ZoomEye 90.626 herkese açık indekslenmiş Jupyter notebook sunucusu buldu

İnternet genelinde bir parmak iziyle eşleşen 90.626 sunucu

24 Eylül 2026'da dev.to'da yayımlanan bir analizeye göre, internet tarama motoru ZoomEye üzerinde yapılan bir arama, Jupyter Notebook çalıştıran 90.626 sunucuyla eşleşti. 21 Eylül'de çalıştırılan sorgu, yazılımın herkese açık erişilebilir örneğini saydı; yalnızca sonuna kadar açık bırakılanları değil. Bu nedenle bu rakam, doğrulanmış bir güvenlik açığı sayımı olarak değil, incelenmesi gereken nüfusun büyüklüğü olarak okunmalı.

Sayı gerçekte neyi kapsıyor

dev.to yazarı, ZoomEye'ı tüm alt türler arasında "Jupyter Notebook" uygulama parmak izini kullanarak sorguladı. Böyle bir parmak izi, bir sunucuda dinleyen yazılımı tanımlar ama kimlik doğrulamasının yapılandırılıp yapılandırılmadığını söyleyemez. Dolayısıyla sonuç, maruziyet için bir üst sınırdır: Bu sunucuların bir kısmı düzgün şekilde kapatılmış olacak, bir kısmı ise her ziyaretçiyi kabul edecek. Bu ayrımın belirlenmesi her sunucuyu tek tek kontrol etmeyi gerektirir; analiz bunu denemiyor.

Açık bir notebook neden herkes için bir shell'dir

Temel sorun, yanlış yapılandırılmış kısımdadır. Jupyter'un arayüzü pasif bir belge görüntüleyicisi değildir; bir kernel terminali açığa çıkarır; bu nedenle kimlik doğrulaması olmayan bir örnek, her ziyaretçinin notebook sunucusunun çalıştığı hesap olarak komut çalıştırmasını sağlar. Bu komutlar o hesabın izinlerini ve ağ konumunu devralır; bu konum, birçok bulut platformunda kimlik bilgileri ve yapılandırma dağıtan iç servisler olan bulut metadata endpoint'lerini içerebilir.

Bu teorik bir senaryo değil. dev.to yazısına göre Jupyter örnekları kripto madenciliği ve fidye yazılımı saldırı zincirlerinde defalarca göründü. Jupyter'un kendi güvenlik dokümantasyonu, token kimlik doğrulamasının 5.0 sürümünden beri varsayılan olduğunu belirtiyor; yani anonim ziyaretçileri kabul eden örnekler ya kazayla ya da kasıtlı olarak yanlış yapılandırılmış.

Yönetilmeyen varlık sorunu

Yazar, bu sayıyı analiz makinelerinin pratikte nasıl dağıtıldığının bir kanıtı olarak çerçeveliyor. Notebook'lar çoğu zaman merkezî bir varlık envanterinin dışında, bireysel analistler tarafından veri keşfi veya model eğitimi için başlatılıyor, tüm ağ arayüzlerine bağlıyor ve sonra unutuluyor. Her biri, kimsenin aktif olarak izlemediği bir kurum saldırı yüzeyinin parçası haline geliyor. Yaklaşık doksan bin eşleşen sunuculuk bir nüfus, bu kalıbın nadir bir uç durum değil, yaygın olduğunu gösteriyor.

Savunma amaçlı bir kontrol listesi

Yazı, Jupyter'un herkese açık sunucu dokümantasyonundan alınan somut adımlarla sona eriyor:

• Notebook sunucularını localhost'a veya dahili bir arayüze bağlayın ve bunlara SSH tünelleri veya kimlik doğrulamalı bir proxy üzerinden erişin.
• Token veya parola kimlik doğrulamasını etkin tutun ve paylaşılan, çok kullanıcılı sunucularda asla kapatmayın.
• Notebook sürecini kısıtlı bir hesap altında çalıştırın, asla root olarak değil.
• Adres alanınızda herkese açık erişilebilir bulunan her Jupyter örneğini aktif bir olay olarak değerlendirin ve kod çalıştırmanın zaten gerçekleştiğini varsayın.

Neden önemli

Bir notebook'u paylaşmak ile açığa çıkarmak arasındaki fark yapılandırmaya gelir ve projenin varsayılanları yıllardır güvenli. Kimlik doğrulaması olmayan her örnek, etkili bir şekilde sunucunun bulut ağ konumu eklenmiş uzaktan kod çalıştırma sunar ve bir analistin pratiklik aracını kimlik hırsızlığı ve yatay hareket için bir sıçrama noktasına dönüştürür. Manşetteki sayı bir üst sınırdır ama 90.626 sunucunun küçük bir yanlış yapılandırılmış payı bile büyük ve süregiden bir maruziyet anlamına gelir. En ucuz düzeltme, kurumların kendi IP alanlarına hemen uygulayabileceği bir yapılandırma denetimidir.