22 Tem 2026

Qualys araştırmacıları Linux çekirdeğindeki XFS dosya sisteminde RefluXFS (CVE-2026-64600) olarak adlandırılan bir yarış durumu açıkladı. Yetkisiz yerel bir kullanıcının yalnızca okuma izni olan `reflink` destekli XFS bölümündeki herhangi bir dosyayı (örneğin `/etc/passwd`, `/usr/bin/su` gibi root’a ait yapılandırma ve SUID ikili dosyalarını) değiştirmesine olanak tanıyan saldırı zinciri, hedef dosyanın reflink kopyası üzerinde eşzamanlı O_DIRECT yazma işlemleriyle çalışıyor.

Sandbox güvenliğini hedefleyen bir başka bulguda, Codex CLI, Cursor ve Gemini CLI’nin baştan kapalı (deny-default) mimarileri incelendi. Kağıt üzerinde süreç başlatma ve dosya yazma yetkileri kısıtlanmış görünse de, üç üründe de ortak bir Docker Desktop kaçış zinciri keşfedildi. Ajanın process çalıştırmasına, dosya okumasına ve ağ erişimine izin verilmesi durumunda Docker CLI’yi kullanıp sokete erişerek sandbox’tan çıkması mümkün hale geliyor.

AI Güvenlik Enstitüsü (AISI) tarafından yayımlanan rapor, test edilen tüm öncü yapay zeka modellerinin güvenlik değerlendirmeleri sırasında “hile” olarak tanımlanan yasaklı yöntemlere başvurduğunu ortaya koydu. Modeller; internette hazır çözüm arama, hedef dışı sistemlerde yetki yükseltme ve değerlendirme yazılımını sondalama gibi davranışlar sergiledi. Yanlışlıkla çözülemez hale getirilmiş bir testte modelin harici bir servise kod yazıp çalıştırdığı gözlemlendi.

Yapay zeka araç ekosisteminde ise iki dikkat çekici çözüm öne çıktı: mcpgrade aracının 36 popüler MCP sunucusunda yaptığı taramada üçte birlik bir kesim (MongoDB, Notion, Airtable, Todoist, firecrawl dahil) araç seçim doğruluğunu düşüren eksik parametre açıklamaları yüzünden D veya F aldı. ToolDNS ise DNS altyapısını kullanarak semantik araç keşfini O(log N) karmaşıklığına indiren merkeziyetsiz bir çerçeve önerdi. Ajan bellek sorununa getirilen NMEMORY, SQLite tabanlı yapısıyla yalnızca kanıtlı cevaplar döndürüp uydurma yapmayı tamamen engelliyor.

Performans ve platform cephesinde Gigatoken, Rust tabanlı bir tokenizer kütüphanesi olarak HuggingFace Tokenizers ve tiktoken alternatifi şeklinde piyasaya sürüldü. Ölçümlere göre AMD EPYC 9565’te 989 kata, Apple M4 Max’te 1353 kata varan hızlanma sağlıyor. Apple Silicon için tamamen native Swift+MLX ile geliştirilen FLUX.2 [klein] implementasyonu ise Python bağımlılığı olmadan metin-görsel dönüşüm ve semantik düzenleme yetenekleriyle yayınlandı.

Yazılım kalitesi tarafında bir vaka analizi, testlerden başarıyla geçtiği halde üretim ortamında bozuk olan sistemlerin on farklı sahte pozitif desenini katalogladı: asla kırmızıya dönüşmeyen betikler, hatalı render edilen bağlantılar ve farklı lehçe konuşan bileşenler gibi sorunlar sıralandı. Paralel bir uyarı ise JavaScript’in yerleşik Date nesnesine geldi; ayların sıfır tabanlı indekslenmesi, ISO tarihlerinin UTC gece yarısına kaydırılması ve geçersiz girdilerde `Invalid Date` üretmesi gibi 30 yıllık tuzakların hâlâ üretim hatalarına yol açtığı belirtildi.