SiberMagazin — Siber dünyanın nabzı | Siber Güvenlik Haberleri

Red Hat OpenShift 5 genel kullanımda: Lightspeed asistanı agent'a dönüştü, MCP sunucu desteği ve post-quantum kriptografi geldi

Red Hat, Kubernetes tabanlı OpenShift'in 5. sürümünü genel kullanıma açtı. Lightspeed artık kendi başına sorun giderip güncelleme riskini değerlendiren bir agent; platforma MCP sunucu desteği, sovereign kurulumlar için hardened multi-tenancy, PQC desteği ve beş yıllık yaşam döngüsü ekleniyor.

Yama & SürümORTA

Ubuntu 26.10'da curl iptal edilmiş sertifikaları reddediyor: upki ve CRLite ile yerel denetim, sırada OpenSSL var

Ubuntu 26.10, curl'e sertifika iptal (revocation) denetimini yerleşik olarak getirdi. Denetim rustls geliştiricilerinin upki projesiyle ve Mozilla'nın CRLite yöntemiyle yerelde yapılıyor; Canonical bir sonraki adımda aynı denetimi OpenSSL'e taşımayı hedefliyor.

ZafiyetKRİTİK

Directus'ta CVSS 9.2'lik açık, public WebSocket'te başarısız kimlik doğrulama tüm koleksiyonlara yetkisiz erişim veriyor

Headless CMS Directus'un 12.1.0 öncesi sürümlerinde, public modda açık WebSocket REST bağlantısına gönderilen geçersiz token izin denetimini tamamen devre dışı bırakıyor (CVE-2026-126539). Düzeltme 12.1.0 sürümünde.

TeknolojiORTA

Amazon, ev içinde uçan Ring Drone Cam ve işletmeler için tekerlekli Rover Cam'i tanıttı

Amazon "Ring Robotics" adıyla iki güvenlik robotu duyurdu: ev içinde devriye uçuşu yapan Drone Cam ve işyerleri için teleskopik kameralı Rover Cam. İkisi de kamera, sensör ve bulut işlemeyi birleştiren "AI Pilot" ile otonom hareket ediyor.

Yama & SürümORTA

Ekim güncellemelerinin bozduğu Exchange oturumları Kasım Patch Tuesday ile düzeltildi

Microsoft, Ekim 2026 Windows Server güncellemelerinden sonra şirket içi Exchange sunucularında OWA girişlerini ve posta gönderimini bozan sorunun Kasım güncellemeleri KB5131080 ve KB5131090 ile giderildiğini açıkladı.

Veri SızıntısıYÜKSEK

Japon mobilya devi Nitori, 37,6 milyon müşteri kaydının dışarı çıkmış olabileceğini açıkladı

Nitori, 6 Kasım'da fark ettiği yetkisiz erişimde sunucularındaki 37,62 milyona kadar kişisel veri kaydının sızmış olabileceğini duyurdu. Şirkete göre saldırganın erişimi Ekim ortasına uzanıyor; parolalar ve kart bilgileri etkilenmedi.

Yama & SürümYÜKSEK

Intel ve AMD'den Kasım bülteni: 50'yi aşkın bildirimde 200'den fazla açık, Intel MigTD'de üç kritik açık

Yama & SürümKRİTİK

Ivanti Kasım bültenleri: Endpoint Manager'da kimliksiz kod çalıştırma (CVE-2026-121653) ve CSA'da kritik açık

ZafiyetKRİTİK

AVideo'da CVSS 9.8'lik açık, sosyal girişte görünen ad üzerinden yönetici hesabı ele geçirilebiliyor

ZafiyetKRİTİK

N-able, Able2Shell açıkları için N-central 2026.4 HF2'yi yayımladı; yedi CVE atandı, on-premises sunucular ve tüm Agent/Probe'lar yükseltilmeli

Yama & SürümYÜKSEK

Git 2.56.1 ve geri taşınmış sürümler yayımlandı; CVE-2026-111760 kötü niyetli depoyu recursive clone ile kod çalıştırmaya açıyor

Yapay Zeka

Avustralya, zararlı AI modelini bilerek piyasaya süren şirketler için ceza davası seçeneğini masaya koydu; yeni AI düzenleyicisi önerildi

Yapay ZekaORTA

OpenAI araştırma modelleri için "Control Room" adlı kill switch kurdu: model çıktısını 35 saniyede durdurabiliyor

Yapay Zeka

Adobe, Creative Cloud için yerel MCP sunucusu yayımladı: ChatGPT, Claude ve Gemini artık Photoshop ve Premiere özelliklerine erişebilecek

Yapay Zeka

Google Kasım Pixel Drop'u yayımladı: Gemini Intelligence özellikleri Pixel 10 serisine geliyor, Pixel 10a kapsam dışı

Teknoloji

SpaceX, değiştirilebilir bataryalı Starlink Mini 2'yi tanıttı: harici güç olmadan 4,5 saate kadar uydu interneti

▶

Kara Şahin alarm veriyor

Outlook'ta zero-day: bir dosya açılınca kimliğiniz sızıyor

Microsoft Kasım Patch Tuesday'de Outlook'taki CVE-2026-124194'ün saldırılarda kullanıldığını doğruladı. Hazırlanmış bir dosya açıldığında kullanıcının NTLMv2 hash'i sızabiliyor; CVSS 6.5 olsa da öncelik en üstte.

Kontrol: Outlook'ta Dosya › Office Hesabı › Outlook Hakkında ekranından sürümü görünDüzeltme: Office / Microsoft 365 Apps Kasım güvenlik sürümünü acil change olarak yükleyinİzleme: SIEM'de dış IP'lere giden SMB/WebDAV denemelerini izleyin

Ayrıntılar ve video ›

▶

Tomris Abla uyarıyor

Chrome'da zero-day, iPhone'da 9 açık: bugün iki güncelleme

Google, saldırılarda kullanılan bir Chrome açığını kapattı; Apple da iOS 27.2.1 ile iMessage grup sohbetine izinsiz katılıma izin veren açık dahil dokuz açığı giderdi. İkisi de birkaç tıkla güncelleniyor.

Red Hat OpenShift 5 genel kullanımda: Lightspeed asistanı agent'a dönüştü, MCP sunucu desteği ve post-quantum kriptografi geldi

Ubuntu 26.10'da curl iptal edilmiş sertifikaları reddediyor: upki ve CRLite ile yerel denetim, sırada OpenSSL var

Directus'ta CVSS 9.2'lik açık, public WebSocket'te başarısız kimlik doğrulama tüm koleksiyonlara yetkisiz erişim veriyor

Amazon, ev içinde uçan Ring Drone Cam ve işletmeler için tekerlekli Rover Cam'i tanıttı

Ekim güncellemelerinin bozduğu Exchange oturumları Kasım Patch Tuesday ile düzeltildi

Japon mobilya devi Nitori, 37,6 milyon müşteri kaydının dışarı çıkmış olabileceğini açıkladı

Intel ve AMD'den Kasım bülteni: 50'yi aşkın bildirimde 200'den fazla açık, Intel MigTD'de üç kritik açık

Ivanti Kasım bültenleri: Endpoint Manager'da kimliksiz kod çalıştırma (CVE-2026-121653) ve CSA'da kritik açık

AVideo'da CVSS 9.8'lik açık, sosyal girişte görünen ad üzerinden yönetici hesabı ele geçirilebiliyor

N-able, Able2Shell açıkları için N-central 2026.4 HF2'yi yayımladı; yedi CVE atandı, on-premises sunucular ve tüm Agent/Probe'lar yükseltilmeli

Git 2.56.1 ve geri taşınmış sürümler yayımlandı; CVE-2026-111760 kötü niyetli depoyu recursive clone ile kod çalıştırmaya açıyor

Avustralya, zararlı AI modelini bilerek piyasaya süren şirketler için ceza davası seçeneğini masaya koydu; yeni AI düzenleyicisi önerildi

OpenAI araştırma modelleri için "Control Room" adlı kill switch kurdu: model çıktısını 35 saniyede durdurabiliyor

Adobe, Creative Cloud için yerel MCP sunucusu yayımladı: ChatGPT, Claude ve Gemini artık Photoshop ve Premiere özelliklerine erişebilecek

Google Kasım Pixel Drop'u yayımladı: Gemini Intelligence özellikleri Pixel 10 serisine geliyor, Pixel 10a kapsam dışı

SpaceX, değiştirilebilir bataryalı Starlink Mini 2'yi tanıttı: harici güç olmadan 4,5 saate kadar uydu interneti

Outlook'ta zero-day: bir dosya açılınca kimliğiniz sızıyor

Chrome'da zero-day, iPhone'da 9 açık: bugün iki güncelleme

Köşe Yazıları

Soğutma dolabından devlet saldırısına: OT cihazı internete açık kaldığında hesap kimden sorulur?

Tek panelden yüzlerce müşteri: MSP platformu düştüğünde ilk 24 saatte ne yapılır?

AI ajanı RSA'nın kenarını yokladı: bulgu neyi gösteriyor, neyi göstermiyor?

Rüzgârın ve güneşin açık kapısı: 538 tesis için kim, neyi kontrol etmeli?

Simurg Okulu #13 — Sohbet asistanları: bir modelin üstüne neler eklenince ürün oluyor?

Kardeşim haklı, bel büküldü; ama aynı ateş savunmanın ocağını da yakıyor

Yapay zekâ güvenliğin belini büküyor; ayakta kalmanın yolu tek tıkla upgrade

"CVE-2026-124194: Outlook'taki zero-day, hash kapıdan çıkmadan nasıl yakalanır?"

Arşivden: Morris solucanı — Bir deney interneti nasıl dize getirdi?

Ses artık kanıt değil: Deepfake çağında "gerçekten sen misin?" sorusu

Parola yöneticiniz "saldırıya uğradık" derse ne yapmalısınız? Sakin kalıp 5 adımda toparlanmak

Gündem Radarı

Üretici Nabzı

Öne Çıkanlar

"Microsoft araştırmacıları: AI agent modellerine 10'dan az nöron düzenlenerek backdoor yerleştirilebiliyor"

"Güncelleme: Railway, Ekim ihlalinde çalınan müşteri AI anahtarlarıyla yaklaşık 740 bin dolarlık yetkisiz harcama yapıldığını açıkladı"

ESET: Çin bağlantılı SlippyNunchucks, Sogou klavye uygulamasının HTTP trafiğini ele geçirerek DarkVigil casus yazılımı dağıttı

İçişleri Bakanlığı: 14 il merkezli jandarma operasyonlarında 112 şüpheli yakalandı, hesaplarda 22 milyar liralık hareket

ENISA 2026 raporu: AB'de ankete katılan BT hizmet sağlayıcılarının yüzde 45'i kritik patch'leri üç aydan uzun sürede uyguluyor

"ProjectDiscovery araştırması: büyük şirketlerin neredeyse yarısı doğrulamadığı zafiyet bulgularını kapatıyor ya da erteliyor"

Alman bulut dosya paylaşım servisi PowerFolder Drive, bilinmeyen açıklarla saldırıya uğradı; servis dört gün kapalı kaldı, tüm parolalar sıfırlandı

WSJ: OpenAI'ın çeyreklik geliri yüzde 50 artışla 10 milyar dolara çıktı, faaliyet zararı 10,9 milyar dolara yükseldi

Türkiye

İçişleri Bakanlığı: 14 il merkezli jandarma operasyonlarında 112 şüpheli yakalandı, hesaplarda 22 milyar liralık hareket

Hollanda NCSC ve Modat çalışması: Türkiye'de 84 rüzgâr ve 454 güneş santralinde internete açık olmaması gereken sistem tespit edildi

Jandarmanın siber dolandırıcılık operasyonları: 11 ilde 230 şüpheli, Gümüşhane merkezli soruşturmada 6,1 milyar liralık hesap hareketi

Ankara İl Jandarma Komutanlığı bir haftalık siber devriye sonucunu açıkladı: 400 siteye erişim engeli, 3'ü phishing sitesi

Ankara merkezli 12 ilde sahte yatırım uygulaması operasyonu: MASAK 47 paravan şirket tespit etti, 38 şüpheli gözaltında

İçişleri Bakanlığı 23 ildeki siber operasyonların bilançosunu açıkladı: 521 şüpheli yakalandı, 367'si tutuklandı

Zonguldak Valiliği resmi X hesabına siber müdahale yapıldığını duyurdu: para talebi ve bağlantılara güvenmeyin uyarısı

KVKK'dan turizm sektörüne yönelik yedi ihlal bildirimi: oteller ve acentede aynı hafta içinde yetkisiz erişim tespit edildi

Zafiyet

Directus'ta CVSS 9.2'lik açık, public WebSocket'te başarısız kimlik doğrulama tüm koleksiyonlara yetkisiz erişim veriyor

AVideo'da CVSS 9.8'lik açık, sosyal girişte görünen ad üzerinden yönetici hesabı ele geçirilebiliyor

N-able, Able2Shell açıkları için N-central 2026.4 HF2'yi yayımladı; yedi CVE atandı, on-premises sunucular ve tüm Agent/Probe'lar yükseltilmeli

MongoDB'de kritik replikasyon açığı CVE-2026-118383: kimlik doğrulama gerektirmeyen isteklerle çökme ve kod çalıştırma riski

"Fortinet Kasım PSIRT: 46 bildirim, 8 kritik açık; FortiOS'ta OSPF authentication bypass (CVE-2026-126253), FortiManager'da FGFM açığı (CVE-2026-126261)"

"CISA KEV'e iki yeni açık: Cisco BroadWorks XXE (CVE-2026-20320) ve Openwave Webtop Media Transcoder"

Güncelleme: Barracuda ESG'deki root erişimi zinciri saldırılarda kullanılıyor

Xen Orchestra'da kimlik doğrulama atlatma açığı aktif istismar ediliyor; XCP-ng host'ları risk altında

Yama & Sürüm

Ubuntu 26.10'da curl iptal edilmiş sertifikaları reddediyor: upki ve CRLite ile yerel denetim, sırada OpenSSL var

Ekim güncellemelerinin bozduğu Exchange oturumları Kasım Patch Tuesday ile düzeltildi

Intel ve AMD'den Kasım bülteni: 50'yi aşkın bildirimde 200'den fazla açık, Intel MigTD'de üç kritik açık

Ivanti Kasım bültenleri: Endpoint Manager'da kimliksiz kod çalıştırma (CVE-2026-121653) ve CSA'da kritik açık

Git 2.56.1 ve geri taşınmış sürümler yayımlandı; CVE-2026-111760 kötü niyetli depoyu recursive clone ile kod çalıştırmaya açıyor

Adobe Kasım 2026 güncellemeleri: dokuz üründe yaklaşık 110 açık, Connect ve AEM'de kritik

Microsoft Kasım 2026 Patch Tuesday: Outlook'ta istismar edilen zero-day, 63 kritik açık

Firefox 160 ve ESR 153.7 yayımlandı; 99 açığın 58'i yüksek önemde, 13'ü sandbox escape

Fidye Yazılım

"Türkiye'yi hedef alan fidye yazılım grupları: 2026'da ilan sayısı ikiye katlandı, en çok imalat sektörü listelendi"

Vanderbilt Üniversitesi siber saldırıyı doğruladı, cihazların kapatılmasını istedi; BYOD fidye grubu veri çaldığını iddia ediyor

Rus hosting sağlayıcısı ESTT'nin bulut altyapısı dosya şifreleyen zararlı yazılımla vuruldu; Beget'ten bir hafta sonra ikinci olay

New York'ta Queens Public Library ransomware saldırısıyla sarsıldı: bilgisayarlar ve Wi-Fi devre dışı

Fidye yazılım sızıntı sitelerinde kasım hareketliliği: Akira ve N0n yeni kurbanlar ilan etti

Japon GMO Internet, 50 milyon dolarlık fidye talebini reddetti; müşterilerden bilgisayarlarını kapatmaları istendi

New Mexico Üniversitesi Sağlık Merkezi'nde siber olay: ameliyatlar iptal edildi, ambulanslar yönlendirildi

Rhysida, Maryland'deki Anne Arundel County'ye ait olduğunu iddia ettiği verileri satışa çıkardı

Veri Sızıntısı

Japon mobilya devi Nitori, 37,6 milyon müşteri kaydının dışarı çıkmış olabileceğini açıkladı

"Güncelleme: Railway, Ekim ihlalinde çalınan müşteri AI anahtarlarıyla yaklaşık 740 bin dolarlık yetkisiz harcama yapıldığını açıkladı"