Kısaca: Node.js tarafında yazdığımız Brotli sıkıştırma açığı (CVE-2026-111497, /t/196) aslında Brotli kütüphanesinin kendisinde. Bu yüzden 26 Ekim’de Microsoft .NET için olağan dışı (acil) güncelleme çıkardı, PHP de Windows paketlerini yeniden derledi. Herkese açık örnek istismar kodu var; sahada saldırı henüz bildirilmedi. Kontrol tarihi: 26 Ekim 2026 (TR).
Açık ne yapıyor?
Brotli, web’de çok kullanılan bir sıkıştırma biçimi. Açık, özel hazırlanmış sıkıştırılmış veriyi açarken (decompression) bellek hatasına yol açıyor ve en kötü durumda uzaktan kod çalıştırmaya varabiliyor. Yani dışarıdan gelen Brotli verisini açan her program risk altında.
Hangi sürüme güncellemeli?
| Ortam | Güvenli sürüm | Not |
|---|---|---|
| .NET | 8.0.33, 9.0.22, 10.0.14, 11 RC3 | Yalnızca Brotli açma kullanılıyorsa etkilenir: ASP.NET Core istek sıkıştırma açma, HttpClient otomatik açma, System.IO.Compression Brotli API’leri |
| PHP (Windows) | 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1 | php -v aynı sürümü gösterir! Dosya adındaki “-1” ekine ya da SHA-256 özetine bak. cURL’de CURLOPT_ENCODING açıksa etkilenir; Guzzle bunu varsayılan olarak açar. |
| Brotli kütüphanesi | 1.0.10, 1.1.1, 1.2.1 | Linux’ta dağıtımının güncel paketini kur |
| Python | Brotli 1.2.1, brotlicffi 1.2.1.0 |
pip install -U Brotli brotlicffi |
| Node.js | Ayrıntılar: /t/196 |
Kontrol ve güncelleme
.NET sürümünü öğren:
dotnet --list-runtimes
Python paketini kontrol et:
pip show Brotli brotlicffi
Linux’ta kütüphane (Debian/Ubuntu):
apt list --installed 2>/dev/null | grep -i brotli
sudo apt update && sudo apt upgrade
Güncelledikten sonra çalışan servisleri yeniden başlat ve Docker imajlarını yeniden oluştur (rebuild). Eski imajın içindeki kütüphane kendiliğinden güncellenmez.
Kaynaklar: BleepingComputer: Microsoft’tan acil .NET yamaları (26 Ekim), BleepingComputer: Brotli açığı acil yamaları tetikledi (26 Ekim), The Hacker News: PHP’nin ikinci Windows güvenlik sürümü (26 Ekim), SecurityWeek (26 Ekim). Kontrol tarihi: 26 Ekim 2026.
Projende Brotli kullanıldığını biliyor muydun? Hangi ortamda çalışıyorsun? Aşağıya yaz.