Furkan Özay

Yazılım Geliştirici & Eğitmen
[email protected]
Proje teklifleri için [email protected]
Eğitmenlik ve işbirlikleri için [email protected]

[Furkan Özay @czaydev]

3. CalVer & Git Hash:
Ubuntu (24.04 -> 2024 Nisan) veya JetBrains versiyonu tarihe göre verir (CalVer). Modern CI/CD boru hatlarında ise numara yerine doğrudan commit hash (v-a4b8c1) kullanılır.

Sen projelerinde hangi stratejiyi uyguluyorsun?

[Furkan Özay @czaydev]

Bir kütüphane kurarken gördüğün 1.4.2 ya da 0.1.0 gibi sayılar rastgele mi veriliyor sanıyorsun?

Versiyonlama standartlarını bilmemek canlı sistemleri tek bir npm update ile uçurabilir 🧵👇

[Furkan Özay @czaydev]

2. Peki 0.1.0 nedir? (ZeroVer):
Başı sıfırla başlayan sürümler "Bu kütüphane henüz resmi olarak stabil değil, yarın API'ı tamamen değiştirebilirim, canlıda dikkat et" mesajıdır.

[Furkan Özay @czaydev]

3. PHP güvenlik ekibi bunun pratikte çok nadir bir yapılandırma olduğunu belirterek acil yama çıkarmadı.

4. Çözüm tek satır:
php.ini dosyanızda şu ayarı kapatın:
session.upload_progress.enabled = 0

Sunucularınızda bu ayarı kontrol ettiniz mi?

[Furkan Özay @czaydev]

PHP'de iki gün önceki acil güncellemenin ardından bu sabah yeni bir açık duyuruldu (CVE-2026-115560).

Ancak panik yapacak bir durum yok, teknik detaylar şöyle 🧵👇

[Furkan Özay @czaydev]

1. Açık genel bir HTTP zaafı değil; PHP'nin oturum serileştirme (session serialization) mekanizmasından kaynaklanıyor.

2. Uygulamanız session.serialize_handler ayarını runtime'da ini_set() ile değiştirip session_start() çağırıyorsa risk oluşuyor.

[Furkan Özay @czaydev]

4. İkinci savunma: Veritabanındaki otomatik artan (1, 2, 3...) sıralı integer ID'leri asla URL parametresi yapmayın. Sıralı ID yerine UUIDv7 veya Nanoid kullanın.

Sen projelerinde endpoint'leri IDOR testinden geçiriyor musun?

[Furkan Özay @czaydev]

Web sitende /invoices/1042 diye bir sayfa var. Kullanıcı adresteki sayıyı 1043 yapınca başka bir müşterinin faturasını ve adresini görüyorsa geçmiş olsun 🧵👇

[Furkan Özay @czaydev]

3. Kodu patlatan açık:
❌ SELECT * FROM invoices WHERE id = :id;

Olması gereken güvenli sorgu:
✅ SELECT * FROM invoices WHERE id = :id AND user_id = :userId;

[Furkan Özay @czaydev]

Bir açık ne zaman 10.0 alır?
Saldırgan şifresiz, internet üzerinden tek istekle sunucunda kod çalıştırabiliyorsa (RCE), o açık doğrudan 10.0 alır.

Tüm teknik analiz ve yama rehberi:
🔗 https://t.co/GleLS32RjI

[Furkan Özay @czaydev]

Haberlerde veya GitHub bildirimlerinde sürekli gördüğün "CVE-2026-..." kodları ve 10 üzerinden verilen güvenlik puanları gerçekte ne anlama geliyor?

Bir açığa 10.0 tam puan ne zaman verilir? 🧵👇

[Furkan Özay @czaydev]

1. CVE (Common Vulnerabilities and Exposures):
Dünyadaki her yazılım açığına verilen evrensel kimlik numarasıdır (Örn: CVE-YIL-NUMARA).

2. CVSS (0.0 - 10.0 Skoru):
Açığın tehlikesini ölçer. 9.0 ve üzeri doğrudan "Kritik" kabul edilir.

[Furkan Özay @czaydev]

Türkiye'deki tüm ödeme sağlayıcıları (iyzico, PayTR, Parampos vb.) için bu mimariyi, callback doğrulamalarını ve net hata yönetimini tek çatıda topladığımız açık kaynak paketimiz:

🔗 https://t.co/yGivxtB0JD

#backend #fintech #yazilim #opensource

[Furkan Özay @czaydev]

1. İstemci her ödeme niyeti için benzersiz bir UUID üretir (Idempotency-Key).
2. Backend isteği alınca bu anahtarı Redis'te kontrol eder.
3. Anahtar yoksa işlemi yapar ve sonucu Redis'e yazar.
4. 2. ve 3. istek gelirse, para çekmeden Redis'teki ilk başarılı yanıtı döner.

[Furkan Özay @czaydev]

Kullanıcı 'Ödeme Yap'a bastı, interneti takıldı, sinirlenip 3 kere daha bastı.

Güvenliği sadece frontend'de butonu pasif (disable) yapmaya bıraktıysan geçmiş olsun; o karttan 3 kere para çekildi bile.

Bunu backend'de kesin çözmenin tek yolu: Idempotency-Key 🧵👇

[Furkan Özay @czaydev]

• Oracle & Atlassian: Oracle 1.295, Atlassian 176 güvenlik yaması geçti.
• eMudhra & Fortinet: Ara sertifika sızıntılarına karşı altyapı önlemleri alındı.

Güvenlik ertelenemez; sunucu, bağımlılık ve tarayıcılarınızı hemen güncelleyin.

#siberguvenlik #backend #devops #infosec

[Furkan Özay @czaydev]

Son 48 saatte backend, tarayıcı ve kurumsal altyapı tarafında adeta eş zamanlı bir güvenlik alarmı yaşandı.

Gözden kaçıranlar için kapatılan devasa açıkların özeti 🧵👇

[Furkan Özay @czaydev]

• PHP: Doğrulamasız sunucuda kod çalıştırma (RCE).
• GitLab: Maksimum tehlike skoru (CVSS 10.0) ile sunucu ele geçirme.
• Node.js: RCE ve DoS dahil 10 güvenlik açığı.
• Chrome 156: Tek güncellemede tam 353 zafiyet.
• Signal: Aramada mikrofonu açık bırakan mantık hatası.