Kritik NGINX açığı CVE-2026-42533: worker süreçleri çökebiliyor, uzaktan kod çalıştırma riski araştırılıyor
NGINX'in kararlı (1.30.4) ve ana geliştirme (1.31.3) dallarıyla NGINX Plus'ta 15 Temmuz'da yamalanan CVE-2026-42533, saldırganın özel hazırlanmış istekle worker süreçlerini çökertmesine (hizmet dışı bırakma) izin veriyor; araştırmacılar bazı yapılandırmalarda uzaktan kod çalıştırmaya evrilme ihtimalini de inceliyor. 20 Temmuz itibarıyla açık CISA'nın Bilinen İstismar Edilen Açıklar kataloğuna eklenmedi ve kamuya açık istismar kodu yayınlanmadı — ancak NGINX'in web sunucusu pazarındaki payı göz önüne alındığında yama önceliklendirmesi öneriliyor.
Web sunucusu ve ters-proxy yazılımı NGINX’te, saldırganın hizmeti çökertebileceği ve bazı senaryolarda uzaktan kod çalıştırmaya evrilebileceği değerlendirilen kritik bir açık yamalandı.
Açığın kapsamı
CVE-2026-42533 olarak izlenen açık, 15 Temmuz’da NGINX’in kararlı 1.30.4, ana geliştirme 1.31.3 sürümlerinde ve NGINX Plus 37.0.3.1’de giderildi. Açık, özel hazırlanmış bir istekle worker süreçlerinin çökertilmesine (hizmet dışı bırakma) olanak tanıyor; güvenlik araştırmacıları belirli yapılandırmalarda bu açığın uzaktan kod çalıştırmaya kadar genişleyip genişleyemeyeceğini hâlâ inceliyor.
Henüz aktif istismar kanıtı yok
20 Temmuz itibarıyla açık, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) Bilinen İstismar Edilen Açıklar (KEV) kataloğuna eklenmedi ve kamuya açık bir istismar kodu (exploit) yayınlanmadı. Bu, açığın henüz vahşi doğada aktif olarak kullanılmadığına işaret ediyor — ancak yama yayınlandıktan sonra istismar kodunun tersine mühendislikle üretilmesi sık görülen bir senaryo.
Neden önemli
NGINX, internetteki web sunucularının ve ters-proxy/yük dengeleme katmanlarının büyük bir kısmını çalıştırıyor; kritik olarak etiketlenmiş bir hizmet-dışı-bırakma açığının olası uzaktan kod çalıştırma potansiyeliyle birlikte gelmesi, internete açık her NGINX dağıtımının yama takviminde öncelikli tutulmasını gerektiriyor. Henüz KEV listesinde olmaması aciliyeti azaltmıyor — geçmiş örneklerde (SonicWall, SharePoint gibi) yama duyurusu ile aktif istismar arasındaki pencere günler mertebesinde kapanabiliyor.
NGINX, dünya çapında web trafiğinin önemli bir kısmını ters-proxy/yük dengeleyici olarak taşıyor; henüz KEV listesinde ve aktif istismarda olmasa da, kritik-etiketli bir DoS/olası-RCE açığının yama takviminde öncelikli tutulması genel bir güvenlik disiplini gerekliliği.
- The Hacker News — Critical NGINX Vulnerability Can Crash Workers and May Allow Remote Code Execution · 2026-07-20
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.