Node.js'in Temmuz güncellemesi 11 açığı kapattı — bir TLS yaması eksik çıktı
Node.js projesi 29 Temmuz 2026'da desteklenen üç sürüm hattı (22.x, 24.x, 26.x) için güvenlik güncellemesi yayınlayarak toplam 11 CVE'yi (3 yüksek, 5 orta, 3 düşük önem dereceli) kapattı. En dikkat çekici bulgu, Haziran'da başka bir açık için uygulanan bir TLS host-doğrulama yamasının eksik kaldığının ortaya çıkması; ikinci önemli düzeltme ise dns.resolveAny() fonksiyonundaki tekrarlanabilir bir çökme açığıyla ilgili.
Node.js projesi, 29 Temmuz 2026’da desteklenen üç ana sürüm hattı — 22.x, 24.x ve 26.x — için toplu bir güvenlik güncellemesi yayınladı. Güncelleme toplam 11 CVE’yi kapatıyor: 3’ü yüksek, 5’i orta ve 3’ü düşük önem derecesinde sınıflandırıldı.
Eksik kalan bir TLS yaması
Güncellemedeki en dikkat çekici bulgu CVE-2026-58040 oldu. Haziran ayında başka bir açık için “TLS oturumunu doğrulanmış host’a bağlama” yönünde bir yama uygulanmıştı; ancak bu yamanın eksik kaldığı, HTTPS Agent’ın farklı kimlik doğrulama politikaları arasında TLS oturumunu yeniden kullanırken hostname doğrulamasını hâlâ atlayabildiği tespit edildi. Bu durum, önceden kapatıldığı düşünülen bir sınıf açığın aslında kısmen açık kaldığı anlamına geliyor.
DNS çözümlemede hizmet-dışı-bırakma açığı
İkinci önemli düzeltme CVE-2026-58042, dns.resolveAny() fonksiyonuyla ilgili. Fonksiyon, 256’dan fazla A kaydı içeren bir DNS yanıtı aldığında süreci çökertebiliyor — bu da kötü niyetli veya hatalı yapılandırılmış bir DNS sunucusu üzerinden tetiklenebilecek, tekrarlanabilir bir hizmet-dışı-bırakma (DoS) senaryosu oluşturuyor.
Kapsam
Kalan dokuz CVE, orta ve düşük önem dereceli çeşitli bulgulardan oluşuyor. Node.js projesi, üç desteklenen sürüm hattını kullanan tüm dağıtımların güncellemeyi en kısa sürede uygulamasını öneriyor; özellikle TLS host-doğrulama zincirine dayanan HTTPS istemcilerinin önceliklendirilmesi tavsiye ediliyor.
Haziran'da kapatıldığı düşünülen bir açığın aslında eksik yamalandığının ortaya çıkması, güvenlik ekiplerinin 'yamalandı' işaretine güvenmek yerine düzeltmelerin kapsamını düzenli aralıklarla yeniden gözden geçirmesi gerektiğini hatırlatıyor.
- Node.js — Wednesday, July 29, 2026 Security Releases · 2026-07-29
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.