CISA, 10-11 Eylül 2026 tarihli kayıtlarla aktif istismar edilen beş açığı KEV kataloğuna ekledi. Listenin başında CVSS 9,9 puanlı ConnectWise ScreenConnect açığı var; federal yama son tarihi 14 Eylül 2026 idi.
CISA, CVE-2026-85706'yı 11 Eylül 2026'da istismar edilen açıklar kataloğuna ekledi. GitLab'ın bülteni açığı repository commits API'sinde bir dizin geçişi hatası olarak tanımlıyor: CVSS'te 10,0 puan ve kimlik doğrulamasız keyfi dosya okuma. Federal kurumlar için yama tarihi 14 Eylül'dü.
Google'ın 8 Eylül 2026 tarihli Chrome 153 duyurusu, V8 motorundaki sınır dışı yazma açığı CVE-2026-87491 için gerçek dünyada bir istismarın var olduğunu söylüyor. Bu, 2026'nın yedinci aktif istismar edilen Chrome sıfır-günü — ve yama ancak tarayıcıyı yeniden başlatınca koruyor.
Cisco Talos, 9 Eylül 2026'da üç saldırı kümesinin CVE-2026-20079'u istismar ettiğini doğruladı: biri Sandworm'la örtüşüyor, biri Qilin fidye yazılımı iştirakçileriyle tutarlı. Açık, Secure Firewall Management Center'da CVSS 10.0 puanlı bir kimlik doğrulama atlatması.
IDScan.net, bulutundaki müşteri hesaplarından tam isimlerin ve ehliyet numaralarının kopyalanmış olabileceğini açıkladı; karanlık ağda 153 milyondan fazla kimlik taraması satışa çıkarılmıştı. FBI olayı inceliyor.
Microsoft'un 8 Eylül 2026 Patch Tuesday güncellemesi, saldırılarda zaten kullanılan iki Windows sıfırıncı gün açığını kapattı: ALPC'deki CVE-2026-85880 ve Update Stack'teki CVE-2026-81963. CISA aynı gün ikisini de kataloğuna ekledi; sivil federal kurumlar için son tarih 22 Eylül.
CERT Polska, MikroTik RouterOS'taki MikroTrick zincirinin en az 2 Eylül'den beri, yani 3 Eylül yamalarından bir gün önce internete açık SSH'a karşı kullanıldığını bildiriyor. Shadowserver yaklaşık 122.500 açık cihaz saydı.
Güvenlik araştırmacısı Scott Helme'nin 7 Eylül'de yayımladığı teknik analiz, Manchester Havalimanları Grubu ihlalinin kaynağını herkese açık site kodunda dört yıldan uzun süre değiştirilmeden duran üç Iterable API anahtarına dayandırıyor. Have I Been Pwned 8,8 milyon hesap listeliyor.
Adobe'nin 7 Eylül'de yayınladığı acil yama, 4 Eylül'den beri istismar edilen ve CVSS 10.0 puan alan StyleSmuggler açığını kapatıyor.
GreyNoise'a göre tek bir saldırgan yüzlerce otonom yapay zeka ajanını PaperCut NG/MF'ye sürdü: 48 ülkede 395 kuruluş vuruldu, 11'i 26 saniyede düştü.
Ağustos'ta yamalanan kritik bir Citrix NetScaler kimlik doğrulama atlatma açığı, halihazırda aktif olarak istismar ediliyor; on binlerce cihaz hâlâ internete açık durumda.
Google, saldırganların halihazırda istismar ettiği Chrome V8 açığı CVE-2026-85046'yı acil güncellemeyle kapattı; işte değişenler ve güncelleme yöntemi.
SonicWall, SMA1000 VPN cihazlarındaki iki açığın istismar edildiğini doğruladı; biri CVSS'te tam 10.0 puan aldı. CISA, federal kurumlara 5 Eylül'e kadar yama zorunluluğu getirdi.
Onkoloji şirketi Novocure, ABD'de 1.400'den fazla kanser hastasının kayıtlarını ve personel verilerini etkileyen Ağustos ortası siber saldırıyı SEC'e bildirdi.
Dünya genelinde yaklaşık 22 bin Microsoft Exchange sunucusu, saldırganların e-posta kutularını ele geçirmesine izin veren CVE-2026-62911 açığına karşı hâlâ yamasız durumda.
X, yeni ödeme özelliği X Money'nin devreye girmesinin ardından kullanıcı hesaplarına yönelik yetkisiz şifre sıfırlama girişimi dalgası yaşandığını doğruladı; şirket sistem ihlaline dair kanıt bulunmadığını açıkladı.
Rusça konuşan Qilin fidye yazılımı grubu, ABD'nin ATF kurumuna ait bir dinleme altyapısı sisteminden çaldığı yaklaşık 6,3 GB dosyayı fidye süresi dolunca yayımladı.
Sygnia, Fire Ant adlı Çin bağlantılı grubun VMware'den Cisco IOS XR yönlendiricilerine ve TACACS sunucularına yayıldığını, güvenilir ağ cihazlarını casusluk aracına dönüştürdüğünü açıkladı.
Anthropic, kullanıcıların kendi bilgisayarlarındaki bilgi hırsızı zararlı yazılımın Claude oturumlarını çalmasının ardından oturumları kapatıyor, kayıtlı ödeme yöntemlerini siliyor ve yetkisiz ücretleri iade ediyor.
Hasbro, Mart 2026'daki siber saldırıyla bağlantılı bir ihlalde çalışanların sosyal güvenlik numaraları dahil kişisel ve mali verilerinin sızdığını açıkladı.
Yaklaşık 8 milyon takipçisi olan Pokémon'un resmi X hesabı kısa süreliğine ele geçirilerek sahte bir memecoin tanıtıldı; şirket kontrolü geri alıp gönderileri sildi.
ABD'li sağlık devi McKesson, ShinyHunters adlı siber suç grubunun 284 milyon hasta kaydını çaldığını iddia ederek 55 milyon dolar fidye talep ettiğini açıkladığı ihlali doğruladı.
OpenAI, Anthropic, Microsoft ve 100'den fazla şirket, hastane ve su tesislerinin yapay zeka destekli saldırılara karşı daralan bir savunma penceresine sahip olduğunu duyurdu.
PaperCut, NG/MF yazıcı yazılımındaki sıfır-gün açığından etkilenen müşteri olaylarını doğruladı; zincirlenen iki açık kimlik doğrulama atlatma ve uzaktan kod çalıştırmaya izin veriyor.