Common Vulnerabilities and Exposures: bilinen her güvenlik açığına CVE-2026-12345 gibi bir kimlik veren, herkesin aynı açıktan söz edebilmesini sağlayan kamuya açık katalog.
Bir CVE numarası genellikle 0 ile 10 arasında bir önem puanıyla birlikte geliyor.
CVE-2026-119977 numaralı ve CVSS 8.1 puanlı açık, kimlik doğrulaması olmadan sunucuda kod çalıştırılmasına izin verebiliyor; federal kurumların yamayı 6 Kasım 2026'ya kadar uygulaması isteniyor.
VulnCheck, kimlik doğrulaması olmayan ve sistem komutları çalıştırabilen Node-RED açığının saldırganlar tarafından kullanılmaya başlandığını bildirdi; açık 10/10 CVSS puanıyla en yüksek ciddiyet derecesinde.
Yamaların en ciddisi, kullanıcı etkileşimi olmadan uzaktan kod çalıştırmaya yol açabilen CVE-2026-58868; bu açık Android 14'ten 17'ye kadar olan sürümleri etkiliyor.
Alpine Linux, 20-21 Ekim'de GitLab sunucusuna yapılan ve maksimum şiddette bir uzaktan kod çalıştırma açığını hedefleyen saldırı girişimlerinin ardından sunucusunu baştan kurdu ve tüm parolaları sıfırladı; 1.000'den fazla GitLab sunucusu hâlâ yamasız.
Ivanti, Connect Secure ağ geçitlerindeki iki açığı daha kapattı; bu açıklar, Ekim'de yamalanan kimlik doğrulama atlatma açığıyla birlikte saldırganların tam kontrolünü sağlamak için kullanılmıştı.
Yayımlanan bir istismar kodu, tek bir özel hazırlanmış SMS ile Android telefonların telefon sürecini çökertebildiğini gösteriyor; güncelleme alamayan cihazlar arama ve hücresel hizmet kaybedebilir.
CISA, iki Ivanti Connect Secure açığını aktif saldırılar nedeniyle bilinen istismar edilen açıklar listesine ekledi; Volexity'ye göre saldırganlar üç açığı birleştirerek kimlik doğrulaması olmadan kök düzeyinde kod çalıştırma yetkisi elde etti.
Sunucularda kimlik doğrulaması olmadan kod çalıştırılmasına izin veren bu açık 28 Ekim'de 7.1.4 sürümüyle yamalandı; saldırılar yama çıkmasından saatler içinde başladı ve 24 saatte 62.969 girişim engellendi.
Anthropic, yapay zekâ modeliyle açığı kullanan bir istismar yazdığını ve bunun kimlik bilgisi gerektirmeden kök yetkisi sağladığını açıkladı; Red Hat ise açığı 5.9 puanla orta önemde değerlendiriyor.
Saldırganlar CVE-2026-46300 açığını iki PHP açığıyla birleştirerek sunuculara webshell yerleştiriyor ve kök yetkisi elde ediyor; ABD federal kurumlarına yama için son tarih verildi.
Saldırgan, GitLab yaması çıktıktan bir hafta sonra Alpine’ın sunucusunu hedef aldı; GitLab’i güncellemek tek başına yetmedi çünkü açık Ruby’nin Onigmo regex motorundaydı.
Saldırganlar, Şubat ayında yamalanan maksimum önem dereceli CVE-2026-20127 açığını kullanarak kurumsal ağların kontrol sistemlerine KeyDrift zararlısını yerleştirdi; zararlının hedefi, siteler arası trafiği koruyan AES-256 anahtarlarını toplayıp saklamak.
Dream'in raporuna göre Çin bağlantılı şüpheli bir aktör, ABD, Japonya, Tayvan ve Güney Kore'deki 25 sunucuda root yetkisi elde etti; Palo Alto Networks ise aynı PHP2Shell açıklarının PAN-OS yönetim arayüzlerine karşı kullanıldığını bildirdi.
Lumen'in Black Lotus Labs ekibi, Çin bağlantılı Volt Typhoon grubunun 2023 sonundan beri kullandığı gizli yönlendirme ağını ve bu ağla bağlantılı en az dört zero-day kampanyasını ortaya çıkardı.
Google, dört kritik seviyedeki açığın da aralarında olduğu 52 güvenlik kusurunu Chrome 156 ile giderdi; Mozilla ise Firefox 159 ile 167 güvenlik kusurunu düzeltti.
TianoCore EDK II'deki PXE ağ önyükleme kodunda, 9.5 puanla derecelendirilen CVE-2026-97631 açığı, ağ üzerinden önyükleme yapılırken Secure Boot denetimlerinden önce saldırganın firmware'e erişmesine izin verebiliyor.
CVSS puanı 9.8 olan CVE-2026-101767, kimlik doğrulaması gerektirmeden uzaktan kod yürütmeye izin veriyor; Oracle, yamanın hemen uygulanmasını istiyor.
Microsoft'un Ekim güvenlik güncellemesi Windows, Office, Exchange, .NET ve Edge'de 1.415 açığı yamalıyor; 85'i kritik olarak sınıflandırılmış durumda, Windows Shell'deki bir açık ise sahada istismar edildi.
Anthropic, gerçek saldırılarda kullanılmamış ama lab ortamında işleyen istismar kodları üretildiğini ve açıkların ilgili şirketlere bildirilip yamalandığını açıkladı.
Microsoft, CVE-2026-80097 olarak izlenen ve CVSS'te 8,6 puan alan açığı 6.2606.4246 sürümüyle kapattı; kullanıcıların uygulamayı hemen güncellemesi isteniyor.