca işletim sistemini güncellemekle kırılmadığı; Chrome/Chromium tabanlı tarayıcıların ve Windows’un birlikte güncel tutulması gerektiği vurgulanıyor.
Güncelleme tavsiyesi
Chrome tarafında CVE-2026-85046 için ilk güvenli sürümler Linux’ta 152.0.7977.82, Windows/macOS’ta 152.0.7977.82/.83; CVE-2026-87491 için Linux’ta 153.0.8010.36, Windows/macOS’ta 153.0.8010.36/.37 olarak belirtiliyor. Başkanlık, minimumlarda kalınmamasını ve 25 Eylül 2026 itibarıyla genel kararlı kanalda Linux için 154.0.8037.57, Windows/macOS için 154.0.8037.57/.58 veya daha yenisine geçilmesini aktarıyor. Chromium tabanlı diğer tarayıcılarda üreticinin ilgili düzeltmeyi içeren sürümü kullanılmalı.
Windows’ta CVE-2026-85880 için desteklenen ürün dalındaki en son kümülatif güvenlik güncellemesine geçilmesi isteniyor. Güncelleme sonrası sürümlerin envanterden doğrulanması; IOC veya davranış eşleşmesi bulunan sistemlerde ayrıca olay müdahalesi gerektiği belirtiliyor.
SGB duyurusu, Türkiye’deki kurumlar için resmi bir güvenlik uyarısıdır. Daha önce Chrome CVE-2026-85046 yaması ayrı bir haber olarak işlenmişti; TR-26-1200, BlueMoon zincirinin üç aşamasını ve Windows bileşenini bir arada ele alan ayrıntılı başkanlık metnidir. Teknik ekler ve IOC listeleri açıldıkça bu haber güncellenir.
