Hosting

Sunucunuzda cPanel ve ConfigServer Güvenlik Duvarı (CSF) çalışıyorsa, yaptığınız her şeyi bırakıp CSF sürümünüzü kontrol edin. 3 Eylül 2026’da cPanel, CVE-2026-67402 için kritik bir yama yayımladı. Bu açık, CSF’nin Messenger servisinde bulunan ve kimliği doğrulanmamış bir saldırganın sunucuda Apache kullanıcısı olarak rastgele komut çalıştırmasına olanak tanıyan bir uzaktan kod yürütme (RCE) zafiyetidir. Sunucunuzu korumak için kurulmuş bir yazılımda bu tür bir açık bulmak hiç de hoş bir şey değil. CSF Nedir ve cPanel Bu İşe Nasıl Dahil Oldu? ConfigServer Security & Firewall, yıllardır cPanel/WHM kurulumlarının vazgeçilmez bir parçasıydı; iptables tabanlı bu güvenlik duvarı port engelleme, başarısız giriş denemesi tespiti ve e-posta uyarıları gibi görevleri üstleniyordu. Orijinal geliştirici, 31 Ağustos 2025’te projeyi sonlandırdı ve kodu GPLv3 lisansıyla açık kaynak olarak yayımladı. cPanel (şu an WebPros bünyesinde), 25 Şubat 2026’da devreye girerek projeyi çatalladı (fork) ve güvenlik bakımını üstlendi. ...

27 Ağustos 2026’da cPanel, plansız bir güvenlik güncellemesi yayımladı ve müşterilerine bir bildirim gönderdi. Büyük ihtimalle çoğu kişi bunu gözden kaçırdı. Kaçırmamalıydı. CVE-2026-65643 olarak takip edilen bu açık, park edilmiş ya da addon domain ekleme yetkisine sahip herhangi bir cPanel hesabının sunucuya rastgele dosya yazmasına olanak tanıyor. Pratikte bu, root seviyesinde kod çalıştırmaya kapı açıyor. Bu, çok aşamalı bir yetki yükseltme zinciri değil. Sıradan bir hosting müşterisinin sunucuya tamamen sahip olabilmesi. ...

22 Temmuz’da Qualys, RHEL ailesi üzerinde çalışan paylaşımlı hosting sunucusu yöneticilerinin dikkatle okuması gereken bir Linux çekirdeği güvenlik açığı duyurusu yayımladı: CVE-2026-64600, kısaca RefluXFS. Açık, Linux çekirdeğinin XFS dosya sisteminde yerel yetki yükseltmeye olanak tanıyor; Qualys’in yayımladığı kavram kanıtı, sıradan ve ayrıcalıksız bir yerel hesaptan başlayarak saniyeler içinde /etc/passwd dosyasındaki root şifresini siliyor. Açık, 2017’de çıkan 4.11 çekirdeğinden bu yana sessizce var olmuş. Dokuz yıl boyunca paylaşımlı hosting sunucuları, sanal özel sunucular ve bulut düğümleri bu riskle yaşamış. ...

6 Temmuz 2026’da MariaDB Community Server 10.6, destek ömrünü tamamladı. MariaDB Vakfı bunu Haziran ayında duyurmuştu; kimse sürpriz yememeli. Buna rağmen pek çok sunucu hâlâ 10.6 çalıştırmaya devam ediyor. İkinci gruba dahilseniz, şunu bilmeniz gerekiyor. “Ömür Sonu” Bir Veritabanı İçin Ne Anlama Gelir? Sunucunuz aniden durmaz. Sorgularınız çalışmaya, uygulamanız hizmet vermeye devam eder. Duran şey, MariaDB Vakfı’nın 10.6 dalına güvenlik yamalarını, hata düzeltmelerini ve düzeltici sürümleri göndermeyi kesmesidir. Dal artık dondurulmuş durumda. ...

7 Temmuz 2026’da CVE-2026-43499 için çalışan bir istismar kodu kamuoyuyla paylaşıldı. GhostLock olarak adlandırılan bu açık, ayrıcalıksız herhangi bir yerel kullanıcının yaklaşık beş saniyede root kabuğu elde etmesini sağlıyor. Üstelik konteyner içinden host makineye kaçış için de kullanılabiliyor. Linux sunucu işletiyorsanız — paylaşımlı hosting, VPS ya da fiziksel sunucu fark etmeksizin — bu haftanın öncelikli yaması bu. Ne tür bir açık bu? Açık, kernel/locking/rtmutex.c dosyasında, futex öncelik kalıtımı (PI) yolunda gizleniyor. FUTEX_CMP_REQUEUE_PI çağrısı sırasında çekirdek bir kilitlenme döngüsü tespit edip -EDEADLK ile geri sarma yaparken remove_waiter() yardımcısını çağırıyor. Sorun şurada: bu yardımcı pi_blocked_on alanını temizlemesi gereken uyuyan iş parçacığı yerine o anda çalışan iş parçacığında temizliyor. Sonuçta serbest bırakılmış çekirdek yığın belleğine sallanan bir işaretçi kalıyor — yani yığın use-after-free. ...

25 Haziran 2026’da JFrog Güvenlik Araştırma ekibi, DirtyClone adını verdikleri bir Linux çekirdek açığı için çalışan bir istismar anlatısı yayımladı. CVE-2026-43503 olarak takip edilen ve CVSS puanı 8,8 olan bu açık, yaması yapılmamış bir sistemdeki herhangi bir yerel kullanıcının root yetkisi elde etmesine olanak tanıyor. Üstelik saldırı diskte hiçbir iz bırakmıyor. Bu iki özelliğin bir arada bulunması, hosting sunucusu işleten herkesin dikkatini çekmelidir. Açık Nerede? Sorun, __pskb_copy_fclone() adlı bir çekirdek fonksiyonunda gizli. Bu fonksiyon, ağ paketlerini çekirdek içinde kopyalarken SKBFL_SHARED_FRAG adlı bir güvenlik bayrağını düşürüyor. Bu bayrak, paket belleğinin diskteki bir dosyayla paylaşıldığını işaret eder; bayrak olmayınca çekirdek söz konusu belleği salt okunur olarak kabul etmiyor ve saldırgan oraya yazabiliyor. ...

Mayıs 2026’da IETF, e-posta yöneticilerinin yıllardır beklediği bir adımı attı: RFC 9989, RFC 9990 ve RFC 9991 toplu olarak “DMARCbis” adıyla yayımlandı. Bu üç belge, 2015’ten bu yana DMARC’ın temel kaynağı olan RFC 7489’un yerini alıyor. Önemli değişiklik teknik değil, statü açısından. Orijinal RFC 7489, Bilgilendirici (Informational) bir belge olarak yayımlanmıştı; yani sektörün hâlihazırda ne yaptığını anlatıyordu, zorunluluk getirmiyordu. DMARCbis ise IETF Standartlar Takibi’nde Önerilen Standart (Proposed Standard) olarak geliyor — resmi bir İnternet Standardına giden yolun ilk adımı. Kısaca söylemek gerekirse: DMARC, “endüstrinin güçlü tavsiyesi” olmaktan çıkıp “resmi protokol” statüsüne geçti. ...

Debian veya Ubuntu üzerinde çalışan ve son beş haftadır güncelleme yapılmamış bir Exim sunucunuz varsa, 25 numaralı TCP portuna TLS bağlantısı açabilen herkes — kimlik doğrulaması olmadan, özel bir araç gerekmeksizin, standart SMTP komutlarıyla — sunucunuzu uzaktan istismar edebilir durumda olabilir. CVE-2026-45185, Dead.Letter adıyla anılan bu güvenlik açığı, Exim’in BDAT mesaj ayrıştırma kodundaki bir “use-after-free” hatasıdır. CVSS puanı: 9.8 Kritik. 12 Mayıs 2026’da yayımlanan Exim 4.99.3 sürümüyle giderildi. O tarihten bu yana sürümünüzü kontrol etmediyseniz, şimdi tam zamanı. ...

4 Haziran 2026’da PHP ekibi iki güncelleme yayımladı: PHP 8.4.22 ve PHP 8.5.7 — ikisi de rutin hata düzeltme sürümleri. Dikkat çeken nokta şu: 8.2 güncellemesi yok, 8.3 güncellemesi yok. Bu bir gözden kaçırma değil; sürüm döngüsünün tasarlandığı gibi işlemesi. Bir PHP dalı aktif desteği bitirince, yalnızca uygun güvenlik açıkları ortaya çıktığında güvenlik yaması alır. Rutin hata düzeltmeleri durur. Haziran bir hata düzeltme ayıydı; 8.2 ve 8.3 bu döngünün dışında kaldı. ...

Apache HTTP Server 2.4.68, 8 Haziran 2026’da yayınlandı — Mayıs ayı başındaki 2.4.67’den sonraki ilk ara sürüm ve projenin kendi indirme sayfasında belirttiği gibi “önceki tüm sürümlere göre tercih edilmesi gereken” sürüm. Kendi LAMP sunucunuzu işletiyorsanız bu hafta yama listenizin başına bunu yazın. Bu sürümde gerçekte ne var httpd.apache.org üzerindeki kamuya açık CVE listesi henüz bu sürümle tam senkronize değil, ancak tek tek açıklamalar oss-security listesine ve dağıtım güvenlik takipçilerine düştü. Özellikle bilinmesi gereken üç açık var. ...