Ing. Calogero Bono
Apple, yeni özellik içermeyen ama güvenlik düzeltmeleri getiren iOS 27.2.1 ile iPadOS, macOS, watchOS ve visionOS için aynı anda çıkan güncellemeleri yayımladı. İlk notlar oldukça kısaydı, ardından şirket tam dokümantasyonu paylaştı. Bu belgede iMessage, AirPlay ve Bluetooth'taki açıklar ile macOS'taki eMudhra sertifika sorununun kapanışı yer alıyor. Detaylar artık herkese açık olduğu için güncelleme yapmak daha da önem kazandı.
Konuya girmeden önce birkaç terim. CVE, bilinen bir güvenlik açığını tanımlayan koddur. Sertifika otoritesi, bir sitenin gerçek olduğunu kanıtlayan sertifikaları düzenleyen kuruluştur. Özel anahtar, bu sertifikaları imzalamaya yarayan gizli bilgidir; sızarsa sahte sertifikalar üretilebilir. Komut satırı, curl ve git gibi, terminalden kullanılan ve sistem uygulamalarının kullanmadığı araçları ifade eder. Hız sınırı, bir eşleştirme kodu gibi işlemlerde izin verilen deneme sayısına konan üst sınırdır.
Apple hangi sürümleri yayımladı?
HDblog'a göre iOS 27.2.1, iOS 27.2'den iki hafta sonra geliyor ve hata ile güvenlik sorunlarını düzeltiyor. iPadOS, macOS Golden Gate, watchOS ve visionOS 27.2.1 de aynı anda çıkıyor.
Düzeltmeler eski sistemlere de ulaşıyor – iOS ve iPadOS için 26.7.3 ve 18.7.12. Mac'te macOS Tahoe 26.7.3 ve macOS Sequoia 15.8.3, watchOS 26 için ise 26.6.1 yayımlandı.
Daha önce 9 Kasım tarihli güncelleme paketini de ele almıştık. Bu arada iOS 27.3'ün betası sürüyor; ilk betası hakkında da yazmıştık.
iMessage'daki açıklarla neler yapılabilirdi?
iMessage'da iki güvenlik açığı vardı. CVE-2026-113961 ile uzaktan bir saldırgan, davet edilmeden bir grup sohbetine girip mesajları alabilirdi. CVE-2026-113960 ile ise bir gruba eklenen kişi, katılmadan önce yapılmış konuşmaları da okuyabilirdi.
Bunlar, meslektaşlar ve iş ortakları arasındaki yazışmalar dahil, konuşmaların gizliliğini doğrudan ilgilendiren senaryolar.
AirPlay ve Bluetooth'ta hangi sorunlar vardı?
MacRumors'a göre açıkların çoğu AirPlay ve Bluetooth ile ilgiliydi. Kötü niyetli bir Bluetooth cihazı, kullanıcı etkileşimi olmadan eşleşebilirdi. Başka bir hata ise yakındaki bir saldırganın bir sürecin belleğini bozmasına izin verebilirdi.
Birkaç hata, AirPlay eşleştirme kodu için konulan deneme sınırının aşılmasını sağlıyordu. HDblog ayrıca App Intents'te, bir uygulamanın izin almadan hassas verilere erişmesine olanak tanıyan bir açığa da değiniyor. Apple dört güvenlik açığını kendi ekibinin bulduğunu belirtiyor.
eMudhra'nın macOS ile ilgisi ne?
9to5Mac'in aktardığına göre Mozilla, Hindistan merkezli eMudhra'nın yönettiği sekiz ara sertifika otoritesinin özel anahtarlarının ele geçirildiğini bildirmişti. Apple, 19 Ekim'den itibaren bu sertifikaları, 23 Ekim'de ise başka korumaları otomatik güncellemelerle devreye almıştı.
Ancak curl ve git gibi, bu sertifikaları kabul edebilen araçlar açıkta kalmıştı. macOS 27.2.1, 26.7.3 ve 15.8.3 bu açığı kapatıyor ve /etc/ssl/cert.pem dosyasından beş kök sertifikayı kaldırıyor; bunların üçü, ilk manuel çözümde yer almayan eMudhra sertifikalarıydı.
Kendi sertifika listesini kullanan uygulamalar Apple'ın engellemesini izlemiyor; bunun için geliştiricilere başvurmak gerekiyor.
Bilmen gereken sınırlar
Apple, bu açıkların gerçek saldırılarda kullanılıp kullanılmadığını açıklamadı ve tüm kaynaklar bu noktaya dikkat çekiyor. Kaç cihazın gerçekten risk altında olduğunu ya da herkese açık bir istismar kodunun bulunup bulunmadığını bilmiyoruz. Kaynaklar, her bir açığın nasıl giderildiğini de ayrıntılı anlatmıyor. Kendi sertifikalarını taşıyan hangi uygulamaların geliştiriciler tarafından düzeltileceği de henüz belli değil.
Dijital işlerle uğraşanlar için ne değişiyor
iPhone ve Mac'i iş amaçlı kullananlar için güncelleme hemen yapılmalı. iPhone ve iPad'de Ayarlar, Genel, Yazılım Güncelleme yolunu izleyin. Mac'te Sistem Ayarları, Yazılım Güncelleme bölümüne girin. Bir cihaz filosunu yönetiyorsanız, iOS 18.7.12 gibi daha eski sürümlerin de dahil olduğu kurulu sürümleri kontrol etmelisiniz.
Mac'te curl ya da git kullanan geliştiriciler, örneğin derleme betiklerinde, macOS'u güncellemeli ya da Apple'ın manuel prosedürünü uygulamalıdır. Bir uygulama kendi kök sertifikalarını taşıyorsa, bunu yazan kişiyle durumu netleştirmek gerekir.
Bizim değerlendirmemiz
Düzeltme doğru, ancak yöntem insanı tedirgin ediyor. Sürüm notlarının neredeyse boş çıkması ve ayrıntıların ancak sonradan paylaşılması, güncellemeyi körlemesine yüklemeye itiyor; oysa saldırganlar yamaları birkaç saat içinde karşılaştırıyor. eMudhra konusunda Apple otomatik engellemelerle iyi bir iş çıkardı, ama özellikle geliştiricilerin kullandığı komut satırı araçlarını kapatmak haftalar sürdü. Sunucu ve altyapı yöneten herkes için faydalı bir ders bu. Sertifikalar bir zincirdir ve tek bir korunmasız halka yeter.
Sık sorulan sorular
iOS 27.2.1 yeni özellik getiriyor mu?
Hayır. HDblog'a göre güncelleme yeni özellik değil, hata ve güvenlik sorunlarını düzeltiyor. Yeni özellikler iOS 27.3 ile gelecek ve şu anda beta aşamasında.
Açıklar gerçek saldırılarda kullanıldı mı?
Bilinmiyor. Apple, açıkların gerçek dünyada istismar edildiğini belirtmedi. Ayrıntılar artık herkese açık olduğu için güncellemeyen cihazlar daha fazla risk altında.
Hangi eski sistemler düzeltmeleri alıyor?
iOS ve iPadOS için 26.7.3 ve 18.7.12 sürümleri. Mac için macOS Tahoe 26.7.3 ve Sequoia 15.8.3, watchOS için ise 26.6.1 sürümü.
eMudhra sertifika sorunu nedir?
Hindistan merkezli eMudhra'nın sekiz ara sertifika otoritesinin özel anahtarlarının ele geçirilmesidir. Bu anahtarlarla, siteleri taklit etmek ve verileri ele geçirmek için sahte ama geçerli görünen sertifikalar üretilebiliyordu.
Cihazımı nasıl güncellerim?
iPhone ve iPad'de Ayarlar, Genel, Yazılım Güncelleme yolunu izleyin. Mac'te Sistem Ayarları'nı açıp Yazılım Güncelleme'yi seçin.
iOS 27.2.1 sonrası – 27.3 betası ve kendi sertifikalarını taşıyan uygulamalar
Yamalar yayımlandı ama konu henüz kapanmış değil. Sıradaki sürümler ile Apple'ın engellemesine uymayan uygulamaların davranışı önemini koruyor.
- Kullandığın araçların kendi kök sertifika listesi olup olmadığını kontrol et ve bunu geliştiricilere sor.
- iOS 27.3 betalarını takip ederek hangi başka düzeltmelerin geleceğini gör.
- iMessage, AirPlay ve Bluetooth açıkları için herkese açık istismar kodlarıyla ilgili haberlere dikkat et.
