Bunny CDN, sağlayıcı ihlalının ardından Ermenistan düğümünü sildi ve TLS sertifikalarını yeniledi

Bunny CDN, kendi ağı içinde değil altyapı tedarikçilerinden birinde başlayan bir güvenlik olayını açıkladı; şirket, bu olay nedeniyle Ermenistan'daki bir CDN edge düğümünü silmek ve platform genelinde TLS sertifikalarını yenilemek zorunda kaldı. 28 Ekim 2026'da Bunny'nin durum sayfasında yayımlanan güvenlik güncellemesine göre, tedarikçi üçüncü taraf sunucu yönetim yazılımıyla ilgili yetkisiz erişim bildirdi ve Bunny'nin CDN düğümlerinden biri, bu tedarikçinin sağladığı bir sunucu üzerinde çalışıyordu. Açıklama daha sonra Hacker News'in ana sayfa akışı üzerinden gündeme geldi.

Bunny'nin yanıtı

Bunny, ilgili altyapı sağlayıcısının veya yönetim yazılımının adını vermedi. Uyarıyı aldıktan sonra mühendislik ekibi, trafiğin etkilenen makineye yönlendirilmesini 20 dakika içinde durdurdu, inceleme için ilgili güvenlik kayıtlarını korudu, sunucuyu güvenli biçimde sildi, sunucunun Bunny sistemlerinin geri kalanına erişimini iptal etti ve donanımı şirket altyapısından kalıcı olarak çıkardı.

Bunny'nin incelemesi, CDN düğümüne veya verilerinden herhangi birine erişildiğine dair bir kanıt bulamadı; sağlayıcı da sunucu için aynı sonucu bildirdi. Ancak sağlayıcının incelemesi hâlâ açık ve Bunny, düğüme erişilmiş olma ihtimalini tamamen dışlayamadığını kabul ediyor.

Risk altında olanlar

Düğüm ele geçirilmiş olsaydı, Bunny'ye göre maruz kalınacak veriler o tek sunucuda tutulan üç kategoride sınırlı kalacaktı: CDN cache'inde geçici olarak duran içerikler, düğümde bulunan Pull Zone yapılandırmaları ve orada saklanan TLS sertifikaları. Şirket, makinede hiçbir bunny.net hesap verisi tutulmadığını ve dahili sistemlerinden hiçbirinin etkilenmediğini belirtiyor.

Sertifika yenileme sürüyor

Önlem olarak Bunny, platform alan adlarını (b-cdn.net ve bunny.run) kapsayan tüm TLS sertifikalarını iptal edip yeniden verdi. Müşterilerin özel alan adlarına ait yönetilen sertifikaların yenilenmesi, duyuru yayımlandığında hâlâ sürüyordu ve tamamlanmasının yaklaşık 24 saat alması bekleniyordu. Yönetilen sertifika kullanan müşterilerin bir şey yapması gerekmiyor; kendi sertifikalarını yükleyip yöneten müşterilere ise bunları iptal edip yeni private key'lerle yeniden vermeleri tavsiye ediliyor.

Bunny, altyapısını izlemeye devam ettiğini ve etkilenen sağlayıcıyla çalışmayı sürdürdüğini, incelemede yeni bir şey ortaya çıkarsa müşterileri e-posta ve durum sayfası aracılığıyla bilgilendireceğini belirtiyor.

Neden önemli

Bunny müşterileri için pratik çıkarım dar ama somut: kendi TLS sertifikalarınızı kullanıyorsanız bunları hemen yenileyin, çünkü Ermenistan düğümünde bulunmuş bir private key, erişim kanıtlanmamış olsa bile güvenli kabul edilemez. Diğer herkes ise yönetilen sertifikaların yenilenmesinin tamamlanmasını bekleyebilir.

Daha geniş açıdan bakıldığında olay, üçüncü taraf riskinin nasıl yayıldığını gösteriyor. Bunny'nin kendi savunmaları ayakta kalmış görünse de, tedarikçinin sunucu yönetim araçlarında yaşanan bir ihlal yine de acil düğüm silinmesini ve platform genelinde sertifika yenilenmesini gerektirdi. İki tasarım tercihi hasarı sınırlı tuttu: edge düğümlerinde hesap verisi veya dahili sistemler bulunmuyordu ve etkilenen sunucu daha geniş altyapıdan hızla koparılabilirdi. 20 dakikalık kontrol süresi, bu ayrımın neden önemli olduğunu gösteriyor — bir tedarikçi ihlalinin etki alanı, büyük ölçüde tek bir edge sunucusunun ne kadar az veri tuttuğuna ve ne kadar hızla koparılabildiğine bağlıdır.