Açık kaynak bileşenleri, modern yazılım geliştirme süreçlerinin temel yapı taşları arasında yer alıyor. Ancak bu bileşenler, yazılım tedarik zincirine yönelik saldırılar için gizli riskler de barındırıyor. Bunun en dikkat çekici örneklerinden biri, TeamPCP tarafından Mayıs 2026’da gerçekleştirilen Mini Shai-Hulud kampanyası oldu. Söz konusu saldırıda GitHub Actions tabanlı derleme (build) süreçlerindeki zafiyetlerden yararlanılarak TanStack, Mistral AI ve OpenSearch gibi projeleri etkileyen 170’ten fazla npm ve PyPI paketi ele geçirildi. Genel olarak yanlış yapılandırılmış GitHub Actions iş akışları, güvenilir geliştirme süreçlerini saldırganlar için kritik giriş noktalarına dönüştürebiliyor. Bu durum, otomatik iş akışlarının ele geçirilmesine, üretim ortamlarına kötü amaçlı kod eklenmesine veya kritik altyapı anahtarlarının yetkisiz kişilerin eline geçmesine neden olabiliyor.

GitHub Actions iş akışlarına yönelik değerlendirmesini tamamlayan Kaspersky GReAT uzmanları, en çok yıldız alan 30.000 depoda 130 binden fazla CI/CD iş akışı incelendi. Kaspersky Container Security’nin son güncellemesiyle gelen özel tarama kurallarından yararlanan araştırmacılar, sürekli entegrasyon ve sürekli teslimat (CI/CD) süreçlerinde 250 binden fazla potansiyel hatalı yapılandırma saptadı. Bu sonuçlar, güvenli olmayan yapılandırma uygulamalarının yaygınlığını ortaya koyuyor. Analiz edilen depoların yalnızca %10’unda herhangi bir güvenlik uyarısı tespit edilmedi.

Tespit edilen bulguların yüzde 59,8’i düşük, yüzde 39,8’i orta ve yüzde 0,4’ü ise yüksek risk kategorisinde yer aldı. En yaygın sorunlar; Varsayılan olarak verilen veya kapsamı gereğinden fazla geniş erişim izinleri, bağımlılıkların belirli sürümlere sabitlenmemesi (version pinning) ve iş akışı ayarlarındaki güvenlik eksiklikleri oldu. Daha az sayıda depoda ise hassas bilgilerin açığa çıkmasına yol açabilecek yapılandırmalar, güvenli olmayan çalıştırma ayarları ve harici verilerin yeterli doğrulama yapılmadan işlenmesi gibi, çok daha ciddi güvenlik ihlallerine neden olabilecek riskler tespit edildi.

Araştırmacılar, yüksek risk kategorisinde değerlendirilen yaklaşık 200 depo üzerinde yaptıkları detaylı incelemede, yazılım tedarik zincirinin tehlikeye girmesine neden olabilecek kritik güvenlik sorunları barındıran sekiz depo belirledi. Bu depolar; kurumsal yapay zekâ entegrasyonları, geliştirici ve otomasyon hizmetleri ile güvenlik test araçları gibi farklı alanlarda kullanılan projeleri kapsıyor. Tespit edilen kritik bulguların tamamı, sorumlu açıklama (responsible disclosure) ilkeleri doğrultusunda geliştiricilerle paylaşıldı.

Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Leonid Bezvershenko, konuya ilişkin yaptığı açıklamada şunları söyledi: “Geçtiğimiz yıl, güvenli CI/CD yapılandırma yönergelerine uyulması halinde kolayca önlenebilecek ciddi tedarik zinciri saldırılarına tanık olduk. Ortaya çıkardığımız bu sorunlar doğrudan istismar edilebilir açıklar anlamına gelmese de, geliştiricilerin yapılandırmalarını gözden geçirmesi ve güçlendirmesi gereken zayıf noktalara işaret ediyor. Kuruluşlar bu açıkları erkenden tespit ederek çok daha dirençli CI/CD hatları inşa edebilir ve tedarik zinciri ihlali riskini azaltabilir. Konteyner güvenliği çözümümüz için geliştirdiğimiz kurallar, bu boşlukların kötü niyetli kişilerce suistimal edilmeden önce belirlenmesi ve giderilmesi için pratik bir çerçeve sunuyor.”

Kaspersky Container Security kullanıcıları, hatalı yapılandırmalardan kaynaklanan potansiyel güvenlik sorunlarını tespit etmek ve etkilerini azaltmak için GitHub depo tarama özelliğinden yararlanabiliyor. Bu özellik doğrudan CI/CD iş akışlarına entegre edilebildiği gibi bağımsız (standalone) modda da kullanılabiliyor.

Kaspersky Container Security hakkında daha fazla bilgiye ilgili bağlantıdan ulaşabilirsiniz.

Kaspersky, GitHub Actions iş akışlarında 250 binden fazla potansiyel güvenlik riski tespit etti yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Saldırganlar, hedeflenen kurumların cihazlarına sızmak için özellikle petrol ve gaz sektöründeki büyük kamu şirketlerinden gelen meşru iletişimler kılığında gizlenmiş zıpkın avcılığı e-postaları gönderiyor. E-postanın içeriği, alıcıyı kötü niyetli eki açmaya ikna etmek için kuruluşun ürün ve hizmetlerine ilgi gösterildiği şeklinde tasarlanıyor. Ekte talep edilen ürün ve hizmetler için gereksinimleri içeren PDF dosyası olduğu söyleniyor. Ancak aslında bu PDF’ler kötü amaçlı yazılım içeren çalıştırılabilir EXE ve DLL dosyaları içeriyor.

Saldırganlar, DLL highjacking tekniklerinden yararlanan ve geliştiricilerin uygulamaları için ayrıntılı, gerçek zamanlı çökme raporları almalarına yardımcı olmak üzere tasarlanmış meşru Crash reporting Send Utility’den faydalanıyor. Zararlı yazılım, tespit edilmekten kaçınmak için popüler yasal platformlardaki herkese açık profillerde depolanan bir kodu da beraberinde indiriyor. Kaspersky bu kodu GitHub’daki profillerin içinde şifrelenmiş olarak buldu ve diğer GitHub profillerinde, Microsoft Learn Challenge’da, Soru-Cevap web sitelerinde ve Rus sosyal medya platformlarında bu koda dair şifrelenmiş bağlantılar buldu. Tüm bu profiller ve sayfalar özellikle bu tür bir saldırı için oluşturulmuştu. Kötü amaçlı kod hedef makinelerde çalıştırıldıktan sonra Cobalt Strike Beacon başlatıldı ve kurbanların sistemler ele geçirildi.

Popüler çevrimiçi platformlardaki kötü amaçlı kod içeren profiller

Kaspersky Kötü Amaçlı Yazılım Analisti Ekip Lideri Maxim Starodubov, şunları söyledi: “Saldırganların gerçek kişilerin sosyal medya profillerini kullandıklarına dair herhangi bir kanıt bulamamış olsak da, tüm hesaplar bu saldırı için özel olarak oluşturulduğundan, tehdit aktörünün bu platformların sağladığı çeşitli mekanizmaları kötüye kullanmasını engelleyen hiçbir şey yok. Örneğin meşru kullanıcıların gönderilerine yapılan yorumlarda kötü niyetli içerik dizeleri yer alabiliyor. Saldırganlar, uzun süredir bilinen araçları gizlemek için giderek daha karmaşık yöntemler kullanıyor. Bu yüzden bu tür saldırılardan korunmak için en son tehdit istihbaratıyla güncel kalmak önemli.”

Kötü amaçlı kodun indirme adresini elde etmek için kullanılan yöntem, Çince konuşan aktörlerle bağlantılı EastWind kampanyasında gözlemlenene benzer bir yol izliyor.

Kaspersky, kurumların güvende kalmak için aşağıdaki güvenlik yönergelerini takip etmelerini öneriyor:

• Dijital altyapının durumunu takip edin ve sürekli izleyin.
• Toplu e-postalara gömülü kötü amaçlı yazılımları tespit etmek ve engellemek için kanıtlanmış güvenlik çözümleri kullanın.
• Siber güvenlik farkındalığını artırmak için personeli eğitin.
• Kaspersky Next gibi saldırıları erken aşamalarda tespit edip engelleyen kapsamlı çözümlerle kurumsal cihazların güvenliğini sağlayın.

Kaspersky, kurumları hedef almak için GitHub, Quora ve sosyal ağlardan bilgi toplayan siber saldırıları keşfetti yazısı ilk önce En Gazete üzerinde ortaya çıktı.