Temmuz 2026

Bu ayın en çarpıcı güvenlik olayı, Unisoc T606/T616 yonga setli bütçe dostu Android telefonları hedef alan “Operation Silent Rescue” zinciri oldu. CVSS 9.8 şiddetindeki saldırı, onarılamaz bir BootROM açığını (CVE-2022-38694) sahte LTE sinyalleriyle tetiklenen bir modem uzaktan kod çalıştırma (RCE) açığıyla (CVE-2025-31718) birleştirerek kullanıcı etkileşimi olmadan tam erişim sağlıyor. Linux tarafında ise XFS dosya sistemindeki bir yarış durumu (CVE-2026-64600, RefluXFS) yetkisiz yerel kullanıcıya root’a ait dosyaları değiştirme imkânı tanırken, Redis’in birden fazla sürümünde stream, TDigest ve TopK modülleri üzerinden kimlik doğrulamalı RCE elde edildiği gösterildi.

Büyük dil modelleri için donanım sınırlarını zorlayan gelişmeler dikkat çekti. Krasis adlı MoE odaklı çalışma zamanı, 397 milyar parametreli Ornith‑1.0 modelini tek bir NVIDIA RTX PRO 6000 96 GB GPU üzerinde, uzman katmanlarını CPU RAM’inde tutup %43’ünü dinamik olarak VRAM’e besleyerek çalıştırmayı başardı. Google’ın Gemma‑4 ailesini AWS Inferentia2’ye taşıma çabası ise katmanlar arası KV paylaşımı ve karışık kafa sayıları gibi TPU/XLA odaklı mimari özelliklerin vendor yığınını kırmasıyla sonuçlandı; çözüm Neuron vLLM backend’ine özel çekirdek yazmaktan geçti.

Yazılım dünyasında AI destekli büyük çaplı yeniden yazımlar öne çıktı. Bun’ın 535 bin satır Zig kod tabanı, 64 paralel Claude ajanı kullanılarak yalnızca iki günde Rust’a taşındı. Benzer bir yaklaşımla, yaklaşık 2,2 milyon satır C++ ve Python’dan oluşan FreeCAD parametrik CAD platformu WebAssembly’e portlandı. React cephesinde ise “use client” sınırının bir tip sisteminden çok, Flight serileştiricisinin çalışma zamanı kurallarıyla yönetildiği ve `Date`, `Set`, `Map`, `Promise` gibi türlerin geçebildiği, buna karşın `RegExp`, `URL`, `WeakMap` ve sınıf örneklerinin reddedildiği ortaya kondu.

Kimlik doğrulamayı şifreleme anahtarına dönüştüren bir yaklaşım da gündeme geldi. WebAuthn PRF uzantısı sayesinde passkey doğrulaması sırasında tarayıcıda deterministik 32 bayt türetilebiliyor ve bu anahtar sunucuya hiç gitmeden istemci tarafı şifrelemede kullanılabiliyor. `pknotes` adlı uçtan uca şifreli not uygulaması, ana parola olmadan yalnızca passkey ile hem girişi hem de AES‑256 anahtarının kilidini açmayı mümkün kılan bir mimariyi test etti.