OpenAI, Brotli'de kritik bir uzaktan kod yürütme açığı buldu
OpenAI araştırmacıları, CVE-2026-111497 olarak tanımlanan ve Node2Shell adıyla da bilinen kritik bir Brotli güvenlik açığı keşfetti. Hata, sıkıştırma kitaplığının kod çözücüsünde sınırların dışına yazma sorunundan kaynaklanıyor ve kötü amaçlarla hazırlanmış sıkıştırılmış veriler kullanılarak kimliği doğrulanmamış bir saldırganın kod çalıştırmasına olanak tanıyabilir. CVSS puanı 9,2 olan açık, hem istemci hem de sunucu tarafındaki uygulamaları etkileyebilir.
Brotli açığı, Node.js, Bun, Envoy ve çeşitli Python paketleri için güvenlik güncellemelerinin yayımlanmasına yol açtı. Node.js kullanıcıları 22.23.4, 24.22.1 veya 26.12.1 sürümlerine yükseltme yapmalı; Bun’ın 1.4.4 öncesindeki sürümleri etkileniyor. Kavram kanıtlama kodları ortaya çıktı ve Imperva araştırmacıları, etkilenen Node.js derlemelerine karşı güvenilir biçimde saldırı gerçekleştirilebildiğini gösterdi. Bununla birlikte, 23 Ekim 2026 itibarıyla yaygın saldırılara ilişkin kamuya açık bir kanıt bulunmuyordu.
Kripto para alım satımı yapanlar yazılım açığından doğrudan etkilenmiyor. Ancak borsalar, cüzdan hizmetleri ve diğer kripto platformları, özellikle güvenilmeyen sıkıştırılmış verileri işledikleri sistemlerde savunmasız Brotli bileşenleri bulunup bulunmadığını kontrol etmeli. Bu olay, dijital varlık sektörünün genelinde kullanılan yazılım altyapısının karşı karşıya olduğu siber güvenlik risklerini gözler önüne seriyor.
Neutral
Bu güvenlik açığının kripto para fiyatları, token arzı veya blok zinciri protokol etkinliğiyle doğrudan bir bağlantısı yoktur; bu nedenle piyasa etkisini nötr olarak değerlendirmek en uygunudur. Açığın acil önemi operasyoneldir: kripto borsaları, saklama hizmetleri, cüzdan sağlayıcıları ve diğer hizmetler Brotli’yi çalışma ortamları veya bağımlılıklar aracılığıyla kullanıyor olabilir. Başarılı bir saldırı hizmetleri aksatabilir veya sistemleri riske açık hâle getirebilir. Yatırımcılar tek tek platformlardan gelen olay bildirimlerini takip edebilir, ancak makalede etkilenen herhangi bir kripto şirketi veya hizmeti belirtilmiyor.
Kısa vadede, kavram kanıtlama kodu ve yüksek önem derecesi, etkilenen işletmeleri güvenlik incelemeleri yapmaya, yamaları uygulamaya ve riskleri temkinli biçimde yönetmeye yöneltebilir. Büyük bir borsa veya cüzdan sağlayıcısı bir istismar ya da kesinti bildirirse kullanıcıları para çekerek veya faaliyetlerini azaltarak tepki verebilir; bu da platformla sınırlı bir oynaklığa yol açabilir. Makalede yaygın bir istismar bildirilmediğinden, piyasanın daha geniş çapta sarsılmasını beklemek için dayanak sınırlıdır.
Uzun vadede bu olay, kripto şirketlerini sistemlerine dâhil edilmiş açık kaynak bileşenlerini denetlemeye ve tedarik zinciri güvenliğini güçlendirmeye teşvik edebilir. Benzer yazılım açıkları, doğrulanmış bir ihlale, fon kaybına veya uzun süreli hizmet kesintisine yol açmadıkları sürece, kripto piyasasının genelinde kalıcı hareketlerden ziyade hedefe yönelik operasyonel müdahalelere neden olmuştur. Bu nedenle yatırımcılar, genel altyapı riskini kripto sektöründe yaşanmış belirli bir olaya ilişkin kanıtlardan ayırmalıdır.