Kara Ekim: PHP CVE'leri, LiteLLM tedarik zinciri saldırısı ve zayıf CA anahtarları passkey için gerekçeyi ortaya koyuyor

Lakımın ardındaki dört olay

Ekim 2026, güvenlik çevrelerinde "Kara Ekim" lakabını aldı. Bir dev.to yazısı bu etiketin ardındaki olayları belgeliyor ve bu ayın, insanların parolardan ve SMS tabanlı kodlardan finally uzaklaştığı an olması gerektiğini savunuyor.

Yazıya göre ayı tanımlayan dört olay var:

• PHP2Shell: 21 Ekim'de bildirilen iki kritik PHP açığı, CVE-2026-109618 ve CVE-2026-109619. PHP web sitelerinin yaklaşık %70'ini çalıştırdığı için maruz kalınan risk çok büyük.
• LiteLLM tedarik zinciri saldırısı: yine 21 Ekim'de projenin release altyapısı ele geçirildi ve kötü niyetli PyPI paketleri iki saatten kısa süre boyunca indirilebilir kaldı.
• Zayıf sertifika otoritesi anahtarları: bir araştırmacı, sekiz eMudhra ara CA sertifikasının ardındaki private key'lerin o kadar zayıf olduğunu — birinin neredeyse 4 sayısından fazlası olmadığı bildiriliyor — ki sahte sertifikalar üretilebileceğini açıkladı.
• Tor üzerinden parola ele geçirme: 2 Ekim'den itibaren saldırganlar, 333 ele geçirilmiş Tor exit relay'i kullanarak SSH bağlantılarını araya girme sunucularına yönlendirdi ve parolaları topladı.

Passkey'ler yardımcı oluyor ama ancak yama sonrası

Yazar, passkey'lerin yukarıdaki olaylardan hiçbirini çözmediği konusunda net. Passkey'ler güvenlik açığı bulunan bir PHP runtime'ını onarmaz veya bulaşmış bir dependency'yi etkisiz hale getirmez; "passkey beni güvende tutuyor" sonucuna varan herkes önce yamalamaya gitmeli.

Passkey'lerin ortadan kaldırdığı şey, yazıya göre, bu tür olayları beslemeye devam eden bir saldırı kategorisinin tamamı: çalınan, phishing ile ele geçirilen ve yeniden oynatılan parolalar. Passkey, tek bir siteye kapsamlı bir anahtar çiftidir; private tarafı cihazınızda kalır, sunucu ise yalnızca public tarafını tutar. Bu nedenle bir veritabanı ihlali, saldırganın giriş yapabileceği hiçbir şey sızdırmaz; phishing sayfası gerçek domaine bağlı bir kimlik bilgisini ele geçiremez ve araya girme sunucusuna devredilecek bir kod yoktur.

FIDO Alliance'ın 2026 indeksinden alıntılanan benimseme rakamları da aynı yönü gösteriyor: başarılı girişlerin %36'sı artık passkey ile gerçekleşiyor ve bu girişler %93 başarıya ulaşırken, parola ve geleneksel multi-factor authentication için bu oran %78.

SMS kodları neden yetersiz kalıyor

Yazı en keskin eleştirisini SMS tabanlı 2FA için saklıyor ve beş başarısızlık modu sıralıyor: kodları saldırganın telefonuna yönlendiren SIM swap'ler, SS7 istismarı gibi telekom zayıflıkları üzerinden ele geçirme, taze bir kodu gerçek siteye aktaran gerçek zamanlı phishing (yazarın en yaygın durum olarak nitelediği senaryo), mesajları veya bildirimleri okuyan malware ve sürekli onay istemlerinin birini yıldırdığı push fatigue.

Kök sorun şu: altı haneli bir kod sadece bir metindir ve metin, yanlış site dahil herhangi bir yere yazılabilir. Passkey'ler bu deliği origin binding ile kapatır: tarayıcı veya işletim sistemi yalnızca gerçek domain için imza atar, böylece benzer görünen bir sayfa hiçbir şey elde edemez. Yazar bunu, Ağustos 2026'daki 4.532 phishing domain'i işleten Mirage2FA ve Kali365 device-code saldırıları gibi kampanyalarla ilişkilendiriyor; ikisi de passkey'lerin engelleyeceği faktörleri alt etti.

Sınırlar

Argümanın uyarıları da var. SMS veya e-postaya geri düşen hesap kurtarma, passkey'i tamamen devre dışı bırakabilir. Senkronize edilen passkey'ler, Apple veya Google hesabınızın risklerini büyütür. Ve yerel ele geçirme ayrı bir sorun olmaya devam ediyor: Black Hat'te Ağustos ayında sunulan SpecterOps'un "Pass-the-Passkey" araştırması, Windows 11, Entra ID, tarayıcılar ve password manager'lar genelinde, Microsoft'un Temmuz'da yamaladığı CVE-2026-34348 de dahil 20'den fazla tekniği katalogladı. Yazarın özeti şu: kriptografinin kendisi hiç kırılmadı — saldırganlar sadece daha maliyetli, cihaz içi operasyonlara itildi.

Araçlar konusunda yazı, Apple odaklı kullanıcılar için Apple'ın iCloud Keychain'ini öneriyor ve alternatifler olarak Google Password Manager, 1Password, Bitwarden, Dashlane ve Proton Pass gibi platformlar arası manager'lar, YubiKey gibi donanım anahtarları ve Windows Hello'ya işaret ediyor. Özet hükmü: hiç ikinci faktör olmamasından herhangi bir ikinci faktör daha iyidir ve SMS hâlâ yalın bir paroladan iyidir.

Kısa bir kontrol listesi

Yazının kapanış tavsiyeleri somut: PHP, Node.js ve GitLab'ı kullandığınız yerlerde yamalayın; LiteLLM ile temas etmiş tüm secret'ları döndürün; önce e-posta, Apple veya Google hesabınız, GitHub ve password manager'ınızda passkey'leri etkinleştirin; ikinci bir cihaz veya donanım anahtarı gibi bir yedek kurtarma yolu tutun; kimlik doğrulama geliştiriyorsanız WebAuthn desteği ekleyin.

Yazı ayrıca etkilenen yazılımların çoğunun, kaynakları zorlanan gönüllüler tarafından sürdürülen açık kaynak olduğunu ve bu yılın Hacktoberfest'inin — artık Major League Hacking ve DEV tarafından DigitalOcean ile yürütülüyor — pull request hacmini ödüllendirmeyi bıraktığını belirtiyor. Orada alıntılanan OpenSSF'nin yeni gelenler rehberi, ilk katkı için AI kodlama araçlarına yaslanmanın daha çok zarar verdiği konusunda uyarıyor.

Neden önemli

Kara Ekim aynı anda iki risk katmanını ortaya çıkardı: yalnızca yamlamanın çözeceği altyapı açıkları ve hiçbir yama takviminin tam olarak kapsayamayacağı kimlik bilgisi hırsızlığı. Passkey'ler ikinci katmanı küçültüyor ve artık — başarılı girişlerin üçte birinden fazlası — erken benimseyen seçeneği değil varsayılan öneri olacak kadar ana akım hale geldi. Ama uyarılar vaat kadar önemli: kurtarma yolları, bulut hesabı güvenliği ve endpoint malware'i, passkey dağıtımlarının gerçekte başarılı olduğu ya da başarısız olduğu alanlar.