Yama düğmesinin hâlâ tehlikeli olduğu an

Bir olay müdahalesinde en sinir bozucu cümle şudur: 'Yamayı dün akşam geçtik.' Çünkü çoğu zaman saldırgan yamadan önce gelmemiştir, yamanın tam ortasında gelmiştir. Bugünün sayısında iki haber aynı sahneyi farklı dekorla oynuyor.

WordPress çekirdeğindeki CVE-2026-119977 için CISA sahada istismarı doğruladı. Açığın şartı garip ve öğretici: saldırganın hesabına gerek yok, ama sitenin tam paket çekirdek güncellemesi yaptığı kısa pencereyi yakalaması gerekiyor. Yani siteyi düzeltmeye çalıştığınız an, siteyi en savunmasız bıraktığınız an. Wordfence'in ilk 21 saatte 18.500'den fazla isteği, son 24 saatte de 12.632 engellenmiş denemeyi saydığı düşünülürse, bu pencereyi tarayan biri var.

Debian ve Ubuntu'nun APT'sindeki CVE-2026-109518 de benzer bir hikâye anlatıyor, yalnız sahne paket kurulumu. Saldırgan trafiği değiştirebiliyorsa, sunucuyu geçici hatalar ve yönlendirmelerle yeniden denemeye zorlayıp doğrulanmış paketin yerine kendi paketini koyabiliyor ve kod root olarak çalışıyor. Debian düzeltti; Ubuntu ise öğleden sonra hâlâ izlediği sekiz sürümü savunmasız gösteriyordu. Duyuruların hiçbiri geçici bir çözüm sunmuyor.

Benim takıldığım yer şu: ikisinde de savunma sırası ters çalışıyor. Güvenlik ekipleri 'önce önceliklendir, sonra yamala' der. Oysa burada önceliği belirleyen şey yamanın nasıl yapıldığı. Güncellemeyi trafiğin ortasında, açık internete bakan bir sunucuda, yönlendirmeyi kimin yaptığını bilmediğiniz bir yansıdan çekiyorsanız, düğmeye basmak da riskin parçası.

SonicWall tarafı bu tabloya üçüncü bir ders ekliyor: bazı açıklar için yama hiç gelmeyecek. Ömrü dolan GMS'in iki açığı düzeltilmeyecek ve üretici NSM'ye geçmeyi öneriyor. Bu bir yama sorunu değil, envanter sorunu. Elinizde kaç ürünün destek tarihi bittiğini bilmiyorsanız, yama takviminiz yalnızca bildiklerinizi koruyor.

Bugün sahada yapılacak iş sıkıcı ve net. Güncellemeyi kısa bir bakım penceresine alın, pencere sırasında yönetim arayüzünü dış erişime kapatın, paket kaynaklarını HTTPS ve güvenilir yansılarla sınırlayın, sonra günlüklere dönüp pencerenin içinde ne olduğuna bakın. Yama bittiğinde iş bitmiyor; yamanın açık kaldığı dakikaları incelemek gerekiyor.

Hüküm: yamayı geciktirmek kadar, yamayı savunmasız yapmak da bir hata. İkisi arasındaki farkı belirleyen şey, güncellemeyi bir olay gibi planlamanız. Güncellemeyi 'rutin bakım' diye gören ekip, saldırganın zaten düzenli takip ettiği bir pencereyi ona bırakmış olur.