Firefox, vLLM, FreeRDP ve SolarWinds logolarından oluşan kolaj (temsili)

Siber Güvenlik Başkanlığı (SGB), 21 Ekim 2026 sabahı Mozilla Firefox, vLLM, Sharp, FreeRDP ve SolarWinds Observability için toplam 24 güvenlik açığını kapsayan beş güvenlik bildirimi yayımladı. Bu açıklardan hiçbirinin şu ana kadar gerçek saldırılarda kullanıldığı bildirilmedi. Aynı sabah Oracle için de ayrı bir bildirim yayımlandı. Bildirimler masaüstü kullanıcılarından yapay zekâ sunucusu ve web servisi işleten yöneticilere kadar geniş bir kesimi ilgilendiriyor.

Mozilla Firefox (TR-26-1369)

SGB'nin TR-26-1369 numaralı bildirimi, Firefox 158.0.1 ve Thunderbird 158.0.1 sürümlerinde kapatılan dört açığı kapsıyor. Mozilla'nın en yüksek etki derecesi "yüksek". SVG bileşenindeki CVE-2026-113399 bir sınır hatası; ses/video bileşenindeki CVE-2026-113400 başlatılmamış bellek kullanımıyla ilgili; PDF görüntüleyicideki CVE-2026-113401 ise hizmet aksatmaya yol açabiliyor. CVE-2026-113470 numaralı güncelleme ise ele geçirilen eMudhra ara sertifikalarının engellenmesini, Mozilla'nın uzaktan ayar hizmeti (RemoteSettings) kapalı ya da ulaşılamaz olsa bile tarayıcıda kalıcı hale getiriyor. Bu düzeltme Firefox ESR 115.43.1 ve 153.5.1 sürümlerinde de var.

vLLM (TR-26-1367)

Yapay zekâ modellerini sunmak için kullanılan vLLM yazılımındaki yedi açık 0.31.0 sürümünde düzeltildi. En ağırı CVE-2026-114053 (CVSS 4.0 ile 9,2) yalnız belirli koşullarda kullanılabiliyor: trust_remote_code seçeneği açık olmalı ve saldırgan, sunulan modelin deposunda bir sürümü kontrol ediyor olmalı. Bu şartlar altında saldırgan, kimlik doğrulaması istemeyen /tokenize uç noktasına istek atarak sunucuda kod çalıştırabiliyor. Diğer açıkların çoğu, kimlik doğrulaması olmadan sunucuyu çökertmeye ya da kilitlemeye imkân veriyor; biri --api-key korumasını da atlıyor. Bir açık ise oturum açmış bir saldırganın başka bir isteğin önbellekteki medyasını almasına yol açabiliyor.

Sharp (TR-26-1368)

Node.js'te görsel işlemek için kullanılan sharp paketindeki üç açık 0.35.5 sürümüyle kapatıldı. Açıklar paketle gelen librsvg, libheif ve libvips kütüphanelerinden kaynaklanıyor. Özel hazırlanmış bir SVG (CVE-2026-114111) ya da AVIF/HEIF görseli (CVE-2026-114112), glibc tabanlı Linux sistemlerde belirli koşullarda kod çalıştırmaya yol açabiliyor; iki açık da 8,9 puan aldı. Kullanıcıdan görsel kabul eden Node.js servisleri öncelikli.

FreeRDP (TR-26-1366)

TR-26-1366 bildirimindeki yedi FreeRDP açığı 3.32.1 sürümünde kapatıldı. En ağırı sunucu tarafında: ses kanalındaki yığın taşması CVE-2026-114045 (CVSS 8,8), kötü niyetli bir RDP istemcisinin FreeRDP tabanlı bir sunucuda kod çalıştırmasına yol açabiliyor. İstemci tarafında ise kötü niyetli bir RDP sunucusu ya da RD Gateway, istemciyi çökertebiliyor veya bellek sızdırabiliyor. FreeRDP proxy bileşeni de doğrulama modülü yapılandırılmamışsa hedefin TLS sertifikasını denetlemiyor (CVE-2026-114047); ağdaki bir saldırgan araya girip oturum verisini alabiliyor.

SolarWinds Observability (TR-26-1370)

SolarWinds Observability Self-Hosted 2026.2.3 ve öncesini etkileyen üç açık 2026.4 sürümüyle kapatıldı. En ağırı CVE-2026-28328 (CVSS 8,8): düşük yetkili kullanıcılar, izinleri dışındaki bilgilere erişip bunları değiştirebiliyor. Diğer ikisi, oturum açmış saldırganın sunucuya başka adreslere istek yaptırması (SSRF, 6,4) ve kalıcı XSS (4,6). Aynı üründe Eylül 2026'da da kimlik doğrulaması gerektirmeyen iki kod çalıştırma açığı yamalanmıştı.

Kim ne yapmalı

Bu 24 açığın hiçbiri CISA'nın bilinen istismar kataloğunda yer almıyor.

Kaynaklar

Kapak görseli (temsili kolaj): Firefox logosu — Mozilla / Wikimedia Commons, MPL 2.0; vLLM logosu — vLLM projesi; FreeRDP logosu — FreeRDP projesi; SolarWinds logosu — SolarWinds (1200×675 kolaj olarak düzenlendi).