kalfaoglu.net günlüğü

21 Ekim 2026 tarihinde PHP güvenlik ekibi, iki kritik uzaktan kod çalıştırma (RCE) açığı için yamalar yayımladı. Araştırmacı Kirill Firsov tarafından ortaya çıkarılan açık zinciri PHP2Shell olarak adlandırıldı. Her iki açık da CVSSv4.0 puanı 9.2 ile değerlendirildi; ikisi de kimlik doğrulaması gerekmeden, herhangi bir uygulama kodu çalışmadan önce istismar edilebiliyor. Sunucunuzda PHP çalışıyorsa — ki neredeyse kesinlikle çalışıyordur — hemen güncelleyin. Tam olarak ne bozuk? CVE-2026-109618 — Yetersiz Bellek Bozulması ...

MariaDB veya Dovecot çalıştırıyorsanız — ve bir veritabanı destekli posta sunucusu barındırıyorsanız neredeyse kesinlikle çalıştırıyorsunuzdur — son birkaç haftada yayımlanan güvenlik bildirimlerini zaten uygulamış olmanız gerekiyordu. Henüz uygulamadıysanız, bu yazı bir hatırlatıcı olsun. MariaDB: Dördü CVE, Biri Olası Uzaktan Kod Çalıştırma İçeriyor 7 Eylül 2026’da MariaDB, desteklenen tüm büyük sürüm dallarını etkileyen dört CVE için bildiri yayımladı. Hiçbiri Kritik seviyesinde değil; ancak üçü CVSS 8.0–8.5 aralığında Yüksek olarak derecelendirilmiş — bu fark, pratikte pek de önemli değil. ...

Dovecot’un güvenlik sayfası, 28 Ağustos 2026’da yüksek önemdeli yeni bir güvenlik açığı duyurusu yayımladı. Büyük Linux dağıtımları yamalı paketleri yaklaşık altı hafta sonra gönderdi; Red Hat’in RHEL 10 için hazırladığı güncelleme 8 Ekim 2026‘de yayımlandı. MySQL veya MariaDB arka ucuyla Dovecot çalıştırıyorsanız ve son zamanlarda güncelleme yapmadıysanız okumaya devam edin. Açık Nedir? CVE-2026-40018, Dovecot’un MySQL sürücüsündeki bir SQL enjeksiyonu açığıdır (CWE-89). SQL sorgu parametrelerini temizleyen kaçış işlevi, belirli çok baytlı karakter dizileri sırasında SQL bağlantısının düşüp yeniden kurulması durumunda karakter seti bilgisinden habersiz bir kaçış çağrısına geri döner. Bu anda hazırlanmış bir girdi gönderebilen bir saldırgan — örneğin bozuk bir kullanıcı adı ya da parola dizisiyle — beklenen SQL bağlamının dışına çıkabilir ve hassas verileri okuyabilir ya da değiştirebilir. ...

Web sitesi çalışırken, kullandığınız DNS çözümleyicisi onun adresini bulmayı reddedebilir. Böyle bir durumda hosting taşımaya, ad sunucularını değiştirmeye veya güvenlik duvarına en son dokunan kişiyi aramaya başlamadan önce sorgunun nerede başarısız olduğunu belirleyin. IANA’nın açıklamasına göre DNS kök bölgesi 11 Ekim 2026’da yeni Anahtar İmzalama Anahtarını kullanmaya başladı. Kullanıcıların çoğunun kesinti fark etmesi beklenmiyor. Yeni anahtara güvenecek şekilde güncellenmemiş DNSSEC doğrulayıcı çözümleyiciler ise doğrulama hataları yaşayabilir. Bu, belirli bir teknik gereksinimi olan bakım işlemi; bütün internetin bozulduğunu gösteren bir haber değil. ...

E-posta filtresinin görevi iletileri değerlendirmektir. İleti okurken kendi belleğiyle kavga etmesi, hizmet tanımında aradığımız bir özellik değil. Rspamd’in yeni yaması, spam puanlarının arkasındaki yazılımın da bakım istediğini hatırlatıyor. Resmî sürüm dizini, Rspamd 4.2.1’in çıkış tarihini 1 Ekim 2026 olarak veriyor. Bu nedenle konu bu haftanın bakım gündemine uygun. Daha önce ele aldığımız 4.1.0 sürümünden farklı olarak burada odak, filtreyi daha hoşgörülü hâle getirmek değil; güncellemeden sonra doğru çalıştığını somut kontrollerle görmek. ...

Hosting kontrol paneli, sistem yöneticisinin işini kolaylaştırmak için vardır. Yönetici yetkilerini başka birine kullandırmak, bu kolaylığı biraz fazla ileri götürmek olur. cPanel’in 29 Eylül’de yayımladığı üç güvenlik duyurusu, bu haftanın bakım gündemine girmeyi hak ediyor. Konular Multilang adminbin bileşeni, WHM hesap düzenleme ekranı ve WHM SSL yönetimi. İşletme sahibi açısından sorulacak soru basit: Hesabımın bulunduğu sunucunun düzeltmeleri aldığı doğrulandı mı? Otomatik güncellemenin açık olması, güncellemenin tamamlandığını tek başına göstermez. Duyurular ne söylüyor? Multilang adminbin için CVE-2026-93698, yetersiz girdi doğrulaması nedeniyle keyfî komut çalıştırılmasına ilişkin. Üretici, başarılı saldırının root yetkileriyle kod çalıştırılmasına ve sunucunun tamamının tehlikeye girmesine yol açabileceğini belirtiyor. Duyuru, saldırganın önceden hangi erişime sahip olması gerektiğini açıklamıyor; aktif saldırı yaşandığını da söylemiyor. Bu boşlukları tahminle doldurmuyoruz. ...

Sunucunuzda cPanel ve ConfigServer Güvenlik Duvarı (CSF) çalışıyorsa, yaptığınız her şeyi bırakıp CSF sürümünüzü kontrol edin. 3 Eylül 2026’da cPanel, CVE-2026-67402 için kritik bir yama yayımladı. Bu açık, CSF’nin Messenger servisinde bulunan ve kimliği doğrulanmamış bir saldırganın sunucuda Apache kullanıcısı olarak rastgele komut çalıştırmasına olanak tanıyan bir uzaktan kod yürütme (RCE) zafiyetidir. Sunucunuzu korumak için kurulmuş bir yazılımda bu tür bir açık bulmak hiç de hoş bir şey değil. CSF Nedir ve cPanel Bu İşe Nasıl Dahil Oldu? ConfigServer Security & Firewall, yıllardır cPanel/WHM kurulumlarının vazgeçilmez bir parçasıydı; iptables tabanlı bu güvenlik duvarı port engelleme, başarısız giriş denemesi tespiti ve e-posta uyarıları gibi görevleri üstleniyordu. Orijinal geliştirici, 31 Ağustos 2025’te projeyi sonlandırdı ve kodu GPLv3 lisansıyla açık kaynak olarak yayımladı. cPanel (şu an WebPros bünyesinde), 25 Şubat 2026’da devreye girerek projeyi çatalladı (fork) ve güvenlik bakımını üstlendi. ...

27 Ağustos 2026’da cPanel, plansız bir güvenlik güncellemesi yayımladı ve müşterilerine bir bildirim gönderdi. Büyük ihtimalle çoğu kişi bunu gözden kaçırdı. Kaçırmamalıydı. CVE-2026-65643 olarak takip edilen bu açık, park edilmiş ya da addon domain ekleme yetkisine sahip herhangi bir cPanel hesabının sunucuya rastgele dosya yazmasına olanak tanıyor. Pratikte bu, root seviyesinde kod çalıştırmaya kapı açıyor. Bu, çok aşamalı bir yetki yükseltme zinciri değil. Sıradan bir hosting müşterisinin sunucuya tamamen sahip olabilmesi. ...

Wietse Venema, 10 Ağustos 2026’da Postfix 3.11.6‘yı yayımladı. Bununla birlikte altı eski dal için de koordineli güncellemeler geldi: 3.10.13, 3.9.14, 3.8.20, 3.7.22, 3.6.20 ve 3.5.27. Linux üzerinde e-posta gönderip alıyorsanız, büyük ihtimalle Postfix kullanıyorsunuzdur. Güncellemenin vakti geldi. Bu sürüm iki açıdan alışılmışın dışında: bulunan hataların kapsamı ve bu hataların nasıl bulunduğu. Hatalar nasıl keşfedildi? Qualys, Anthropic’in Claude Mythos Preview modeli yardımıyla; ayrı olarak da OpenAI Security, Postfix kod tabanını yapay zeka destekli bir güvenlik denetiminden geçirdi. Yaklaşık otuz yıllık birikimiyle 150.000 satırı aşan C kodu incelendi — tamamı neredeyse tek bir geliştiricinin elinden çıkmış. Sonuçlar fazlasıyla düşündürücüydü: bulunan açıkların yarısından fazlası en az yirmi yıl öncesine dayanıyor. En eskisi, Postfix’in Nisan 1997’deki ilk alfa sürümünden de önceye gidiyor. ...

22 Temmuz’da Qualys, RHEL ailesi üzerinde çalışan paylaşımlı hosting sunucusu yöneticilerinin dikkatle okuması gereken bir Linux çekirdeği güvenlik açığı duyurusu yayımladı: CVE-2026-64600, kısaca RefluXFS. Açık, Linux çekirdeğinin XFS dosya sisteminde yerel yetki yükseltmeye olanak tanıyor; Qualys’in yayımladığı kavram kanıtı, sıradan ve ayrıcalıksız bir yerel hesaptan başlayarak saniyeler içinde /etc/passwd dosyasındaki root şifresini siliyor. Açık, 2017’de çıkan 4.11 çekirdeğinden bu yana sessizce var olmuş. Dokuz yıl boyunca paylaşımlı hosting sunucuları, sanal özel sunucular ve bulut düğümleri bu riskle yaşamış. ...