20 Ağu 2026

Rust ekosistemi, crates.io'da yayınlanan `arrayref` 0.3.10 sürümüyle ciddi bir tedarik zinciri saldırısına sahne oldu. Paket, ilk kez `proc-macro1` 1.0.107 bağımlılığını ekledi; bu paketin `build.rs` dosyası derleme sırasında uzak bir sunucudan indirdiği ikili dosyayı doğrudan çalıştırıyor. Saldırganlar önceki temiz sürümleri yank ederek cargo'nun "güncel olmayan sürüm" uyarısını tuzağa çevirdi. `arrayref`, tiny-skia ve sctk-adwaita üzerinden winit'e bağlandığı için egui/eframe ve iced gibi popüler Rust GUI kütüphanelerini kullanan projeler de risk altında. Crates.io ekibi zararlı sürümleri kaldırdı.

Cloudflare Workers tarafında araştırmacılar, süreç izolasyonu yerine V8 isolate kullanan mimariye karşı devreye alınan Dynamic Process Isolation (DyPrIs) savunmasının üretimde yetersiz kaldığını gösterdi. Mikromimari yükseltme teknikleriyle kısıtlı zamanlayıcılara rağmen hassas ölçüm yapılabildi ve aynı sunucuda barınan bir kurban worker'dan JWT token sızdıran uçtan uca bir uzak Spectre saldırısı gerçekleştirildi.

Yapay zeka güvenliğinde iki gelişme öne çıktı. Adversa AI araştırmacıları, xAI'nin Grok web sohbetinin şifrelenmiş kötü niyetli talimatlar içeren sayfalar üzerinden dolaylı prompt enjeksiyonuna açık olduğunu bildirdi. Buna karşılık `regent-httpsig` adlı yeni Python kütüphanesi, OpenAI ajanlarının HTTP isteklerini RFC 9421, Web Bot Auth ve AAuth kapsamında imzalayıp doğrulamayı sağlıyor; SSRF koruması ve önbellek sınırları da içeriyor.

Geliştirici araçları tarafında, Rust kodunu hata ayıklama bilgisiyle WebAssembly'e derlemek bazı durumlarda 40 katı aşan yavaşlamaya yol açabiliyor. Sorun, LLVM'in WebAssembly'e özgü Register Stackify geçişinin DBG_VALUE kayıtlarını taşıma zorunluluğundan kaynaklanıyor. Ayrıca bir sitede JavaScript hatası 190 sayfada sunucu render'ını devre dışı bırakarak Google'ın soft 404 bildirmesine neden oldu; hata tarayıcıda görünmediği için uzun süre fark edilmedi.

Diğer öne çıkan çalışmalar arasında Apple'ın belgelenmemiş Find My Friends API'sinin Linux üzerinden tersine mühendislikle çözülmesi, vektör alanlarında topolojiyi koruyan ilk GPU sıkıştırıcı FaCTz ve blockchain indekslemesinde sekiz sessiz veri bozulması olayının belgelenmesi yer aldı.