JetBrains tum IDE ailesinde kritik aciklari yamaladi — kimlik atlatma ve uzaktan kod calistirma
JetBrains, IntelliJ IDEA, PyCharm, WebStorm, GoLand ve diger tum IDE'lerini etkileyen kritik acikları yamaladi. CVE-2026-56141 (CVSS 9.8) zayif rastgele-sayi ile uretilen tahmin-edilebilir hesap-kurtarma kodlari uzerinden yonetici hesaplarinin ele gecirilmesine, CVE-2026-50242 dogrudan veritabani erisimiyle kimlik-atlatmaya izin veriyor. IntelliJ IDEA'da CVE-2026-49366 (dosya-adi tamamlama) ve CVE-2026-49382 (Copyright eklentisinde sablon enjeksiyonu) uzaktan kod calistirmayi mumkun kiliyor.
JetBrains, IDE urun hattinin tamamini etkileyen kritik guvenlik aciklarini yamaladi. Etkilenen yazilimlar arasinda IntelliJ IDEA, PyCharm, WebStorm, GoLand, CLion, Rider, DataGrip, RubyMine, PhpStorm ve diger tum JetBrains IDE’leri var.
One cikan aciklar
- CVE-2026-56141 (CVSS 9.8): Zayif rastgele-sayi uretecinden gelen tahmin-edilebilir hesap-kurtarma kodlari, kimligi-dogrulanmamis saldirganin gecerli kodlari sayarak yonetici dahil herhangi bir hesabi ele gecirmesine izin veriyor.
- CVE-2026-50242 (Kritik): Dogrudan veritabani erisimiyle kimlik-atlatma — gecerli kimlik bilgisi olmadan yonetici kontrolu.
- CVE-2026-49366 (IntelliJ IDEA): Dosya-adi tamamlama uzerinden komut enjeksiyonu → uzaktan kod calistirma.
- CVE-2026-49382 (IntelliJ IDEA): Copyright eklentisinde sablon enjeksiyonu → sablon uzerinden kod calistirma.
Yama surumleri
Hub tarafi icin duzeltmeler Hub 2026.1.13757 ve 2025.x / 2024.x dallari icin ilgili yamalarla geldi. IntelliJ IDEA’daki dosya-adi tamamlama sorunu IntelliJ IDEA 2026.1.1 ile giderildi.
Neden onemli
Bir IDE, gelistiricinin en cok guvendigi ve en genis yetkiyle calisan aracidir; oradaki RCE, dogrudan gelistirme makinesinin ele gecirilmesi demektir. Ozellikle dosya-adi tamamlama ve Copyright eklentisi gibi rutin ozellikler uzerinden tetiklenen kod calistirma, guvenilmez bir projeyi (baskasinin deposunu) acmanin sanildigindan riskli oldugunu gosteriyor. En kisa yoldan yama surumlerine gecmek gerekiyor.
Ekipteki gelistiriciler JetBrains IDE (IntelliJ/PyCharm/WebStorm/GoLand vb.) kullaniyorsa 2026.1.1 ve ilgili yama surumlerine guncellemeli. Dosya-adi tamamlama ve Copyright eklentisi uzerinden RCE, guvenilmez proje acmanin (or. baskasinin repo'su) ne kadar riskli oldugunu hatirlatiyor.
- Cybersecurity News — Critical JetBrains vulnerabilities enable auth bypass and code execution · 2026-07-02
- Cyberpress — JetBrains patches authentication bypass and code execution · 2026-07-02
- SentinelOne — CVE-2026-49366 IntelliJ IDEA RCE · 2026-07-02
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.