Haftalık Güvenlik Bülteni #4: Chrome ve Barracuda’da aktif sömürü, Apache httpd’de kritik açık

Kısaca

• Chrome 157.0.8103.50, Google’ın gerçek dünyada istismarı olduğunu söylediği CVE-2026-125350’yi (XML bileşeninde use-after-free, CVSS 8,8) kapatıyor. 10 Kasım’da KEV’e girdi, son tarih 24 Kasım. Edge ve Opera gibi Chromium tarayıcılar da etkileniyor.
• Barracuda’nın Email Security Gateway ve diğer cihazlarında CVE-2026-116606 ile CVE-2026-111560 zincirlenince root erişimi veriyor. İkisi de 10 Kasım’da KEV’e girdi; Barracuda az sayıda kurumda sömürü gördüğünü yazdı.
• OpenSSH 10.6p2, musl libc kullanan ve PAM’i kapalı Linux sistemlerde (ör. Alpine) parola doğrulamasını atlatan CVE-2026-123158’i kapatıyor. 9 Kasım’da KEV’e girdi; EPSS değeri 0,19 ile bu haftanın en yükseği.
• Apache httpd 2.4.55 ile 2.4.70 arasında mod_http2 üzerinden uzaktan kod çalıştırma açığı (CVE-2026-119618) var. 2.4.71 düzeltiyor. KEV’de değil, ama Red Hat varsayılan yapılandırmaya karşı güvenilir bir istismar gösterildiğini yazıyor.
• Outlook’taki CVE-2026-124194 (sahtecilik, CVSS 6,5) Microsoft’a göre sömürülüyor ve 10 Kasım güncellemesinde kapandı. CISA bu hafta KEV’e toplam 12 açık ekledi.

• 12 · KEV’e giren yeni açık · 9, 10 ve 13 Kasım’da, geçen hafta 3
• 9 · Chrome 157.0.8103.50’deki güvenlik düzeltmesi · Listelenen 8’inin 6’sı yüksek
• 426 · Red Hat’ın yeni CVE kaydı · 8 - 13 Kasım, 5’i kritik
• 4 · CVSS 9,8 alan KEV girişi · GPUStack, FreeSWITCH, IBM Aspera, Barracuda ESG
• 0,19 · OpenSSH açığının EPSS değeri · 97. yüzdelik dilim

Google Chrome: CVE-2026-125350

Chrome 157.0.8103.50 (Windows ve Mac’te .50/.51, Linux’ta .50) 9 Kasım’da kararlı kanala çıktı. CVE-2026-125350, XML bileşenindeki bir use-after-free hatası: hazırlanmış bir web sayfası tarayıcının korumalı alanı içinde kod çalıştırabiliyor. Google, bu açık için bir istismarın gerçek dünyada bulunduğunu belirtiyor. Chromium önem derecesini “yüksek” olarak verdi, NVD kaydındaki CVSS 3.1 puanı 8,8. CISA 10 Kasım’da KEV’e ekledi, federal kurumlar için son tarih 24 Kasım. CISA açığın Edge ve Opera gibi Chromium tabanlı tarayıcıları da etkileyebileceğini yazıyor; bu tarayıcıların düzeltilmiş sürümlerini bu çalışmada doğrulamadık, kendi güncelleme sayfalarından kontrol edin. Ev kullanıcıları da kurumlar da etkilenir. Chrome’da menüden Chrome Hakkında sayfasını açıp güncellemeyi indirin, sonra tarayıcıyı yeniden başlatın.

Barracuda: CVE-2026-116606 ve CVE-2026-111560

Barracuda, Email Security Gateway (ESG), Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall ve Web Security Gateway için iki açık duyurdu. CVE-2026-116606 yalnızca ESG’yi etkiliyor (CVSS 3.1: 9,8): yönetim arayüzüne erişebilen kimliği doğrulanmamış biri, yapılandırma içe aktarma işlevine hazırlanmış bir yedek dosyası yükleyip cihazın genel yapılandırmasını değiştirebiliyor. CVE-2026-111560’ta (CVSS 3.1: 7,2, Mandiant’ın 4.0 puanı 8,6) saat dilimi alanına yazılan komutlar root yetkisiyle çalışıyor; bunun için yönetici yetkisi gerekiyor. İkisi zincirlenince saldırgan cihazda root olabiliyor. Barracuda 9 Kasım’da, az sayıda kurumda sömürü gördüğünü ekledi. CISA ikisini de 10 Kasım’da KEV’e aldı, son tarih 13 Kasım’dı. Yamalar: ESG için BNSF-40425 (9.4.017 ve sonrası) ve BNSF-40430 (9.4.017 öncesi), ADC ve WAF için BNADC-16586, Message Archiver için BNMA-32468, WAF Control Center için BNWF-60060, Web Security Gateway için BNYF-24789. NVD kaydı ESG’de 9.4.0.030 öncesini etkilenmiş sayıyor. Yama hemen kurulamıyorsa Barracuda’nın önerisi, yönetim arayüzünü internete kapatıp yalnızca güvenilir iç ağdan erişilir kılmak. Kurumlar etkilenir.

OpenSSH sshd: CVE-2026-123158

OpenSSH 10.6p2 5 Kasım’da çıktı. sshd, musl libc ile çalışıp PAM kapalıysa (örnek: Alpine Linux), bazı hesap yapılandırmalarında 256 ile 1024 karakter arasındaki herhangi bir parola kabul ediliyor. CVE kaydındaki CVSS 3.1 puanı 8,1 (MITRE). CISA 9 Kasım’da KEV’e ekledi. EPSS 0,19 ile incelediğimiz açıklar arasında en yüksek değer bu. OpenSSH sürüm notunda kök nedeni sshd dışında gördüklerini, ama sshd tarafında önlenebildiğini yazıyor. NVD kaydı Alpine için 3.21.10, 3.22.8 ve 3.23.8 öncesini etkilenmiş sayıyor; Alpine’ın kendi duyuru sayfası bu çalışmada bulunamadı, paket sürümünü Alpine’dan doğrulayın. Kaynaklarda ayrıca bir geçici çözüm belirtilmiyor. İnternete açık sshd’de parola girişine ihtiyacınız yoksa kapatmak genel olarak iyi bir önlem, ama bu bizim önerimiz, üreticinin değil. Etkilenenler Alpine tabanlı sunucu ve konteyner işletenler, ev laboratuvarı kullanıcıları dahil.

Apache httpd mod_http2: CVE-2026-119618

Apache httpd 2.4.71, 11 Kasım’da çıktı ve üç açığı kapattı; biri kritik. CVE-2026-119618, mod_http2’deki assign_headers() işlevinde eşzamanlı iş parçacıklarının belleği bozmasıyla uzaktan kod çalıştırmaya yol açabiliyor. Etkilenenler: httpd 2.4.55 ile 2.4.70 ve GitHub’daki mod_h2 2.0.8 ile 2.0.42. NVD CVSS 3.1 puanı 8,1 (saldırı karmaşıklığı yüksek), Red Hat 9,8 veriyor. Red Hat ayrıca varsayılan yapılandırmadaki bir sunucuya karşı güvenilir bir istismarı gösteren herkese açık bir araştırma olduğunu yazıyor. KEV’de değil ve Apache duyurusu sömürüden söz etmiyor; EPSS 0,013. Red Hat’a göre yalnızca HTTP/1.1 sunan sunucular etkilenmiyor, yani Protocols yönergesinde h2 ya da h2c yoksa risk yok. RHEL 8 ve öncesi etkilenmiyor; RHEL 9 ve 10’da önem “önemli” ve düzeltmeler RHSA-2026:98981 (RHEL 9) ile RHSA-2026:98978 (RHEL 10) ile geldi. Web sunucusu işleten ev kullanıcıları da kurumlar da etkilenir.

Haftalık Güvenlik Bülteni #3

• 5 Kasım · OpenSSH 10.6p2 çıktı · CVE-2026-123158 düzeltmesi
• 7 Kasım · IBM Aspera Faspex 5.0.19 PL1 bülteni · CVE-2026-123218
• 9 Kasım · Chrome 157.0.8103.50 ve Apple 27.2.1 / 26.7.3 güncellemeleri çıktı · GPUStack, OpenSSH, FreeSWITCH ve IBM Aspera KEV’e girdi, Barracuda sömürü bilgisini ekledi
• 10 Kasım · Microsoft kasım güncellemesi · Chrome, Outlook, Barracuda (2), Cisco BroadWorks ve Openwave KEV’e girdi
• 11 Kasım · Apache httpd 2.4.71 çıktı · CVE-2026-119618 düzeltmesi
• 13 Kasım · UnrealIRCd ve Check Point KEV’e girdi · Cisco BroadWorks danışması güncellendi
• 16 Kasım · KEV son tarihi: UnrealIRCd ve Check Point
• 20 Kasım · KEV son tarihi: SonicWall CVE-2026-19868
• 24 Kasım · KEV son tarihi: Chrome, Outlook, Cisco BroadWorks, Openwave

Öncelik sırası

• Tarayıcıları güncelleyin · Chrome 157.0.8103.50 ya da sonrası. Edge ve Opera için kendi güncelleme sayfalarına bakın. Güncellemeden sonra tarayıcıyı yeniden başlatın.
• Barracuda cihazlarını yamalayın · ESG, ADC, WAF, Message Archiver, WAF Control Center ve Web Security Gateway için yukarıdaki yama numaraları. Yönetim arayüzünü internete kapatın.
• Alpine ve musl tabanlı sunucular · OpenSSH 10.6p2 ya da Alpine’ın düzeltilmiş paketi. Sürümü Alpine’ın duyurusundan doğrulayın.
• Apache httpd’yi 2.4.71’e getirin · Dağıtım paketi kullanıyorsanız dağıtımın güvenlik güncellemesini kurun. HTTP/2 kullanmıyorsanız h2 ve h2c’yi Protocols yönergesinden çıkarmak Red Hat’a göre sunucuyu etkilenmeyen gruba sokar.
• Windows ve Office · Kasım güncellemelerini kurun, Microsoft 365 Apps’i güncelleyin. Outlook açığı sömürülüyor.
• Telefonlar ve Apple cihazlar · iOS ve iPadOS 27.2.1 (eski cihazlarda 26.7.3), macOS Golden Gate 27.2.1, Tahoe 26.7.3. Android’de Kasım bülteninin 2026-11-05 yama düzeyi ya da sonrası olmalı.
• Sunucu ve kurumsal ürünler · GPUStack 2.2.0, FreeSWITCH 1.11.3, IBM Aspera Faspex 5.0.19 PL1, Cisco BroadWorks RI.2026.07, UnrealIRCd 6.2.7.1, Openwave Webtop Media Transcoder 1.1.22.0, Check Point için sk1000362. SonicWall’u #3’teki notla birlikte duyurudan kontrol edin.

• Chromium tabanlı bir tarayıcı kullanıyorum, Chrome açığı beni ilgilendirir mi? · CISA açığın Edge ve Opera gibi Chromium tarayıcıları da etkileyebileceğini yazıyor. Tarayıcınızın kendi sürüm sayfasından güncel olup olmadığını kontrol edin.
• Barracuda yönetim arayüzüm internete açık değil, yine de yama gerekir mi? · Barracuda, arayüzü internete kapalı kurumların bu saldırı yoluna daha az maruz kaldığını söylüyor. Yine de cihazların en güncel yazılımda olmasını ve yamaların kurulmasını öneriyor.
• Apache açığı KEV’de değil, acele etmeli miyim? · HTTP/2 açıksa evet. KEV’de olmamak sömürü olmadığını göstermez, yalnızca CISA’nın henüz doğrulamadığını gösterir. Red Hat varsayılan yapılandırmaya karşı çalışan bir istismar gösterildiğini yazıyor.
• EPSS ne demek? · FIRST’ün, bir açığın önümüzdeki 30 gün içinde sömürülme olasılığını tahmin eden puanı. 0,19 yaklaşık yüzde 19 demek. Puan her gün güncellenir.
• Bir sonraki bülten ne zaman? · Her hafta. Bu sayıdaki açıkların durumu bir sonraki sayıda yer alacak.