Mayıs 2026: Dijital Dünyanın Hareketli Günlüğü
(Okuma Süresi: Yaklaşık 12 Dakika)
Merhaba dostlar! Kahveleriniz, çaylarınız hazırsa lütfen arkanıza yaslanın. Bu ay siber güvenlik dünyası yine dopdolu ve bir o kadar da çarpıcı gelişmelerle karşımızda.
Aylık olarak yayınlamayı planladığımız siber bülten serimizde bu ayın henüz yarısına gelmeden yaşanan Linux zafiyet bereketi sebebiyle erken bir yazı daha yazmak istedim diyebilirim. Bugün özellikle Linux ekosistemini derinden sarsan çekirdek zafiyetlerinden, popüler araçlardaki kritik açıklara ve yapay zeka dünyasındaki ekonomik kararlara kadar pek çok konudan kısa kısa bahsedeceğiz ve en sona ufak bir writeup bırakacağım. Çaylarınız ve kahveleriniz hazırsa, gelin detaylara birlikte bakalım.
1. Linux Kernelindeki "Copy Fail" Hatası: Disk Temiz Ama Bellek Zararlı
Mayıs 2026'da Linux dünyasında resmen bomba etkisi yaratan bir zafiyet ortaya çıktı: Copy Fail (CVE-2026-31431). Olayın korkutucu tarafı ise şu: Sistemde her şey normal, diskteki dosyalar tertemiz ama bir bakıyorsunuz çok düşük yetkileri olması gereken bir kullanıcı root yetkileriyle takılıyor sisteminizde.
2017'deki Masum Bir Optimizasyon ve Sayfa Önbelleği (Page Cache)
Linux'ta siz bir dosyayı açtığınızda, sistem her seferinde diske gidip vakit kaybetmesin diye o dosya diskten RAM'e, yani "sayfa önbelleğine" (page cache) kopyalanır. Normalde bu önbellek salt okunur (read-only) olur ve kesinlikle değiştirilemez.
Ancak 2017 yılında, Linux çekirdeğindeki şifreleme işlemlerini optimize etmek için masum bir özellik eklendi. Dediler ki: "Şifrelenecek veriyi bellekte sürekli başka bir yere kopyalayıp durmayalım, doğrudan aynı önbellek üzerinden (in-place) şifreleyelim." Fikir kağıt üzerinde ciddi bir hız kazandırdığı için harika görünüyordu ancak şu ufak detay gözden kaçmıştı: Bazen o üzerine yazılan bellek bölgesi, az önce okunan kritik bir sistem dosyasının orijinal önbellek bölgesi olabiliyordu!
Aslında bu haber bize biraz daha şunu gösteriyor diye düşünüyorum: Ne kadar yetenekli bir yazılımcı veya sistem mimarı olursanız olun, geliştirdiğiniz koda güvenlik perspektifiyle yaklaşmadığınız sürece en masum optimizasyonlar bile sistemin en büyük zafiyetine dönüşebilir.
Saldırı Nasıl Çalışıyor? Hedef: su Komutu
Saldırı hepimizin bildiği sistemde yetki yükseltip sudo olmanızı sağlayan meşhur su komutunu
hedef alıyor.
Saldırgan önce su komutunun diskteki halini okutuyor. Bu sayede Linux, su
komutunu diskten alıp RAM'deki sayfa önbelleğine yerleştiriyor. Ardından saldırgan, Linux'un şifreleme
altyapısındaki (AF_ALG) açığı ve splice sistem çağrısını kullanarak, şifreleme
mekanizmasının hedefini doğrudan bu önbellek sayfasına yönlendiriyor.
Çekirdek şifreleme işlemi yaparken geçici bir çalışma alanına ihtiyaç duyuyor ve 2017'de eklenen o
optimizasyon hatası yüzünden, önbellekteki salt okunur korumayı hiçe sayarak su komutunun
RAM'deki kopyasının içine 4 baytlık zararlı bir kod yazıyor.
Neden Bu Kadar Tehlikeli?
İşte olayın en korkutucu kısmı burası. Tüm bu manipülasyon sadece RAM'de gerçekleşiyor. Çekirdek bu sayfayı "kirli" (dirty) olarak işaretlemediği için, yapılan değişiklikler asla diske kaydedilmiyor.
Yani siz diski incelediğinizde /usr/bin/su dosyası tamamen orijinal ve tertemiz duruyor.
Sistemdeki Dosya Bütünlük İzleme (FIM) araçları, Tripwire veya SHA256 özet kontrolleri hiçbir anomali
fark etmiyor. Disk temiz, ama RAM'deki kopya zehirli. Artık sistemdeki herhangi bir kullanıcı
su komutunu çalıştırdığında, Linux diske gitmek yerine RAM'deki o bozulmuş kopyayı
çalıştırıyor ve saldırgan anında root yetkilerini alıyor. Üstelik bu açık, diğer kernel exploitleri gibi
sistemi çökertme (Kernel Panic) riski taşımıyor; mantıksal bir hata olduğu için %100 kararlılıkla
çalışıyor.
Ne Yapmalı? Acil Çözüm Rehberi
Peki bu sessiz tehlikeden nasıl korunacağız?
- Kernel Güncellemesi Şart: Linux geliştiricileri
a664bf3d603dyamasıyla 2017'deki o sorunlu optimizasyonu geri aldılar. Dağıtımınızın sunduğu son çekirdek güncellemesini mutlaka yükleyin. - Modülü Kapatın (Mitigation): Eğer sunucuyu hemen güncelleyip yeniden
başlatamıyorsanız, mesela Debian sunucularında bu güncelleme zafiyet yayınlandıktan 2 gün sonra hala
yoktu, geçici olarak
algif_aeadmodülünü devre dışı bırakın (blacklist):echo "install algif_aead /bin/true" >> /etc/modprobe.d/copyfail-mitigation.confrmmod algif_aead
• The Hacker News: Copy Fail Vulnerability • xint.io: Copy Fail on Linux Distributions • InfoQ: Copy Fail & Dirty Frag Linux Flaws • Trend Micro: Copy Fail Advisory
2. Dil Modellerinde Fiyat Performansın Son Kalesi GitHub Copilot da Yıkıldı
1 Haziran 2026 itibarıyla GitHub Copilot artık kredi bazlı kullanım sistemine geçiş yapacak. Bu da kredi kullanımımızın modelin girdi ve çıktı uzunluğuyla orantılı olması demek. Yani artık eskiden ne kadar uzun süre çalışırsa çalışsın sabit miktarda kredi harcayan promptlar artık eskisinden çok daha fazla kredi harcayabilecek. Çok ucuz paketlerde bile çok gelişmiş modelleri uzun süreler kullanabiliyorduk ancak görünen o ki bir rüyanın daha sonuna geldik. Dil modellerinin gelişmesiyle birlikte her daha iyi modelde fiyatların da model kapasiteleriyle birlikte, hatta belki de daha hızlı yükselmesi bize bir yandan da bu durumun sürdürülebilirliğini sorgulatıyor. Benim beklentim yükselen fiyatlarla birlikte insanların kapalı kaynak modellerden Çinli açık kaynak modellere yönelmesi yönünde. Diğer türlü her şey çok pahalı hale gelmeye başlıyor ve bu da çok büyük bir ekonomik yük oluşturuyor.
• GitHub Blog: Copilot Moving to Usage-Based Billing
3. cPanel ve WebHost Manager'da Kritik Güvenlik Açığı
11.40 sonrası tüm sürümleri etkileyen bir kimlik doğrulama atlama açığı keşfedildi. Saldırgan şifre alanına satır sonu karakteri enjekte ederek sisteme cp_security_token ekliyor ve kimlik doğrulamasız oturumu yetkili hale getiriyor. Yani anladığım kadarıyla sadece login ekranında bir POST isteği göndererek yetkili hale geliyorsunuz. Bu açık için bir yama çok geçmeden yayınlandı ancak yama yapamıyorsanız 2083, 2087, 2095 ve 2096 portlarını kapatmanız ya da cpsrvd ve cpdavd servislerini kapatmanız gerekiyor. Bunlar webmail, webdisk, cPanel gibi şeylerin portları. Ama tabii ki bu servisleri durdurup portları kapattığınızda hosting müşterilerinin sistemlerine erişimlerini tamamen kısıtlamış olacaksınız demek. cPanel internetin paylaşımlı hosting altyapısının en çok kullanılan yazılımlarından biri ve bahsi geçen sürüme 12 sene önce "end of life" denmiş ve şimdi ben bunları yazarken kim bilir ülkemizde ve dünyada kaç tane site hacklenmeye çalışılıyor.
• Rapid7: cPanel & WHM Authentication Bypass • Bleeping Computer: cPanel Emergency Update Fixes Auth Bypass • cPanel Release Notes
4. Edge Şifreleri Düz Metin Olarak RAM'de Tutuyor?
Bir güvenlik araştırmacısı Edge'in tüm şifreleri RAM'de düz metin olarak tuttuğunu fark etti. Chrome da bunu böyle yaparken Edge'in gündem olmasındaki sebepler ise şunlar:
- a) Edge ziyaret etmediğiniz sitelerin bile şifrelerini RAM'e yüklerken Chrome sadece giriş yapılan siteler için bunu yapıyor.
- b) Chrome şifre kullanıldıktan sonra silerken Edge bunu tutmaya devam ediyor.
Ayrıca bir diğer dikkat çeken nokta ise şu: Bir kullanıcı yönetici yetkileriyle yetki açarsa sistemi kullanan diğer kişilerin şifrelerini de görebiliyor. Microsoft tarafından gelen savunma ise bunun kötüye kullanılması için sistemin halihazırda ele geçirilmesi gerektiği yönünde. Bu açıklamasında Microsoft belki haklı evet, ancak bir yandan da şöyle bir durum var: Yani alternatifi varken böyle basit bir zafiyeti sistemde tutmaya ne gerek var?
• Malwarebytes: Microsoft Says Edge's Plaintext Password Behavior is By Design • ThreatLocker: Edge Keeping Passwords in Plaintext Memory • Windows Central: Edge Plaintext Memory Analysis
5. Linux'ta Bulunan Diğer 3 Açığı da Kısaca Özet Geçip Burada Bitirmek İstedim Bu Yazıyı
Bu ay Linux dünyasında adeta açık bereketi yaşandı diyebiliriz. Copy Fail yetmezmiş gibi, son dönemde gündeme oturan 3 farklı açığı daha kısaca özet geçip bu yazıyı burada noktalamak istiyorum.
İlk iki açık aslında yukarıda uzun uzun anlattığımız Copy Fail ve toplulukta "Dirty Frog" olarak bilinen zafiyetlerin neredeyse birebir aynısı. Yine sayfa önbelleği (page cache) ve bellek borularındaki (pipe) mantıksal hatalar üzerinden sistemdeki yetkili dosyaları RAM üzerinde manipüle etme mantığına dayanıyorlar. Yani çekirdek tarafında bu "in-place" optimizasyonlarının ve bellek yönetimi hatalarının başımıza daha çok iş açacağı aşikar.
Ama asıl dikkat çeken ve siber suç forumlarında (özellikle Rehub gibi platformlarda) elden ele dolaşan üçüncü bir açık var: PamDOORa.
Olay şu: İlk çıktığında forumlarda 1.500 ile 1.600 dolar gibi ciddi rakamlara satılan, son günlerde ise
fiyatı 900 dolara kadar düşen PAM (Pluggable Authentication Modules) tabanlı bir arka kapı (backdoor)
aracı bu. Saldırganlar sistemde bir şekilde yetki elde ettikten sonra bu aracı kuruyorlar ve Linux'un
kimlik doğrulama altyapısı olan PAM modülünü kancalıyorlar (hooking). Bu sayede hem sisteme giren tüm
kullanıcıların şifrelerini sessizce hasat ediyorlar hem de kendilerine belirledikleri bir "sihirli
şifre" (magic password) ile SSH üzerinden istedikleri zaman sisteme sızabiliyorlar. İşin en kurnazca
tarafı ise aracın içinde bulunan anti-forensic (adli bilişim atlatma) özellikleri; lastlog,
btmp, wtmp gibi sistem giriş loglarını manipüle ederek arkalarında hiçbir iz
bırakmıyorlar. Yani sisteminizde bir arka kapı olduğunu loglara bakarak anlamanız neredeyse imkansız
hale geliyor.
Özetle bu ay Linux sistem yöneticileri için uykusuz gecelerle dolu geçti diyebiliriz. Sistemleri güncel tutmak ve logları sadece sunucu üzerinde değil, harici bir SIEM ortamında saklamak artık bir lüks değil, zorunluluk.
• The Hacker News: PamDOORa Linux Backdoor Uses PAM • Flare: PamDOORa Linux PAM-Based Backdoor • Cryptika: PamDOORa Backdoor Attacking Linux Systems
The Dirty Pipe vulnerability (CVE-2022-0847) captivated the security community by allowing unprivileged users to overwrite arbitrary read-only files in the Linux page cache. Discovered in 2026, Copy-Fail (CVE-2026-31431) offers a similar, yet arguably more potent capability: a deterministic kernel-level page cache write primitive.
While both vulnerabilities leverage the splice() system call to move data into the page cache, Copy-Fail distinguishes itself through its reliability. Dirty Pipe required specific pipe flag manipulation and often involved race conditions in complex exploits. Copy-Fail, stemming from a flaw in the kernel's cryptographic subsystem (AF_ALG), provides a highly reliable, deterministic 4-byte write primitive. This room explores the mechanics of Copy-Fail, demonstrates its exploitation to gain root privileges, and covers detection and remediation strategies.
Learning Objectives:
- Explain the page cache write primitive.
- Identify the four kernel components:
page cache,AF_ALG,authencesn, andsplice. - Execute the PoC to obtain a root shell.
- Apply
modprobemitigations.
To understand Copy-Fail, we must examine the interaction of four distinct kernel components. While each component functions as designed individually, their combination creates a powerful local privilege escalation (LPE) vector.
1. The Linux Page Cache
When Linux reads a file from disk, it stores the data in RAM within the Page Cache to accelerate future read operations. For executable binaries, these memory pages are marked read-only. Crucially, changes made directly to the Page Cache remain in memory unless marked "dirty" by the kernel. Because Copy-Fail bypasses the standard write mechanisms, the kernel never marks the corrupted pages as dirty, meaning changes are never flushed to disk. Consequently, traditional File Integrity Monitoring (FIM) tools like AIDE or Tripwire inspect the pristine on-disk binary and report no anomalies, while the in-memory execution path remains compromised.
2. AF_ALG (The Kernel Crypto Socket)
AF_ALG is a netlink-based interface that allows user-space applications to utilize the Linux kernel's internal cryptographic API. By opening an AF_ALG socket, an unprivileged user can request the kernel to perform hashing, encryption, or decryption operations.
3. authencesn and the Scratch Write
Within the AF_ALG subsystem, the authencesn AEAD algorithm template is used to combine encryption with HMAC verification. During its operation, authencesn utilizes a temporary "scratch" buffer in memory to perform intermediate calculation writes. In 2017, an optimization was introduced to allow in-place cryptographic operations. However, this optimization failed to properly isolate the data destination when combined with specific system calls, allowing an attacker to redirect the 4-byte scratch write to an arbitrary memory page.
4. splice() and Page References
The splice() system call is designed to move data between two file descriptors without copying the data to user space. When an attacker uses splice() to pipe data from a target read-only binary into an AF_ALG socket, the kernel passes a direct reference to the binary's Page Cache page into the cryptographic subsystem. The crypto engine then improperly uses this Page Cache page as the destination for its 4-byte scratch write, overwriting the cached binary instructions in RAM.
With an understanding of the vulnerability mechanics, we can now examine the exploitation primitive. The objective is to leverage the 4-byte page cache write to achieve local privilege escalation.
To exploit Copy-Fail, an attacker selects a target setuid binary owned by root, such as /usr/bin/su or /usr/bin/sudo. By opening the target binary in read-only mode, the attacker forces the kernel to load the binary into the Page Cache. Next, the attacker creates an AF_ALG socket configured with the authencesn algorithm and uses splice() to pipe the cached binary page into the socket.
Because the write primitive is limited to 4 bytes per execution, a complete exploit script must repeat the process sequentially. By calculating the exact memory offsets of the target binary's authentication routines (such as the PAM check in su), the attacker overwrites the conditional jump instructions in RAM. Once the in-memory binary is patched, executing su grants an immediate root shell without requiring a password.
SSH Credentials: karen:tryhackme
Defending against Copy-Fail requires a combination of behavioral monitoring and kernel-level remediation. Because the file corruption occurs entirely in volatile memory, traditional disk-based forensic artifacts will not indicate an intrusion.
Detection Signals:
- Socket Anomalies: Monitor for unexpected
AF_ALGsocket creation by unprivileged user accounts. - System Call Patterns: Look for high-frequency
splice()system calls targeting sensitive system binaries (su,sudo,passwd). - Kernel Logs: Search
dmesgor kernel logs for recurring AEAD authentication or integrity check failures, which occur when the exploit script forces scratch writes.
Remediation & Mitigation:
The permanent solution is to update the Linux kernel to a patched release containing commit a664bf3d603d, which removes the flawed in-place optimization. If an immediate reboot is not possible, system administrators can apply a temporary mitigation by blacklisting the vulnerable cryptographic module:
echo "install algif_aead /bin/true" >> /etc/modprobe.d/copyfail.conf
rmmod algif_aeadTo clear any existing in-memory corruption, administrators must flush the Page Cache, forcing the kernel to reload pristine binary pages from disk:
sync; echo 1 > /proc/sys/vm/drop_cachesCopy-Fail (CVE-2026-31431) serves as a stark reminder of the delicate balance between performance optimization and kernel security. A minor optimization introduced in 2017 lay dormant for nearly a decade before being weaponized into one of the most reliable local privilege escalation vectors in Linux history.
By understanding the underlying mechanisms of Page Cache manipulation and cryptographic socket references, security professionals can better identify architectural risks and implement robust detection engineering pipelines. Always ensure your systems are patched against critical kernel vulnerabilities.
Adım Adım Çözüm Rehberi & Bayrağı Yakalama (Sürpriz Writeup!)
İşte TryHackMe Copy-Fail makinesinde root yetkilerine ulaşmak için adım adım çözüm rehberimiz:
Adım 1: İlk Erişim & Bilgi Toplama (Enumeration)
Makineyi başlatın ve verilen kimlik bilgileriyle (karen@copyfail-thm) SSH üzerinden bağlantı kurun. Giriş yaptıktan sonra sistemin çekirdek (kernel) sürümünü doğrulayın:
karen@copyfail-thm:~$ uname -r
5.15.0-82-genericBu çekirdek sürümü tam olarak zafiyet barındıran aralıkta yer alıyor. Şimdi algif_aead modülünün sistemde yüklü veya erişilebilir olup olmadığını kontrol edelim:
karen@copyfail-thm:~$ lsmod | grep algif_aead
algif_aead 20480 0Adım 2: Hedef Dosyanın İncelenmesi
Yetki yükseltmek için root kullanıcısına ait ve SUID biti aktif olan bir dosyaya ihtiyacımız var. /usr/bin/su komutunu inceleyelim:
karen@copyfail-thm:~$ ls -l /usr/bin/su
-rwsr-xr-x 1 root root 67816 Apr 4 2026 /usr/bin/suSUID biti (s) aktif durumda. Eğer sayfa önbelleğinde (page cache) bu dosyanın kimlik doğrulama talimatının üzerine yazarsak, su komutunu çalıştıran herkes parola girmeden root olabilecektir.
Adım 3: Sömürü Kodunun (Exploit) Derlenmesi ve Çalıştırılması
Herkese açık C exploit kodunu (copyfail_exploit.c) makineye indirin ve GCC kullanarak derleyin:
karen@copyfail-thm:~$ gcc -o copyfail copyfail_exploit.c
karen@copyfail-thm:~$ ./copyfail /usr/bin/su
[*] Target binary: /usr/bin/su
[*] Opening netlink socket (AF_ALG)...
[*] Setting up AEAD cipher...
[*] Splicing payload into page cache...
[+] Page cache successfully corrupted! Run 'su' to get root.Adım 4: Root Yetkisi Kazanma & Bayrağı Okuma
Şimdi tek yapmanız gereken su komutunu çalıştırmak. Çekirdek, RAM'deki önbelleğe alınmış sayfayı çalıştırdığı için, manipüle edilmiş talimat PAM kimlik doğrulamasını tamamen atlayacaktır:
karen@copyfail-thm:~$ su
# whoami
root
# cat /root/root.txt
THM{c0py_f41l_k3rn3l_r00t}Tebrikler! Copy-Fail odasını başarıyla tamamladınız ve bayrağı ele geçirdiniz.
İşte böyle dostlar... Mayıs 2026 siber bültenimizin ilk kısmının sonuna geldik. Sistemlerinizi güncel tutmayı, şüpheci yaklaşımınızı kaybetmemeyi ve loglarınızı korumayı unutmayın.
Gözünüz açık olsun, güvende kalın! Bir sonraki bültende görüşmek üzere...