Google, Chrome'un XML bileşenindeki CVE-2026-125350 açığını kapattı. Açık yama çıkmadan saldırılarda kullanılmıştı; Edge, Brave ve Opera kullanıcılarını da ilgilendiriyor.
Google, 10 Kasım 2026'da yayımladığı Chrome güncellemesiyle dokuz güvenlik açığını kapattı. Bunlardan biri olan CVE-2026-125350, yama çıkmadan önce saldırganlar tarafından kullanılmaya başlanmıştı. Google, bu açık için bir istismar kodunun gerçek saldırılarda bulunduğunu doğruladı. Açık, tarayıcının XML bileşenindeki bir "use-after-free" (serbest bırakılmış bellek alanına yeniden erişim) hatasından kaynaklanıyor ve CVSS ölçeğinde 8.8 puanla yüksek riskli olarak sınıflandırıldı (The Hacker News).
Pratikte olan şu: Kullanıcı özel olarak hazırlanmış bir web sayfasını açtığında saldırgan, tarayıcının korumalı alanı içinde kod çalıştırabiliyor. Açık, 6 Kasım'da kimliği açıklanmayan bir araştırmacı tarafından Google'a bildirildi ve dört gün içinde yamalandı.
Hangi sürüm güvenli?
157.0.8103.50 öncesi tüm Chrome sürümleri etkileniyor. Güvenli sürümler şöyle (Qualys):
- Windows ve macOS: 157.0.8103.50 veya 157.0.8103.51
- Linux: 157.0.8103.50
Açık Chromium motorunda olduğu için yalnızca Chrome kullananları ilgilendirmiyor. Microsoft Edge, Brave, Opera ve Vivaldi kullanıcılarının da kendi tarayıcıları için yayımlanan güncellemeleri uygulaması gerekiyor. Kurumsal ortamlarda varsayılan tarayıcı çoğunlukla Edge olduğu için bu ayrıntı önemli.
Neden ciddiye almak gerekiyor?
Bu, Google'ın 2026 boyunca kapattığı ve fiilen istismar edildiği doğrulanan sekizinci Chrome sıfır gün açığı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, açığı Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi ve federal kurumlar için 24 Kasım 2026 yama son tarihi belirledi. KEV listesine girmek, açığın teorik bir risk değil, sahada kullanılan bir saldırı yöntemi olduğunun resmî teyidi anlamına geliyor.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'deki küçük ve orta ölçekli işletmelerde iş yükünün büyük bölümü tarayıcı içinde dönüyor: e-fatura portalları, banka ekranları, bulut muhasebe, webmail, ERP arayüzleri, uzak masaüstü paneli. Tarayıcı artık sadece bir uygulama değil, şirketin kimlik bilgilerinin ve oturum çerezlerinin tutulduğu yer. Buna rağmen pek çok firmada tarayıcı güncellemesi tamamen çalışanın inisiyatifine bırakılmış durumda; "daha sonra" denip haftalarca ertelenen bir yeniden başlatma, bu tür bir açıkta aradaki tek farkı oluşturuyor.
KVKK tarafında da sonucu var. Tarayıcı üzerinden ele geçirilen bir oturumla müşteri veya personel verisine erişilmesi, kişisel veri ihlali kapsamına girer ve veri sorumlusunun Kurula bildirim yükümlülüğünü doğurur. "Yama yayımlanmıştı ama uygulanmamıştı" tablosu, idari değerlendirmede lehe bir durum değildir.
Kamer Bilişim olarak ne öneriyoruz?
- Tarayıcı güncellemesini çalışanın insafına bırakmayın. Chrome Enterprise veya Edge için grup ilkesi (GPO) ile otomatik güncellemeyi zorunlu kılın ve yeniden başlatma için en fazla 48 saatlik bir süre tanımlayın. Bu, tek seferlik bir ayar; her açıkta yeniden uğraşmanızı ortadan kaldırır.
- Sürüm envanteri çıkarın ve doğrulayın. Kaç cihazda hangi tarayıcı sürümünün çalıştığını bilmiyorsanız, yamanın uygulanıp uygulanmadığını da bilemezsiniz. Tek tek kontrol için chrome://settings/help yeterli; filo genelinde ise merkezi yönetim veya uzaktan izleme aracı üzerinden raporlayın.
- Tarayıcıyı tek savunma hattı saymayın. Eklenti kurulumunu beyaz listeye bağlayın, DNS seviyesinde zararlı alan adı filtrelemesi uygulayın ve uç nokta koruma çözümünüzün tarayıcı süreçlerini izlediğinden emin olun. Sıfır gün açığının tanımı gereği yama gelene kadar geçen süre vardır; o süreyi katmanlı savunma kapatır.
Şirketinizdeki tarayıcı ve uç nokta güncelleme politikasını gözden geçirmek, mevcut sürüm envanterinizi çıkarmak veya merkezi yama yönetimine geçmek için iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, Türkiye genelinde uzaktan destek veriyoruz.
Kaynak: The Hacker News, Qualys ThreatPROTECT, CISA Known Exploited Vulnerabilities Catalog
Kaynak: The Hacker News