Apple’dan Dev Güvenlik Güncellemesi: Tek Seferde 273 Açık Kapatıldı

Merhaba

Apple, 14 Eylül 2026 tarihinde bugüne kadarki en kapsamlı koordineli güvenlik güncellemelerinden birini yayınladı. iPhone, iPad, Mac, Apple Watch, Apple TV, Vision Pro, Safari ve Xcode’u kapsayan bu turda toplam 273 benzersiz kritik güvenlik açığı giderildi. Güncellemeler iOS 27, iPadOS 27, macOS Golden Gate 27, watchOS 27, tvOS 27, visionOS 27, Safari 27 ve Xcode 27 üzerinden dağıtıldı; ayrıca iOS ve iPadOS 26.7, macOS Tahoe 26.7 ve macOS Sequoia 15.8 ile eski cihazlara yönelik ek sürümler de yayınlandı.

Burada dikkat çeken nokta şu: Apple’ın on ayrı güvenlik bülteninde toplam 1.038 ürün seviyesinde CVE kaydı listeleniyor, fakat bu kayıtlar aynı açığın birden fazla üründe (ortak framework’ler nedeniyle) tekrar etmesinden dolayı 273 benzersiz açığa iniyor. Yani 273 rakamı her işletim sistemi için ayrı ayrı sayılan hata sayısı değil, tekilleştirilmiş toplam açık sayısı.

Güncellemenin Kapsamı

En geniş kapsama macOS Golden Gate 27 sahip: 210 CVE. Onu 154 CVE ile macOS Sequoia 15.8 ve 153 CVE ile macOS Tahoe 26.7 izliyor.

Aşağıdaki tabloda hangi ürünün hangi sürümle, hangi cihazlarda ve hangi tarihte güncellendiğini görebilirsiniz.

Öne Çıkan Kritik Açıklar

Genel görünüm: 273 açığın büyük kısmı bellek güvenliği (out-of-bounds write, use-after-free, integer overflow) kaynaklı, ancak aralarında uzaktan kod çalıştırmaya ve kernel yetkisi elde etmeye kadar uzanan ciddi örnekler de var.

En dikkat çekici düzeltmelerden biri Bluetooth bileşenindeki CVE-2026-65414. Bir out-of-bounds write hatası, uzaktaki bir saldırganın uygulamayı çökertmesine veya rastgele kod çalıştırmasına izin verebiliyordu. Apple bunu daha güçlü sınır kontrolleriyle (bounds checking) kapattı.

AVEVideoEncoder bileşenindeki CVE-2026-84607 ise bir race condition; sandbox’lı bir uygulamanın kernel yetkisiyle kod çalıştırmasına yol açabiliyordu. Medya işleme tarafında da CoreMedia (CVE-2026-64752) ve ImageIO (CVE-2026-65395) bileşenlerinde, özel olarak hazırlanmış bir görsel veya medya dosyasının işlenmesi sırasında tetiklenebilecek bellek bozulması sorunları giderildi. FontParser, CoreText, CoreUI, SceneKit, RealityKit ve Model I/O da benzer ayrıştırma (parsing) kaynaklı düzeltmeler aldı.

macOS tarafında ayrıcalık yükseltme (privilege escalation) ve güvenlik kontrolü atlatma konularına odaklanan önemli düzeltmeler var. autofs bileşenindeki CVE-2026-84568, ağ üzerindeki bir dizin sunucusunu kontrol eden saldırganın root olarak kod çalıştırmasına izin verebiliyordu. CUPS’taki CVE-2026-43692 ise uzaktaki bir kullanıcının çökme veya rastgele kod çalıştırma tetiklemesine yol açabiliyordu. Ayrıca Screen Sharing Server’daki CVE-2026-65400 kimlik doğrulama açığı, ağdaki bir saldırganın geçerli kimlik bilgisi olmadan ekran paylaşımına erişmesine imkan tanıyordu.

Aşağıdaki tabloda bu turun en kritik CVE’lerinin özetini bulabilirsiniz.

Gizlilik ve Sistem Kontrolü Düzeltmeleri

Bu turda gizlilik tarafında da kayda değer sayıda düzeltme var. Yapılan iyileştirmeler; uygulamaların kalıcı tanımlayıcıları (persistent identifiers) okumasını, yüklü diğer uygulamaları tespit etmesini, hassas dosyalara erişmesini, korumalı sistem konumlarını değiştirmesini, gizlilik tercihlerini atlatmasını veya kullanıcı konumunu öğrenmesini engelliyor. Etkilenen bileşenler arasında Keychain, Sign in with Apple, CloudKit, NetworkExtension, Spotlight, Photos, Siri ve Shortcuts yer alıyor.

macOS tarafında ise Gatekeeper, sandbox enforcement, file quarantine, TCC gizlilik kontrolleri, SMB, WebDAV, APFS, HFS ve exFAT dosya sistemi işleyicileri güçlendirildi.

Web Tarafı: WebKit ve Safari

WebKit bu turda da geniş bir düzeltme seti aldı: bellek bozulması, use-after-free, bilgi ifşası, cross-site scripting ve çökme sorunları Apple’ın tüm platformlarında giderildi. Safari 27 tek başına altı CVE çözüyor; bunlardan CVE-2026-86898, kötü amaçlı bir webarchive dosyası aracılığıyla evrensel cross-site scripting’e (universal XSS) yol açabiliyordu. CVE-2026-64753 ise web içeriği işlenirken hassas bilgilerin ifşa olmasına neden olabiliyordu. Xcode 27 ayrıca kullanıcıya özel hassas verileri açığa çıkarabilecek bir izin sorununu (CVE-2026-65393) düzeltiyor.

Kurumsal Ortamlar İçin Öncelik Sırası

Apple’ın birleşik yazılım mimarisi (unified software architecture) burada işin can alıcı noktası: ortak bir framework’teki tek bir açık; telefon, tablet, bilgisayar, saat, televizyon ve mekansal bilgi işlem (spatial computing) cihazlarını aynı anda etkileyebiliyor. Bu da yöneticilerin yalnızca iPhone’ları veya Mac’leri değil, tüm filoyu değerlendirmesi gerektiği anlamına geliyor.

Güvenlik ekipleri için öncelik sırası şöyle özetlenebilir: internete açık Mac’ler, güvenilmeyen medya veya arşiv dosyaları işleyen sistemler, Bluetooth’u açık cihazlar, paylaşımlı iş istasyonları, geliştirici makineleri ve dış dosya sunucularına bağlanmasına izin verilen uç noktalar. Uyum durumu mobil cihaz yönetimi (MDM) üzerinden doğrulanmalı, kritik uygulamalar test edilmeli; anormal çökmeler, ayrıcalık yükseltme girişimleri, izinsiz gizlilik değişiklikleri ve şüpheli ağ servisi hareketleri izlenmeli.

Geriye Dönüş: iOS 26.1 Güncellemesindeki 50’den Fazla Açık

Bu büyüklükte bir güncelleme aslında Apple için sıra dışı değil. Daha önce yayınlanan iOS 26.1 ve iPadOS 26.1 güncellemesi de gizlilik ihlallerine, uygulama çökmelerine ve olası veri sızıntılarına yol açabilecek 50’den fazla açığı gideriyordu. O güncelleme iPhone 11 serisinden itibaren ve çeşitli iPad modellerini (iPad Pro 3. nesil 12,9 inç ve sonrası, iPad Pro 11 inç 1. nesil ve sonrası, iPad Air 3. nesil ve sonrası, iPad 8. nesil ve sonrası, iPad mini 5. nesil ve sonrası) kapsıyordu.

O turda açıkların çoğu WebKit, Kernel ve Accessibility gibi temel bileşenlerde bellek bozulması, gizlilik sorunları ve sandbox escape kaynaklıydı. Açıkların büyük bölümünü ByteDance, Trend Micro’nun Zero Day Initiative’i, Google ve bağımsız araştırmacılar keşfetmişti; bu da iOS ekosistemindeki açık avcılığının ne kadar işbirlikçi bir süreç olduğunu gösteriyor.

Gizlilik ve sandbox tarafındaki öne çıkan düzeltmeler aşağıdaki tabloda özetleniyor. Örneğin Accessibility bileşenindeki CVE-2025-43442, bir uygulamanın cihazdaki diğer yüklü uygulamaları tespit ederek parmak izi çıkarmasına (fingerprinting) izin veren bir izin sorunuydu; Apple bunu daha sıkı kısıtlamalarla kapattı.

WebKit tarafında ise use-after-free ve buffer overflow kaynaklı çökme ve kod çalıştırma riskleri giderilmişti; ayrıca klavye tuş vuruşu izleme (keystroke monitoring) ve Canvas üzerinden cross-origin görsel hırsızlığı gibi gizlilik tehditleri de kapatılmıştı.

Nasıl Güncelleme Yapılır

Yazılımı güncel tutmak, bir Apple ürününün güvenliğini korumak için yapılabilecek en önemli şeylerden biri. Güncel sürümler şöyle: iOS ve iPadOS için 27, macOS için 27 (Golden Gate), tvOS için 27, watchOS için 27, visionOS için 27. Güncellemeler iPhone/iPad’de Settings > General > Software Update (Ayarlar > Genel > Yazılım Güncelleme), Mac’te ise System Settings > General > Software Update (Sistem Ayarları > Genel > Yazılım Güncelleme) yolundan ya da ilgili cihazın kendi güncelleme menüsünden yapılabilir.

Şunu da belirtmekte fayda var: iOS, iPadOS, tvOS, watchOS ve visionOS için bir güncelleme kurulduktan sonra önceki sürüme geri dönüş (downgrade) yapılamıyor. Bu yüzden kurumsal ortamlarda güncellemeyi geniş çaplı dağıtmadan önce kritik uygulamaları test etmek özellikle önemli.

Sonuç

273 açığın tek turda kapatılması, Apple’ın platformları arasındaki ortak kod tabanının hem gücünü hem de riskini bir arada gösteriyor: bir framework’teki düzeltme aynı anda yedi farklı işletim sistemine yayılabiliyor, ama tersi de doğru, tek bir zafiyet aynı anda tüm cihaz ailesini etkileyebiliyor. Şu an için istismar edildiği bilinen bir açık yok, fakat detaylı CVE bilgilerinin yayınlanmış olması saldırganların işini kolaylaştırabilir. Bu nedenle gerek bireysel kullanıcıların gerekse kurumsal BT ve güvenlik ekiplerinin güncellemeyi mümkün olan en kısa sürede uygulaması öneriliyor.

Başka bir yazımızda görüşmek dileğiyle…