Bu hafta Estonya'da bir süpermarket buzluğunda sıcaklık 50°C'ye ulaştı ve bu bir arıza değil, bir siber saldırıydı. Altı ülke bir gece boyunca hedef alındı. İrlanda'daki mağazalar soğukta saklanan tüm gıdalarını çıkarttı, Belçika'da bir etçi yüzlerce kilo eti attı ve bu iş yerlerinin bazıları 2026 yılında bile varsayılan şifreleri kullanıyordu. Bu, insanların siber güvenlik hakkında anlamadığı şey: Artık sadece kripto paranız veya şifrelerinizle ilgili değil. Bir yerde oturan biri, bir dizüstü bilgisayarıyla bir ülkenin tüm gıda tedarikini bozabilir. Sonraki siber saldırı cüzdanınızı boşaltmayabilir, ama bu sefer buzdolabınızı boşaltabilir.

Birisi, yüzünüzün basılı bir fotoğrafıyla telefonunuzu açabilir ve çoğu insan bunun farkında bile değil. Çoğu Android telefonu, yüzü açmak için temel bir 2D kamera kullanır; kızılötesi yok, derinlik algılama yok, sadece düz bir görüntü eşleşmesi. Araştırmacılar yıllardır basit bir fotoğrafın bunu atlamak için yeterli olduğunu kanıtlıyor. Bu, "güvenlik" bankacılık uygulamalarınızın, kripto cüzdanlarınızın, anahtar cümlenizin ve tüm hayatınızın önünde duruyor. Her kullandığınızda, ön kameranız yüzünüzün bir karesini işliyor ve bunu hiç açmadığınız sistem klasörlerinde yerel olarak saklıyor. Şifrelenmemiş, korunmamış, sadece orada duruyor. Doğru derinlik algılama özelliği olmayan bir cihazda yüzü açma özelliğini kullanıyorsanız, bugün parmak izi veya güçlü bir PIN'e geçin. Yüzünüz, asla sıfırlayamayacağınız tek parola.

İndirdiğiniz hesaplarınızı korumak için kullandığınız uygulama, hesabınızın hacklenmesinin nedeni olabilirdi. Android'teki Microsoft Authenticator, zararlı uygulamaların herhangi bir izin gerektirmeden çalışma hesabınıza erişim belirteçlerini çalmasına izin veren bir zafiyete sahipti. Telefonunuzda çalışan bu uygulama, istediği gibi hareket edebiliyor. Bu hata, uygulamalar arasında kimlik doğrulama işlemini yöneten broker bileşenindeydi. Bu bileşen düzgün kontrol yapmıyordu, bu nedenle herhangi bir rastgele uygulama girebilir ve belirteçleri kendi sahibiymiş gibi alabilirdi. Microsoft bu sorunu zaten giderdi (CVE-2026-80097, CVSS 8.6 — yüksek ciddiyette). Ancak son zamanlarda Authenticator uygulamanızı güncellememişseniz hâlâ maruz kalabilirsiniz. Burada beni en çok etkileyen kısım şu: İnsanlar, güvenli bir şey yaptıklarını söylenince Authenticator uygulamalarını kurarlar ve gerçekten de öyledir. Ancak güvenlik aracının kendisinde bir delik olduğunda, çoğu kişi bunu kontrol etmeye bile düşünmez. Uygulamalarınızı güncelleyin. Sadece telefon işletim sisteminizi değil, uygulamalarınızı da güncelleyin. Özellikle en çok güvendiğiniz uygulamaları. Çünkü bunlara dikkat etmeyi bırakırsınız.

Birkaç gün önce internette neler olduğunu anlatan bir gönderi yaptım ve 2,3 milyon görüntülenme aldı. O zamandan beri durum daha da kötüleşti. Otai'nin rastgele keşfettiği Brotli zafiyeti mi? Geliştikçe, şimdi HTTP2Shell olarak adlandırılıyor ve tüm büyük tarayıcıları, tüm işletim sistemlerini, Discord, Slack, VS Code, 1Password gibi uygulamaları etkiliyor. Hâlâ her şey için düzeltme yok. Cloudflare CEO'su, "Her hafta gökyüzünün çöküş gibi hissedileceğini" söyledi. Polymarket, bu ay daha fazla büyük zafiyetin açıklanıp açıklanmayacağını tahmin etmek için bir bahis havuzu açtı. Hackerlar, Latin Amerika'daki 400'den fazla bankaya aynı anda AI modelleriyle saldırılar düzenledi. 24 saat, mola yok. X'te, telefon numaranızı girerek bir yabancının hesabına girebileceğiniz bir hata vardı. Keystone donanım cüzdanı, Shopify API'si aracılığıyla ele geçirildi; müşteri isimleri ve ev adresleri sızdı. Bir Japon bulut şirketi 27.000 sunucuyu kaybetti ve Japonya ilk kez askeri seviyede siber savunma aktif hale getirdi. Tarayıcınızı güncelleyin. Uygulamalarınızı güncelleyin. Şifrelerinizi değiştirin. 2FA'yı her yerde etkinleştirin. Ekim hâlâ bizi bırakmadı.

Bir geliştirici, PHP açıkları bulunan bir sunucuya 2.000 dolar bitcoin koydu ve tüm internete bunu çalmayı teklif etti. 17 saat sonra para hâlâ orada. İnsanlar sunucuyu çökertiyor, ancak kimse açıkları gerçekleştiremiyor. Marcus Hutchins'in GitHub'da sahte AI üretilmiş açıkları eleştirdiğine dair yazdığım şeyi hatırlıyor musunuz? İşte kanıt. Açık gerçek. Ancak onu kullanmak tamamen farklı bir hikaye. 2.000 dolar, bozuk bir sunucuda duruyor ve tüm internet bunu dokunamıyor.

Tek bir hata, kullandığınız tüm tarayıcıları, tüm işletim sistemlerini ve neredeyse tüm uygulamalarınızı hileye karşı maruz bıraktı. OpenAI, kendi sistemlerini kırmızı takım testi yaparken rastgele keşfettiği Brotli hatası açıklığı, artık "node2shell" olarak bilinenden daha ileriye gitti ve araştırmacılar tarafından HTTP2Shell olarak adlandırılıyor; etki alanı devasa. Artık tek bir kütüphane değil, konuşuyoruz. Chrome, Edge, Firefox gibi tüm büyük tarayıcılar. iOS dahil tüm işletim sistemleri. Discord, Slack, VS Code, 1Password, Notion gibi Electron uygulamaları. Görüntü araçları, PDF okuyucuları, arşiv yazılımları, AI masaüstü uygulamaları, hatta curl bile. Temel olarak, internete bağlanan veya sıkıştırılmış verileri işleyen her şey muhtemelen etkileniyor. Orijinal CVE-2026-111497 zaten kötüydü: yetkilendirme öncesi uzaktan kod yürütme, zararlı sıkıştırılmış veriler aracılığıyla. Ancak kapsam, günlük kullandığınız neredeyse her şeye yayıldı. Düzeltmeler hâlâ tüm etkilenen hizmetler için mevcut değil. Hemen her şeyi güncelleyin. Önce tarayıcılar, ardından masaüstü uygulamaları, ardından geliştirme araçları. Bugün bir güncelleme sunan bir şey varsa, soru sormayın, sadece yükleyin. İnternet, çatlamış bir temel üzerinde çalışıyor ve çatlaklar tamamen büyüdü.

Bu IT görevlisi, gece yarısı tamamen bir ransomware saldırısından bir şirketin tamamını kurtardı ve bu hikâye çılgınca. Erkek arkadaş, tam olarak Netflix izlerken telefonu sunucu uyarılarıyla çıldırmaya başladı. Uzaktan erişim yaptı ve şirket dosyalarının gerçek zamanlı olarak birer birer isimlerini değiştirip, her şeyin anlamsız bir karışım haline geldiğini izledi. Bu adam araba anahtarlarını kavradı ve çılgınca ofise doğru sürdü. 00:20'de orada, tamamen karanlık bir ortamda, elleri titreyerek 40 bilgisayardan LAN kablolarını elle çıkarmaya başladı. Her ekrandaki fidye notu: "Bitcoin cinsinden aylık tüm kârınızı 72 saat içinde ödemeyin, aksi takdirde dosyalarınızı sileceğiz." Patronu aradı ve "Öde, Pazartesi için bu dosyalara ihtiyacımız var," dedi. O, hayır dedi. Ödeme yapan şirketler tekrar hedef alınır. Yedekten geri yükleme yapmaya çalıştı, ancak yedek sunucusu da vurulmuştu. Aynı ağ, aynı ransomware. Adamın aklı tamamen boşaldı. Ama bir son şansı vardı. Her Çarşamba, eve giderken el ile şirket verilerini bir harici sabit diske yedekliyor ve bunu masasının çekmecesinde tutuyordu. Zaman kaybı gibi hissettiği için neredeyse bu alışkanlığı bırakacaktı. Çekmecedeki o sabit disk, tüm şirketi kurtardı. Hafta sonu boyunca her şeyi yeniden kurdu, Pazartesi sabahı tüm gönderiler gönderildi. Patronu gülerek, "Bitcoin'i göndermediğin için memnunum," dedi. Gelecek hafta masasına iki tane daha sabit disk düştü. Yapmak istemeyen, sıkıcı alışkanlık, tek işe yarayan şeydi.

OpenAI, milyonlarca sunucuyu tehdit edebilecek bir hata rastgele keşfetti ve hatta bunu aramıyorlardı. Yapay zeka modellerinin eğitim sırasında internete erişimini engellemeye çalışırken, bunlar için tamamen çevrimdışı bir dünya oluşturdu. Bu kurulumu kırmızı takım testi sırasında, internette en çok kullanılan sıkıştırma kütüphanelerinden biri olan Brotli'de bir zafiyet keşfettiler. Bu hata, saldırganın herhangi bir oturum açma veya kullanıcı hesabı gerekmeden, zararlı sıkıştırılmış veri göndererek etkilenen herhangi bir sistemde kendi kodunu çalıştırmasına izin verir. Brotli, Node.js, Bun, Envoy ve sıkıştırılmış web trafiği işleyen neredeyse her şeyde yerleşik olarak bulunur. Hata teknik olarak Şubat'ta düzeltildi, ancak o dönemde bunun bir güvenlik sorunu olduğu bilinmiyordu. Bu nedenle aylarca düzeltme mevcuttu, ancak neredeyse kimse bunu rutin bir güncelleme gibi gördüğü için uygulamadı. Bazen en korkutucu keşifler, aramadığınız zamanlar gerçekleşir.

Buna “Kara Ekim” diyorlar ve insanlar bunun ne kadar ciddi olduğunu fark etmiyor gibi. Son 48 saat içinde 27'den fazla büyük siber güvenlik olayı yaşandı. Bir ayda değil. Bir haftada değil. 48 saat içinde. Bu olayların her biri normalde yılın en büyük haberi olurdu. PHP: Web'in %80'ini çalıştıran yazılımda kritik bir zafiyet. Şiddeti 10 üzerinden 9,2. Node.js: Saldırganların sunuculara uzaktan hakim olmasına izin veren yüksek şiddetli bir hata. 22, 24 ve 26 sürümlerini etkiliyor. Java: Aynı şekilde compromite edildi. Dünyanın en çok kullanılan üç programlama dili aynı anda hedef alındı. GitLab: 2014'ten beri tüm sürümlerde 10 üzerinden tam puanlık bir açıklık. Railway: Barındırma platformu compromite edildi. OpenAI, Claude, Stripe için API anahtarları ortaya çıkabilir. Signal: Arama sona erdikten sonra mikrofonunuzun ve kameranızın açık kalmasına neden olabilecek bir hata. WordPress: Hackerlar bir eklenti üreticisinin anahtarlarını çaldı ve web sitelerine arka kapılar yerleştirdi. LiteLLM: Günlük 3,4 milyon kez indirilen bir AI aracına şifre çalıcı bulaştı. Ve bu liste bile yarısından az. Binlerce AI ajanı sürüsünün, şu anda zafiyetli sunucuları tarayıp saldırdığı bildiriliyor. Otomatik. 24 saat boyunca. Güvenlik araştırmacıları, bu olayın henüz tamamen anlaşılamayan küresel bir siber olayın erken aşamaları olabileceğini söylüyor. Bir web sitesi işletiyorsanız, bulut hizmetleri kullanıyorsanız, API anahtarlarınızı barındırma platformlarında saklıyorsanız veya PHP, Node.js veya Java üzerinde inşa edilmiş herhangi bir yazılım kullanıyorsanız, muhtemelen etkileniyorsunuz. Tümünü güncelleyin. API anahtarlarınızı değiştirin. Kritik hizmetlerde şifrelerinizi değiştirin. Henüz etkinleştirmemişseniz, her yerde İki Aşamalı Doğrulama'yı açın. Bu, internette normal bir hafta değil. Bu farklı bir şey.

Revolut yine mi, bro? İsimler, adresler, pasaport fotoğrafları ve kripto işlem geçmişi sızan bir veri ihlali. Birkaç hafta önce. Bu sızan veriler nedeniyle biri, 800 bin dolarlık bir hırsızlık için bıçakla tehdit edildi. Geçen hafta. Şimdi ise milyonlarca kullanıcıyı etkileyen bir hizmet kesintisi. “Para ve verileriniz güvende” diyorlar. Bu noktada, insanlar ciddi sorular sormadan önce Revolut’ın yanlış nedenlerle kaç kez haberlerde yer almalı? Verileriniz sızıyor. Hizmetiniz düşüyor. Ve aldığınız tek şey “herhangi bir rahatsızlık için özür dileriz.” 800 bin dolarlık bir hırsızlık bir rahatsızlık değil, bro.