Furkan Özay

Yazılım Geliştirici & Eğitmen
[email protected]
Proje teklifleri için [email protected]
Eğitmenlik ve işbirlikleri için [email protected]

[Furkan Özay @czaydev]

3. PHP güvenlik ekibi bunun pratikte çok nadir bir yapılandırma olduğunu belirterek acil yama çıkarmadı.

4. Çözüm tek satır:
php.ini dosyanızda şu ayarı kapatın:
session.upload_progress.enabled = 0

Sunucularınızda bu ayarı kontrol ettiniz mi?

[Furkan Özay @czaydev]

PHP'de iki gün önceki acil güncellemenin ardından bu sabah yeni bir açık duyuruldu (CVE-2026-115560).

Ancak panik yapacak bir durum yok, teknik detaylar şöyle 🧵👇

[Furkan Özay @czaydev]

1. Açık genel bir HTTP zaafı değil; PHP'nin oturum serileştirme (session serialization) mekanizmasından kaynaklanıyor.

2. Uygulamanız session.serialize_handler ayarını runtime'da ini_set() ile değiştirip session_start() çağırıyorsa risk oluşuyor.

[Furkan Özay @czaydev]

4. İkinci savunma: Veritabanındaki otomatik artan (1, 2, 3...) sıralı integer ID'leri asla URL parametresi yapmayın. Sıralı ID yerine UUIDv7 veya Nanoid kullanın.

Sen projelerinde endpoint'leri IDOR testinden geçiriyor musun?

[Furkan Özay @czaydev]

Web sitende /invoices/1042 diye bir sayfa var. Kullanıcı adresteki sayıyı 1043 yapınca başka bir müşterinin faturasını ve adresini görüyorsa geçmiş olsun 🧵👇

[Furkan Özay @czaydev]

3. Kodu patlatan açık:
❌ SELECT * FROM invoices WHERE id = :id;

Olması gereken güvenli sorgu:
✅ SELECT * FROM invoices WHERE id = :id AND user_id = :userId;

[Furkan Özay @czaydev]

Bir açık ne zaman 10.0 alır?
Saldırgan şifresiz, internet üzerinden tek istekle sunucunda kod çalıştırabiliyorsa (RCE), o açık doğrudan 10.0 alır.

Tüm teknik analiz ve yama rehberi:
🔗 https://t.co/GleLS32RjI

[Furkan Özay @czaydev]

Haberlerde veya GitHub bildirimlerinde sürekli gördüğün "CVE-2026-..." kodları ve 10 üzerinden verilen güvenlik puanları gerçekte ne anlama geliyor?

Bir açığa 10.0 tam puan ne zaman verilir? 🧵👇

[Furkan Özay @czaydev]

1. CVE (Common Vulnerabilities and Exposures):
Dünyadaki her yazılım açığına verilen evrensel kimlik numarasıdır (Örn: CVE-YIL-NUMARA).

2. CVSS (0.0 - 10.0 Skoru):
Açığın tehlikesini ölçer. 9.0 ve üzeri doğrudan "Kritik" kabul edilir.

[Furkan Özay @czaydev]

Türkiye'deki tüm ödeme sağlayıcıları (iyzico, PayTR, Parampos vb.) için bu mimariyi, callback doğrulamalarını ve net hata yönetimini tek çatıda topladığımız açık kaynak paketimiz:

🔗 https://t.co/yGivxtB0JD

#backend #fintech #yazilim #opensource

[Furkan Özay @czaydev]

1. İstemci her ödeme niyeti için benzersiz bir UUID üretir (Idempotency-Key).
2. Backend isteği alınca bu anahtarı Redis'te kontrol eder.
3. Anahtar yoksa işlemi yapar ve sonucu Redis'e yazar.
4. 2. ve 3. istek gelirse, para çekmeden Redis'teki ilk başarılı yanıtı döner.

[Furkan Özay @czaydev]

Kullanıcı 'Ödeme Yap'a bastı, interneti takıldı, sinirlenip 3 kere daha bastı.

Güvenliği sadece frontend'de butonu pasif (disable) yapmaya bıraktıysan geçmiş olsun; o karttan 3 kere para çekildi bile.

Bunu backend'de kesin çözmenin tek yolu: Idempotency-Key 🧵👇

[Furkan Özay @czaydev]

• Oracle & Atlassian: Oracle 1.295, Atlassian 176 güvenlik yaması geçti.
• eMudhra & Fortinet: Ara sertifika sızıntılarına karşı altyapı önlemleri alındı.

Güvenlik ertelenemez; sunucu, bağımlılık ve tarayıcılarınızı hemen güncelleyin.

#siberguvenlik #backend #devops #infosec

[Furkan Özay @czaydev]

Son 48 saatte backend, tarayıcı ve kurumsal altyapı tarafında adeta eş zamanlı bir güvenlik alarmı yaşandı.

Gözden kaçıranlar için kapatılan devasa açıkların özeti 🧵👇

[Furkan Özay @czaydev]

• PHP: Doğrulamasız sunucuda kod çalıştırma (RCE).
• GitLab: Maksimum tehlike skoru (CVSS 10.0) ile sunucu ele geçirme.
• Node.js: RCE ve DoS dahil 10 güvenlik açığı.
• Chrome 156: Tek güncellemede tam 353 zafiyet.
• Signal: Aramada mikrofonu açık bırakan mantık hatası.

[Furkan Özay @czaydev]

2. Java / OpenJDK (CVE-2026-91403 - CVSS 9.1):
eMudhra CA'daki zayıf anahtarlar yüzünden JVM'in trust store'unu aldatan sahte HTTPS sertifikaları üretilebiliyor. Dış API çağrılarınız MitM riski altında.

OpenJDK paketlerinizi hemen güncelleyin.

[Furkan Özay @czaydev]

PHP'deki RCE krizinin hemen ardından bugün hem Node.js hem de Java tarafında acil güvenlik yamaları duyuruldu.

Canlı sunucularınızda Node.js veya Java çalıştırıyorsanız kontrol etmeniz gereken detaylar 🧵👇

[Furkan Özay @czaydev]

1. Node.js (CVE-2026-111497 - RCE):
Brotli decoder'daki out-of-bounds write hatası, kötü niyetli sıkıştırılmış veriyle bellek sızıntısına veya sunucuda kod çalıştırmaya yol açıyor.

Yamalı sürümler:
• 26.12.1
• 24.22.1
• 22.23.4

[Furkan Özay @czaydev]

Yamalı sürümler:
• 8.5 -> 8.5.12
• 8.4 -> 8.4.27
• 8.3 -> 8.3.36
• 8.2 -> 8.2.35

PHP 8.1 ve altı EOL olduğu için resmi yama almayacak (OS backport veya acil upgrade gerekiyor). Canlı sunucularınızı vakit kaybetmeden güncelleyin.

[Furkan Özay @czaydev]

PHP çekirdeğinde 9.2 CVSS skoruna sahip iki kritik RCE zafiyeti duyuruldu (PHP2Shell). PoC exploit'leri sızdırıldığı için risk seviyesi en üst düzeyde.

PHP-FPM, Apache mod_php, FrankenPHP ve LiteSpeed kullanan tüm sunucular doğrudan etkileniyor. 🧵👇

[Furkan Özay @czaydev]

Zafiyetler:
1. CVE-2026-109618: memory_limit aşımında OOM handling sırasında hafıza bozulması ve yetkisiz RCE.
2. CVE-2026-109619: Worker'larda sıfırlanmayan global state sonucu sonraki istekte kod çalıştırma.