25 Ağustos 2026'da ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-60004'ü Bilinen İstismar Edilen Güvenlik Açıkları (Known Exploited Vulnerabilities) kataloğuna ekledi ve federal sivil kurumlar için düzeltme son tarihi olarak 28 Ağustos'u belirledi. Açık, birçok ekibin bulut hizmeti kullanmak yerine kendi altyapısında çalıştırdığı, kod depolarını barındırmaya yönelik açık kaynaklı bir sunucu olan Gitea'da bulunuyor.

Tanımlayıcının kendisi bir işletme sahibi için hiçbir şey ifade etmiyor. Anlamı başka yerde. Bu, müşterilerinizin gördüğü web sitesinde ya da mobil uygulamanızda bir açık değil. Teknik ekibin dışında kimsenin asla açmadığı bir iç araçta bulunan bir açık. Ve oraya sızmak, web sitenize sızmanın asla açmayacağı kapıları açar.

Gerçekte ne oldu

Gitea geliştiricilerinin yayımladığı güvenlik bildirimine göre açık, herhangi bir depoya sıradan yazma erişimi olan bir kullanıcının diffpatch uç noktasına özel olarak hazırlanmış bir yama göndermesine olanak tanıyor. Bu, sunucuya çalıştırılabilir bir Git hook yerleştiriyor ve ardından hizmetin çalıştığı hesap adına kabuk komutları çalıştırıyor. 1.17 ile 1.27.0 arasındaki sürümler etkileniyor ve düzeltme 1.27.1 ile geldi.

Kritik ayrıntı, giriş eşiğinin ne kadar düşük olduğu. Bir depoya yazma erişimi nadir bir ayrıcalık değil ve kendi kendine kaydın açık olduğu varsayılan yapılandırmada herkes bir hesap oluşturup bu eşiğe kendi başına ulaşabilir. Bu yüzden ABD Ulusal Güvenlik Açığı Veritabanı (NVD) açığa CVSS ölçeğinde 10 üzerinden 9.8 puan veriyor; bu puan, uzaktan istismar edilebilen, karmaşık kimlik doğrulama gerektirmeyen ve gizliliği, bütünlüğü ve erişilebilirliği tamamen tehlikeye atan açıklara ayrılmıştır.

Aynı bildirim, başarılı bir istismarın koddan çok daha fazlasını açığa çıkardığını belirtiyor: kimlik bilgileri, sırlar, veritabanları, bağlanmış depolar, OAuth belirteçleri ve sunucunun erişebildiği iç hizmetler. Saldırgan elinde metin dosyalarıyla ayrılmıyor. Sunucunun ağınızdaki konumunu devralıyor.

Bir kod sunucusu neden web sitenizden daha tehlikelidir

Web siteniz, insanların görmesini istediğiniz şeyleri barındırır. Kod sunucunuz ise geri kalan her şeyi çalıştıran şeyleri barındırır. Pratikte bu iç sistemler genellikle şunları bir araya toplar:

  • Fiyatlandırma mantığı, indirim kuralları ve yetki kontrolleri dahil olmak üzere sistemlerinizin kaynak kodu.
  • Veritabanı parolalarını, ödeme ağ geçidi anahtarlarını ve devlet API kimlik bilgilerini taşıyan yapılandırma dosyaları ve ortam değişkenleri.
  • Bir güncellemeyi doğrudan üretim sunucularına gönderebilen dağıtım anahtarları.
  • İnternete hiç açık olmayan diğer makinelere iç ağ erişimi.

Bu bileşim, ele geçirilmiş bir kod sunucusunun münferit bir olay değil, bir fırlatma rampası olduğu anlamına gelir. Dağıtım anahtarlarınızı elinde tutan bir saldırganın muhasebe sisteminize sızmasına gerek yoktur. Ona yalnızca kendi imzaladığı bir güncelleme göndermesi yeterlidir.

Asıl boşluk: kimsenin sahiplenmediği sistemler

Orta ölçekli şirketlerin çoğunda güvenlik incelemesinden geçen sistemlerin listesi, yöneticinin bildiği listedir: web sitesi, uygulama, ERP, e-posta. Depo sunucusu, sürekli entegrasyon çalıştırıcısı, iç izleme paneli ve birinin iki yıl önce hızlı bir test için kurduğu geçici dosya sunucusu, belirlenmiş bir sahibi olmayan sistemlerdir. Onlara yama yapmaktan kimse sorumlu değildir, kimin erişimi olduğunu kimse bilmez ve hiçbir envanterde yer almazlar.

Saldırganların faaliyet gösterdiği yer tam olarak burasıdır. Kimsenin sahiplenmediği bir araç, kimsenin güncellemediği bir araçtır ve kimsenin güncellemediği bir araç, düzeltme yayımlandıktan sonra aylarca açık kalır. Buradaki zaman çizelgesine bakın: düzeltme 1.27.1 ile yayımlandı ve aktif olarak istismar edilen açık olarak listelenmesi haftalar sonra geldi. Bir düzeltmenin kullanılabilir olması ile uygulanması arasındaki boşluk, bir ihlalin yaşadığı alandır.

Bu hafta ne yapmalı

Bu kapıyı kapatmak büyük bir güvenlik programı gerektirmez. Teknik ekibinizin ya da tedarikçinizin birkaç günde tamamlayabileceği dört adım gerektirir:

  • Sunucularınızda çalışan her iç sistemin yazılı bir envanterini isteyin; her birinin adı belirtilmiş bir sorumlusu olsun, bir departman değil bir kişi.
  • Çalıştırdığınız her açık kaynaklı aracın sürüm numarasını ve en son ne zaman güncellendiğini sorun. Gitea kullanıyorsanız, 1.27.1 veya sonraki bir sürümde olduğunuzu doğrulamak iki dakikalık bir sorudur.
  • Her iç araçta kendi kendine kaydı kapatın. Bir kod sunucusundaki kayıt sayfasının internete açık olması için hiçbir operasyonel neden yoktur.
  • Rahatsız edici bir soru sorun: Bu sunucudaki sırlar bugün çalınsaydı, hepsini değiştirmek kaç gün sürerdi? Bir cevap yoksa, cevap yapamayacağınızdır.

Buna bir de düzenleyici boyut ekleyin. Şirketin iç sistemleri genellikle müşterilere ya da çalışanlara ait kişisel veriler taşır ve bu verileri korumak, Kişisel Verilerin Korunması Kanunu (PDPL) kapsamında kuruluşun yasal bir yükümlülüğüdür. Bir geliştirici aracında başlayıp müşteri veritabanınızda sona eren bir ihlal, şirket içi teknik bir mesele olarak değerlendirilmez.

Origami'nin görüşü

Bu olayı, her projede tekrarladığımız bir şeyin teyidi olarak okuyoruz: güvenlik, bitmiş ürüne eklenen bir özellik değil, ürünün nasıl inşa edildiğinin bir niteliğidir. Ayakta kalan bir şirketle düşen bir şirket arasındaki fark, kaç koruma aracı satın aldığı değil, ne çalıştırdığını, bunun sahibinin kim olduğunu ve en son ne zaman güncellendiğini bilip bilmediğidir.

Bu yüzden sistem envanterini, sorumlu atamasını ve bir yama politikasını isteğe bağlı bir ek olarak değil, teslimatın bir parçası olarak ele alıyoruz. Her aracın hangi sürümünü çalıştırdığını bir saat içinde yanıtlayabilen bir şirketin gerçek bir operasyonel avantajı vardır, çünkü bu haftaki gibi bir duyuru geldiğinde, bunu öğrenmek için bir hafta harcamak yerine kendisini ilgilendirip ilgilendirmediğini hemen bilir.

Sonuç

Bir düzenleyiciyi kesin bir son tarih belirlemeye iten açık, müşteriye dönük bir arayüzde değildi. Gözden uzak olduğu varsayılan bir iç araçtaydı. Ders şu: sunumda asla yer almayan sistemler, anahtarları elinde tutan sistemlerdir. Envanterle başlayın, her sisteme bir sahip verin ve yama yapmayı bir manşete verilen tepki değil, bir rutin hâline getirin. Bu tür olaylardan sağ çıkan şirketler daha akıllı değildir. Sadece neye sahip olduklarını bilirler.

Kaynaklar