Plugin4Shell 4 Kodlama Aracını Vurdu, 2'si Hâlâ Yamasız

Güvenlik şirketi AIR, 17 Eylül 2026'da yayımladığı araştırmada "Plugin4Shell" adını verdiği açığı anlattı: en yaygın kullanılan dört yapay zekâ kodlama aracının (Anthropic'in Claude Code'u, OpenAI'nin Codex'i, GitHub Copilot ve Google'ın Gemini CLI'ı) eklenti güvenliği için dayandığı SHA sabitlemesini devre dışı bırakan bir kusur. Araştırmacılar Or Nevo, Dor Granat ve Niv Hoffman, her aracın pazar yerinin sabitlediği commit'i çektiğini ama çekme işleminin gerçekten o commit'e indiğini hiç doğrulamadığını buldu.

Claude Code, Codex ve Copilot'ta yöntem bir dal adı. Eklentinin deposunu ele geçiren saldırgan, 40 karakterlik commit özetiyle aynı adı taşıyan bir dal açıp bunu varsayılan dal yapıyor. Git, aynı ada sahip bir nesne ile bir referans arasında referansı tercih ediyor ve yalnızca "refname is ambiguous" uyarısı basıyor; böylece araç saldırganın kodunu kurarken kurulumu sabitlenmiş commit'te başarılı gösteriyor. Gemini CLI'da hata farklı işliyor: araç sabitlenen commit'i indirip git checkout FETCH_HEAD çalıştırıyor, deponun varsayılan dalının adı FETCH_HEAD ise çekme işlemi o dala çözümleniyor. AIR'ın önerdiği çözüm aracın içinde tek bir kontrol: çekmeden sonra git rev-parse HEAD çıktısı sabitlenen özetle karşılaştırılsın, tutmuyorsa işlem iptal edilsin.

Saldırıyı tek tık bile gerektirmez yapan şey arka planda çalışan otomatik güncelleme. AIR'a göre bu, Claude Code ve Codex'te varsayılan ayar. Geliştiricinin çoktan kurduğu ve güvendiği bir eklenti, hiçbir onay penceresi çıkmadan değiştiriliyor. AIR açığı Mayıs 2026'da dört aracın hepsine karşı çalışan bir kanıt koduyla bulduğunu, Haziran'da eşgüdümlü açıklama kapsamında satıcılara bildirdiğini ve ayrıntıları ancak bu hafta yayımladığını söylüyor.

Satıcıların yanıtı birbirinden ayrıldı. Anthropic, 17 Haziran 2026'da Claude Code 2.1.179 sürümündeki düzeltmeyi doğruladı; o sürümün kamuya açık değişiklik günlüğünde rutin düzeltmeler sıralanıyor ve açıktan söz edilmiyor. OpenAI'nin Codex 0.146.0 sürümü 12 Ağustos'ta düzeltilmiş olarak doğrulandı. Microsoft, GitHub Copilot için herhangi bir düzeltme yayımlamadı. Google ise 4 Ağustos'ta AIR'a Gemini CLI'ı yamalamayacağını, aracın kullanımdan kaldırıldığını ve kullanıcıların AIR'ın bu saldırının ulaşamadığını söylediği Antigravity'ye geçmesi gerektiğini bildirdi. Help Net Security 18 Eylül'de aynı tabloyu aktardı.

Önemli bir sınır var: dal adı varyantı yalnızca git sunucusunun 40 haneli onaltılık bir dal adına izin verdiği yerde işliyor. AIR'ın belirttiğine göre GitHub bu adları doğrudan reddediyor; Bitbucket ve kendi sunucusunda barındırılan git kurulumları ise kabul ediyor ve Anthropic'in kendi belgeleri bu ikisini geçerli pazar yeri altyapısı olarak listeliyor. Açığa bir CVE numarası verilmedi; ne AIR ne de Help Net Security gerçek dünyada bir istismar bildiriyor, saldırı bir kanıt kodu olarak var. AIR ajan güvenliği ürünleri satıyor ve kendi pazar yeri müşterilerinin etkilenmediğini söylüyor. Copilot ile Gemini CLI kullanıcılarının kurabileceği bir yama ise hâlâ yok.

Şeffaflık notu: NewUJ'nin editoryal süreci Anthropic'in Claude modellerini kullanıyor.