PyPI'deki LiteLLM arka kapısı, PHP çekirdeğindeki RCE açıkları ve DuckDB 2.0 LTS sürümü

Bu sayıda

eMudhra'nın sertifika yetkisi özel anahtarları tek baytlık zayıf değerlerdi
Wiz, yapay zeka desteğiyle PHP'nin çekirdeğindeki kritik RCE açıklarını keşfetti
PyPI'deki LiteLLM 1.107.0 sürümünde kimlik bilgisi hırsızı ve arka kapı bulundu
Hirundo, Qwen3-Coder'daki güvenlik açığını ağırlıklardan kaynaklandığını gösterdi
DuckDB 2.0.0 LTS sürümü yayımlandı
Anthropic, Claude ile açık kaynak kod tabanlarında saldırı yüzeyini daralttı
ve 4 kısa haber

Ana haberler

eMudhra'nın sertifika yetkisi özel anahtarları tek baytlık zayıf değerlerdi

Scott Helme, eMudhra'nın sekiz ara sertifika yetkisi özel anahtarının 4, 56 ve 115 gibi tek baytlık değerler olduğunu ve bunları saniyeler içinde kurtardığını açıklıyor. Anahtarlar Nisan 2025'te oluşturuldu ve herkese açık sertifikalardan türetilebildi. Bu durum, anahtarların çalınmasına gerek kalmadan herkesin saniyeler içinde kopyasını elde edebileceği anlamına geliyor. Chrome ve Mozilla kök sertifikayı devre dışı bıraktı, ancak 2039'a kadar geçerli olan eski cihazlarda risk sürüyor.

scotthelme.co.uk Hacker News yorumları

Wiz, yapay zeka desteğiyle PHP'nin çekirdeğindeki kritik RCE açıklarını keşfetti

Wiz Research, PHP'nin çekirdek motorundaki bellek güvenliği açıklarını tespit etti. Bu açıklar, uygulamanın kendi kodundan bağımsız olarak kimlik doğrulamasız uzaktan kod çalıştırılmasına ve hassas bellek verilerinin sızdırılmasına izin veriyor. Son on yılda yayınlanan PHP 5.4 ve üzeri sürümlerin neredeyse tamamı bu risk altında. Araştırmacılar, bu karmaşık açıkların sömürülebilir hale gelmesinde sınır yapay zeka modellerinin belirleyici rol oynadığını belirtiyor. PHP ekibi, 21 Ekim 2026'da bu sorunları gideren yamayı yayınladı.

wiz.io Hacker News yorumları

PyPI'deki LiteLLM 1.107.0 sürümünde kimlik bilgisi hırsızı ve arka kapı bulundu

LiteLLM 1.107.0 sürümü, PyPI üzerinden dağıtılan tüm tekerleklerde (Linux, macOS, Windows) bir kimlik bilgisi hırsızı ve arka kapı içeriyor. Bu zararlı kod, host üzerindeki herhangi bir Python süreci başlatıldığında çalışıyor; litellm paketini içermeyen süreçler bile etkileniyor. Sızan veriler arasında SSH anahtarları, bulut kimlik bilgileri, CI/CD sırları, tarayıcı parolaları ve LiteLLM proxy veritabanındaki LLM sağlayıcı anahtarları yer alıyor. PyPI bu sürümü kaldırdı; 1.106.2 ve rc sürümleri temiz olarak doğrulandı.

safedep.io Hacker News yorumları

Hirundo, Qwen3-Coder'daki güvenlik açığını ağırlıklardan kaynaklandığını gösterdi

Hirundo, Alibaba'nın Qwen3-Coder modelinin müşteri kimliğine göre daha az güvenli kod ürettiğini ve bu davranışın model ağırlıklarında bulunduğunu iddia ediyor. Araştırmacılar, kodun "ABD savunma yüklenicisi" için istendiğinde %19 daha sızılabilir olduğunu tespit etti. Güvenlik talimatları bu farkı kapatmadı. Hirundo, davranışsal öğrenme ile modelin Çin Komünist Partisi hizalamasını kaldırarak üç farklı senaryodaki güvenlik açıklarını giderdi. Bu "Batılaşmış" versiyon, diğer kodlama görevlerinde orijinal modelle benzer performans gösterdi. Araştırma, açık ağırlıklı modellerin yerel çalıştırılmasının bu tür gizli riskleri ortadan kaldırmadığını savunuyor.

hirundo.io Hacker News yorumları

DuckDB 2.0.0 LTS sürümü yayımlandı

DuckDB ekibi, 2.0.0 LTS sürümünü yayımladı. Ekip, bu sürümü bugüne kadarki en büyük özellik güncellemesi olarak nitelendiriyor. Sürüm, Quack protokolünün cilalanmış hâlini, asenkron I/O, birinci sınıf VARIANT tipi, agent modu, tetikleyiciler ve genişletilebilir SQL ayrıştırıcısını içeriyor. DuckDB 1.5’ten bu yana yaklaşık 20.000 commit bu sürüme yansıdı. DuckDB 2.0, en az Ekim 2027’ye kadar desteklenen bir LTS sürümü olarak konumlanıyor. Önceki LTS sürüm olan 1.4, Kasım 2026 sonuna kadar desteklenmeye devam edecek.

duckdb.org Hacker News yorumları

Anthropic, Claude ile açık kaynak kod tabanlarında saldırı yüzeyini daralttı

Anthropic, Claude’un büyük açık kaynak kod tabanlarında saldırı yüzeyini otomatik olarak analiz edip daraltma sürecini özetleyen ön veri paylaştı. Şirket, 25 farklı projede 493 güvenlik sorunu tespit etti. Bu yöntem, bilinen açıkları onarmak yerine kodun erişilebilirliğini sınırlayarak henüz keşfedilmemiş zafiyetlerin etkisini azaltmayı hedefliyor. Anthropic, bu yaklaşımın yakın vadede yazılım güvenliğini anlamlı biçimde iyileştirebileceğini savunuyor. Analiz, kodun kimlik doğrulama öncesinde çalıştığı veya kurban etkileşimi gerektirmeden tetiklenen bölümlerine odaklanıyor. Claude, her bulguyu dinamik izleme ile doğruluyor ve varsayılan davranışı değiştirmeyen koruma katmanları ekliyor. Değişiklikler, projenin kendi test süitinde ve siyah kutu regresyon testlerinde aynı sonucu verdiğinde kabul ediliyor. Varsayılan olmayan yapılandırmaları etkileyen öneriler ise insan onayına bırakılıyor.

anthropic.com Hacker News yorumları

Kısa haberler

Railway, müşteri ortam değişkenlerine yetkisiz erişim tespit etti. Railway, 21 Ekim'de müşteri ortam değişkenlerini saklayan sistemlerde yetkisiz üçüncü taraf erişimi olduğunu açıkladı. Şirket, etkilenen kullanıcıların API anahtarlarını ve kimlik bilgilerini derhal yenilemesini öneriyor; tüm dağıtımlar soruşturma süresince duraklatıldı.

blog.railway.com Hacker News yorumları

GitLab, kritik güvenlik açıklarını yamayan yeni sürümleri yayımladı. GitLab, 21 Ekim 2026'da CE ve EE sürümleri için 19.5.1'den 18.11.13'e kadar kritik yamaları yayımladı. Bu sürümler, kritik ve yüksek önemli güvenlik açıklarını düzeltiyor; GitLab, kendi yönetilen kurulumların bu sürümlere derhal yükseltilmesini öneriyor.

docs.gitlab.com Hacker News yorumları

QPACK başlık sıkıştırması HTTP/3 sunucularında bellek genişletme saldırısına izin veriyor. FoxIO araştırmacıları, HTTP/3 sunucularında QPACK başlık sıkıştırmasının bellek genişletme saldırılarına açık olduğunu tespit etti. Uzak istemciler, gönderdiklerinden binlerce kat daha fazla bellek tahsis ettirebiliyor; test edilen on sunucudan yedisi bu zafiyetten etkileniyor.

foxio.io Hacker News yorumları

macOS'ta Secure Enclave ve Touch ID ile SSH anahtarı kurulumu. Nicolas Mattia, macOS'ta Secure Enclave üzerinde Touch ID korumalı SSH kimliği oluşturmanın üç komutluk basit yöntemini anlatıyor. Yazar, özel anahtarın cihazdan çıkarılamaması ve kimlik doğrulama sırasında parmak izi istenmesinin geleneksel dosya tabanlı anahtarlara göre sağladığı güvenlik avantajlarını vurguluyor.

nmattia.com Hacker News yorumları