Haftanın 5 güvenlik açığı: PHP2Shell, VeloCloud, Collabora, Plex ve Node.js

5. Node.js: Brotli çözücüde uzaktan kod çalıştırma

Node.js'in paketlediği Brotli çözücüdeki hata, saldırgan tarafından hazırlanmış veriyle uygulamada uzaktan kod çalıştırılmasına yol açabiliyor. Imperva, Node2Shell adlı kavram kanıtını resmi Node.js 24.22.0 Linux arm64 imajında, debugger veya özel derleme olmadan çalıştırdı. Proje 21 Ekim 2026'da 22.x, 24.x ve 26.x desteklenen hatları için on güvenlik düzeltmesi yayımladı. Üç hattı da en son güvenlik sürümlerine güncelleyin ve Brotli ile işlenen veri gelen uygulamaları kontrol edin.

4. Plex Media Server: zincirlenebilir dört KEV açığı

CISA, Plex Media Server'a ait dört açığı Known Exploited Vulnerabilities listesine ekledi; hepsinin sömürüldüğü bildirildi. CVE-2026-96655 ve CVE-2026-96652, kimliği doğrulanmış saldırganların '/video/:/transcode/universal' yolu ya da 'protocol' parametresiyle iç veya dış adreslere istek göndermesine yol açıyor. CVE-2026-96654, diğer eklentilerin işlevlerinin çağrılmasını sağlıyor. CVE-2026-96656 ise yönetici hesabıyla keyfi dosya yazılmasına ve bu dosyanın yüklenirken çalıştırılmasına imkân veriyor. Bu açıklar birbirine zincirlenebildiği için Plex'i güncelleyin ve dört açığın tümünü kapatın.

3. Collabora Online: Nextcloud CODE sunucusunda komut enjeksiyonu

Nextcloud platformu içinde çalışan Collabora Online'ın yerleşik CODE sunucusunda OS komut enjeksiyonu açığı bulunuyor; bu açık uzaktan kod çalıştırmaya yol açabiliyor. CISA, açığın aktif olarak sömürüldüğünü gerekçe göstererek KEV listesine ekledi ve üretici talimatlarına uygun mitigasyonların uygulanmasını istedi. Nextcloud yöneticileri CODE sunucusunun çalışma durumunu kontrol etmeli ve sömürüm sonrası operasyonel adımları planlamalı.

2. Arista VeloCloud Orchestrator: sömürülen üçüncü sıfır gün

Arista VeloCloud Orchestrator, SD-WAN ağlarının merkezi yönetim sistemi. Arista'nın 22 Ekim 2026 tarihli bildirimine göre saldırganlar VCO'daki SQL enjeksiyonu sıfır gününü sömürüyor. Açık, orchestrator'a erişebilen — hatta yalnızca okuma yetkili müşteri hesabıyla girebilen — saldırganlara öncelikli dahili işlevlere ve operatör yetkilerine erişim sağlıyor. CISA açığı KEV listesine ekledi; bu, dört ayda sömürülen üçüncü VCO sıfır günü. VCO yamasını veya üretici mitigasyonunu hemen uygulayın, yönetim erişimini sınırlandırın ve orchestrator günlüklerini inceleyin.

1. PHP2Shell: milyonlarca sisteme yönelik sömürü denemeleri

PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle yayımlanan acil güncellemeler, PHP2Shell adı verilen iki kritik RCE açığını kapatıyor. PHP ekibi yalnızca güncellemenin sunucuyu tam olarak koruduğunu belirtiyor. Açıklar, hesabı olmayan saldırganın web sunucusunda kod çalıştırmasına imkân veriyor ve PHP tarafından 9.2 CVSS ile puanlanıyor. Amazon'un tehdit istihbaratı, açıklamadan dört gün önce 17 Ekim'de bir sömürü denemesi kaydetti; saldırılar milyonlarca sistemi tarıyor ve Mirai botnet varyantı Potassium da bu açıkları kullanmayı deniyor. PHP sürümlerinizi bugün güncelleyin ve web sunucularınızı yeniden başlatın.