Web'in Görünmez Açığı! Brotli Güvenlik Hatası Node.js ve .NET Sistemlerini Tehdit Ediyor
Tiwiti10 | Siber Güvenlik | 1 Kasım 2026
İnternette ziyaret ettiğimiz web sitelerinin hızlı açılmasını sağlayan teknolojilerden biri, şimdi ciddi bir güvenlik tartışmasının merkezinde.
Google tarafından geliştirilen Brotli sıkıştırma teknolojisinin çözücü bölümünde kritik bir güvenlik açığı tespit edildi. CVE-2026-111497 kodlu açık Node.js, Microsoft .NET, Python ve Bun gibi farklı yazılım ekosistemlerini etkiliyor.
Singapur Siber Güvenlik Ajansı, 30 Ekim 2026 tarihinde yayımladığı uyarıda açığın saldırılarda kullanıldığına ilişkin bildirimler bulunduğunu açıkladı.
Brotli nedir?
Brotli, web sayfalarında kullanılan HTML, CSS ve JavaScript gibi dosyaların boyutunu küçültmeye yardımcı olan açık kaynaklı bir veri sıkıştırma algoritmasıdır.
Sayfaların daha hızlı yüklenmesine, internet trafiğinin azalmasına ve sunucu performansının iyileşmesine katkı sağlar.
Güvenlik açığı nasıl çalışıyor?
CVE-2026-111497, bellek sınırlarının dışına yazma olarak bilinen bir yazılım hatasından kaynaklanıyor.
Özel hazırlanmış bozuk bir Brotli veri akışı, savunmasız çözücünün bellek alanlarını hatalı kullanmasına neden olabilir.
Sonuç olarak uygulama çökebilir, işlem belleğindeki hassas bilgiler açığa çıkabilir veya uygun koşullarda uzaktan kod çalıştırma mümkün olabilir.
Hangi yazılımlar etkileniyor?
- Google Brotli 1.0.3 ile 1.2.0 arasındaki savunmasız sürümler.
- Node.js 22, 24 ve 26'nın ilgili güvenlik yamaları öncesindeki sürümleri.
- Bun 1.4.3 ve önceki sürümler.
- Python Brotli ve brotlicffi paketlerinin savunmasız sürümleri.
- Microsoft .NET 8, 9 ve 10'un güncelleme öncesi sürümleri.
- Belirli Envoy ve Istio sürümleri.
Saldırganlar bu açığı nasıl kullanabilir?
Bir saldırgan, savunmasız bir uygulamanın açmaya çalıştığı özel hazırlanmış Brotli verisini kullanarak bellek bozulmasına neden olabilir.
Bu durum sıkıştırılmış istek gövdelerini kabul eden sunucularda veya dış internet kaynaklarından Brotli yanıtlarını otomatik açan uygulamalarda risk oluşturabilir.
Gerçek saldırılar başladı mı?
Singapur Siber Güvenlik Ajansı 30 Ekim tarihinde aktif istismara ilişkin bildirimleri duyurdu. ABD CISA kurumu da 27 Ekim'de açığı Known Exploited Vulnerabilities kataloğuna ekledi.
Güvenlik araştırmacıları laboratuvar ortamında uzaktan kod çalıştırmayı gösterebildi. Ancak saldırı girişimlerinin tamamının başarılı olduğu veya yaygın veri hırsızlığı yaşandığı doğrulanmış değil.
Güvenlik güncellemeleri
| Yazılım | Düzeltilen sürüm |
|---|---|
| Node.js 22 | 22.23.4 |
| Node.js 24 | 24.22.1 |
| Node.js 26 | 26.12.1 |
| Bun | 1.4.4 |
| .NET 8 | 8.0.33 |
| .NET 9 | 9.0.22 |
| .NET 10 | 10.0.14 |
| Python Brotli | 1.2.1 |
Tablodaki sürümler ilk güvenlik düzeltmelerini gösterir. Daha yeni güvenlik sürümlerinin kullanılması önerilir.
Tiwiti10 projeleri için güvenlik notu
Firebase Hosting üzerinde yalnızca statik içerik sunmak bu Node.js açığından otomatik olarak etkilenmek anlamına gelmez. Ancak Cloud Run üzerinde savunmasız Brotli içeren Node.js sunucu uygulaması çalışıyorsa kullanılan temel imajın güncellenmesi, konteynerin yeniden oluşturulması ve tekrar dağıtılması gerekir.
Gizlilik ve kişisel veriler
Bellek bozulması, uygulama içinde bulunan oturum belirteçleri, API anahtarları ve geçici hassas bilgileri risk altına sokabilir. Bu nedenle güvenlik yamalarının yanında erişim anahtarlarının korunması da önemlidir.
💡 Bugün Ne Öğrendik?
Brotli sıkıştırma teknolojisinin çözücüsünde bulunan kritik bellek güvenliği açığı, birden fazla yazılım ekosistemini etkiliyor. Birçok platform için düzeltme yayımlandı. Sistemlerin güncel sürümlere geçirilmesi gerekiyor.
İnternetin geleceği ve güvenlik
Açık kaynak yazılımlar internetin gelişmesinde büyük rol oynuyor. Ancak ortak kullanılan kütüphanelerdeki hatalar farklı projelere yayılabiliyor. Bu nedenle yazılım tedarik zinciri güvenliği geleceğin en önemli teknoloji konularından biri olacak.
Tiwiti10 okurlarına soruyoruz
Sizce teknoloji şirketleri kullandıkları açık kaynak yazılımların güvenliğinden ne ölçüde sorumlu olmalı? Yorumlarınızı paylaşın.
Kaynaklar
- Singapur Siber Güvenlik Ajansı – 30 Ekim 2026
- Node.js güvenlik duyurusu – 21 Ekim 2026
- Datadog – Teknik güvenlik analizi
- Bun – Güvenlik duyurusu
- Envoy – Güvenlik duyurusu
- Microsoft .NET – Güvenlik sürümleri
- SecurityWeek – Saldırı girişimleri
Editör notu: Güvenlik açığının ilk düzeltmeleri 21 Ekim 2026 tarihinde yayımlandı. Bu haberdeki güncel gelişme, 27-30 Ekim tarihlerinde yayımlanan istismar uyarılarıdır. Etki, savunmasız Brotli çözücüsünü kullanan uygulama ve yapılandırmalara bağlıdır.
Kayıtlar
