Google'ın Brotli kütüphanesindeki CVE-2026-111497 açığı, Node.js'ten Microsoft .NET'e uzanan geniş bir yama zinciri başlattı. CVSS 4.0 puanı 9.2; şimdilik vahşi doğada sömürü bildirilmedi.
Google'ın geliştirdiği Brotli sıkıştırma kütüphanesinde bulunan bir bellek taşması açığı, geçtiğimiz hafta Node.js'ten Microsoft .NET'e, Python paketlerinden Visual Studio'ya kadar uzanan bir yama zinciri başlattı. CVE-2026-111497 numaralı ve "Node2Shell" adıyla anılan açığa Google'ın verdiği CVSS 4.0 puanı 9.2; Microsoft aynı açığı kendi ürünleri için CVSS 3.1 ölçeğinde 8.1 olarak derecelendirdi ve .NET ile Visual Studio tarafında "kritik" etiketi kullandı.
Teknik olarak sorun, Brotli çözücüsünde sınır dışına yazma (out-of-bounds write) hatasından kaynaklanıyor. Özel olarak hazırlanmış sıkıştırılmış veri çözücüye ulaştığında süreç çökebiliyor, bellek içeriği sızabiliyor veya kimlik doğrulaması olmadan kod çalıştırılabiliyor. Saldırı yüzeyi, sıkıştırılmış HTTP istek gövdeleri, güvenilmeyen sunuculardan dönen yanıtlar ve sıkıştırılmış dosyalar.
Neden önemli?
Bu açığın asıl zorluğu tek bir üründe olmaması. Brotli, uygulamaların içine gömülü gelen bir kütüphane; dolayısıyla "hangi sunucumu yamalayacağım" sorusunun cevabı düz bir liste değil. SecurityWeek'in derlediğine göre etkilenen Brotli sürümleri 1.0.3 ile 1.2.0 arası ve düzeltmeler 1.0.10, 1.1.1 ile 1.2.1 sürümlerinde yayımlandı.
- Node.js: 21 Ekim 2026 güvenlik sürümleriyle 22.23.4, 24.22.1 ve 26.12.1 sürümleri yayımlandı. Qualys'in notuna göre 25.x, 23.x, 21.x ve 20.x hatlarında düzeltme yok; desteklenen bir hatta geçmek gerekiyor.
- Microsoft: 25 Ekim 2026'da .NET 8.0.33, 9.0.22, 10.0.14 ve .NET 11 RC3 ile Visual Studio 2019, 2022 ve 2026 güncellendi. PowerShell 7.4, 7.5 ve 7.6 da listede.
- Python: PyPI tarafında Brotli 1.2.1 ve brotlicffi 1.2.1.0 düzeltilmiş sürümler. Bun, Envoy ve Istio da güncelleme yayımladı.
Kamuya açık izleme listesinde DuckDB, Apache Arrow, 7-Zip-zstd, p7zip ve EDK II gibi projelerin henüz yamalanmadığı belirtiliyor; listenin eksik olduğu da ayrıca not düşülmüş. Olumlu taraf şu: SecurityWeek'e göre bugüne kadar vahşi doğada sömürü bildirilmedi. Imperva, resmî Node.js 24.22.0 Linux arm64 imajında kod çalıştırmayı gösterdi ancak denemelerin her zaman başarılı olmadığını belirtti ve istismar kodunu yayımlamadı.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'de KOBİ'lerin çoğu Node.js veya .NET'i doğrudan "kurmuyor" — bunlar web sitesinin, ERP arayüzünün, müşteri portalının ya da bir tedarikçi uygulamasının altında geliyor. Pratikte risk taşıyan yerler, dış dünyaya açık web uygulama sunucuları, API uç noktaları ve ters vekil (reverse proxy) katmanları. Bir diğer kritik nokta: yazılımı siz geliştirmiyorsanız yamayı da siz geçemezsiniz; bu durumda sorumluluk tedarikçinizde ve ondan tarih almanız gerekiyor.
Kamer Bilişim olarak ne öneriyoruz?
- Önce envanter çıkarın, sonra yama planlayın. Hangi sunucuda hangi Node.js ve .NET sürümünün çalıştığını listeleyin. İnternete açık uygulamaları önceliklendirin; iç ağdaki sistemler ikinci sırada gelebilir.
- Tedarikçinize yazılı olarak sorun. Dışarıdan aldığınız web yazılımı, ERP veya portal için CVE-2026-111497 kapsamında güncellenmiş sürüm tarihini isteyin. Bu yazışma aynı zamanda KVKK veri güvenliği yükümlülüğünüz açısından kayıt niteliği taşır.
- Desteği bitmiş sürümleri gündeme alın. Node.js 20.x ve öncesi için düzeltme yayımlanmıyor. Bu hatlarda çalışan bir uygulamanız varsa yama değil sürüm yükseltme planı gerekiyor; bunu bütçe döneminde ele almak sonradan acil müdahaleden ucuza geliyor.
İstanbul Anadolu Yakası'ndaki ofisiniz veya üretim tesisiniz için sunucu envanteri çıkarılması, yama planının hazırlanması ve tedarikçi takibi konusunda destek isterseniz iletişim sayfamız üzerinden bize ulaşabilirsiniz.
Kaynak: SecurityWeek, 26 Ekim 2026; Qualys Blog, 23 Ekim 2026
Kaynak: SecurityWeek