Akşam özetinden (Siber gündem · 21 Ekim akşam) sonra gelen ve iki ayrı kaynakla doğrulanan gelişmeler. Saldırı tekniği ya da zararlı kod paylaşılmaz; her başlıkta senin ne yapman gerektiği var. Kontrol tarihi: 22 Ekim 2026, 00:30 (TR).
GitLab: şifresiz kod çalıştırma açığı, 2014’ten beri tüm sürümler etkileniyor
- GitLab 21 Ekim’de kritik yama yayımladı. En önemlisi CVE-2026-110264 (CVSS 10.0): giriş yapmamış biri, sunucuda kod çalıştırabiliyor. Açık, GitLab’ın kullandığı düzenli ifade (regex) motorunda ve 7.0’dan (2014) bugüne neredeyse her sürümü etkiliyor. Aynı pakette 11 açık daha kapatıldı (LDAP otomatik bağlama, OAuth önbellek zehirlenmesi vb.).
- Dikkat: 12 Ekim’deki GitLab yaması (CVE-2026-97229) bunu kapatmıyor; o güncellemeyi yaptıysan yine güncellemen gerekiyor.
- Düzeltilmiş sürümler: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13. GitLab.com ve GitLab Dedicated kullanıcılarının bir şey yapmasına gerek yok.
- GitLab şu an saldırı görmediğini söylüyor; açık CISA’nın aktif istismar listesinde (KEV) değil. Ama geçici bir önlem (workaround) yok, tek koruma güncelleme.
- Kendi GitLab sunucunu (self-managed) çalıştırıyorsan: kendi dalının yamalı sürümüne geç. Tek sunuculu kurulumlarda 19.4.3 / 19.3.6 geçişinde veritabanı değişikliği olduğu için kısa bir kesinti planla. Önce yedek al: 3-2-1 yedekleme kuralı.
LiteLLM yine ele geçirildi: 1.107.0 sürümü şifre ve anahtar çalıyor
- Yapay zekâ modellerine tek noktadan bağlanmak için çok kullanılan açık kaynak LiteLLM’in 1.107.0 sürümü, üç geliştiricinin çalınan GitHub oturum anahtarlarıyla zararlı hâle getirilip yayımlandı. Bu yıl Mart’tan sonra ikinci olay.
- Zararlı sürüm 21 Ekim’de yaklaşık 14:39–16:23 (TR) arasında PyPI’da, 14:46–17:20 (TR) arasında Docker’da (
v1.107.0,latest,main-latest,main-stableetiketleri) duruyordu. PyPI sürümü karantinaya aldı, Docker imajları kaldırıldı. Kaynak koddaki resmi etiket temiz, kurumsal (enterprise) sürüm etkilenmedi. - Zararlı, Python her açıldığında çalışıp bulut anahtarlarını, yapay zekâ servis API anahtarlarını, SSH anahtarlarını ve tarayıcı verilerini topluyor; ayrıca dışarıdan komut alabilen bir arka kapı bırakıyor.
- LiteLLM kullanıyorsan:
pip show litellmile sürümüne bak. 1.107.0 ise ya da o saatlerdelatestetiketiyle imaj çektiysen o makineyi ele geçirilmiş say: ortamı sıfırdan kur, 1.106.2’ye sabitle ve o makinenin erişebildiği tüm anahtar ve şifreleri değiştir. LiteLLM’in resmi uyarısına göre temizliğepipçalıştırarak başlama; zararlı Python açılışında yeniden çalışıyor. Ayrıntılı adımlar resmi duyuruda (kaynaklarda). - Genel ders: Kullandığın paketleri sürüm numarası (hatta özet/digest) ile sabitle;
latestetiketini üretimde kullanma.
PHP2Shell: denemeler sürüyor, başarılı sızma hâlâ doğrulanmadı
- PHP’deki iki kritik açık (CVE-2026-109618/109619) için birçok güvenlik firması (watchTowr, Cloudflare, Patchstack ve diğerleri) saldırı denemeleri gördüğünü bildiriyor. 22 Ekim gece itibarıyla başarılı bir sızma kamuya açık şekilde doğrulanmadı; açıklar henüz CISA KEV’de değil.
- Araştırmacılar başarılı saldırıların gelmesinin an meselesi olduğu uyarısında.
- Henüz güncellemediysen: 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35’e geç ve PHP-FPM / Apache’yi yeniden başlat. Adım adım: PHP2Shell konusu
Chrome, “kopyala-yapıştır tuzağına” (ClickFix) karşı uyaracak
- ClickFix, sahte “robot değilim” ya da “hata düzelt” sayfalarının seni bir komutu kopyalayıp Windows Çalıştır penceresine veya Terminal’e yapıştırmaya ikna ettiği dolandırıcılık yöntemi. Google, panoya kopyalanan komut tehlikeli görünürse Chrome’un çalıştırmadan önce uyarı göstereceğini duyurdu; özellik kademeli olarak geliyor.
- Uyarı yalnızca Gelişmiş Koruma (Enhanced Protection) açık olanlarda çalışıyor. Açmak için: Chrome → Ayarlar → Gizlilik ve güvenlik → Güvenlik → Gelişmiş koruma.
- Altın kural değişmedi: Bir web sayfası senden “şunu kopyala, Win+R’ye yapıştır, Enter’a bas” diyorsa, bu her zaman tuzaktır. Sayfayı kapat.
Bu haberlerden biri seni ya da şirketini etkiliyor mu? Aşağıya yaz, birlikte bakalım. (Lütfen sunucu adresi, IP, anahtar ya da şifre paylaşma.)
Kaynaklar: GitLab: GitLab resmi yama notu, The Hacker News. LiteLLM: LiteLLM resmi olay raporu, The Register, The Hacker News, Wiz. PHP2Shell: php.net, SecurityWeek, watchTowr, CISA KEV verisi. Chrome ClickFix: Google, The Hacker News, SecurityWeek. Kontrol tarihi: 22 Ekim 2026.