Olayın Önemi ve Gelişmeler
ZAST.AI, geçmişte yüksek yanlış pozitif oranları sorununu ortadan kaldırmayı hedefleyen yenilikçi bir girişim olarak, 2025 yılında birçok açık kaynak projede sıfır gün (zero-day) güvenlik açıkları keşfetti. Bu durum, yazılım güvenliği alanındaki gelişmeleri önemli ölçüde etkilemektedir.
Keşfedilen Güvenlik Açıkları
ZAST.AI, 2025 yılında birçok tanınmış açık kaynak projesinde yüzlerce güvenlik açığı belirlemiştir. Bu bulgular, 119 CVE ataması ile sonuçlanmıştır. Etkilenen projelerden bazıları şunlardır:
- Microsoft Azure SDK
- Apache Struts XWork
- Alibaba Nacos
- Langfuse
- Koa
- node-formidable
Bu projeler, dünya genelinde işletmeleri destekleyen üretim düzeyindeki kodları kapsamaktadır.
Saldırı Nasıl Çalışıyor?
ZAST.AI, açık kaynak projelerde bulduğu güvenlik açıklarını belirlemek için “Otomatik POC Üretimi + Otomatik Doğrulama” teknik mimarisini kullanmaktadır. Geleneksel statik analiz araçlarının aksine, ZAST.AI gelişmiş yapay zeka teknolojisini kullanarak uygulamalar üzerinde derinlemesine kod analizi yapmaktadır.
Bu süreçte, güvenlik açıklarını sömüren kanıt niteliğindeki örnek kodlar (Proof-of-Concept – PoC) otomatik olarak üretilmekte ve bu PoC’lerin gerçekten güvenlik açığını tetikleyip tetiklemediği kontrol edilmektedir.
Etkilenen Sistemler
ZAST.AI’nın bulduğu güvenlik açıkları, yalnızca “sözdizim düzeyindeki” zafiyetlerle sınırlı kalmamaktadır. Aşağıdaki zafiyet türlerini de kapsamaktadır:
- SQL Injection
- XSS
- Güvenli Olmayan Deserialize
- SSRF
Ayrıca, karmaşık iş mantığı hataları gibi “anlamsal düzeyde” zafiyetleri de tespit edebilme yeteneğine sahiptir. Bu tür zafiyetler, geçmişte otomatik araçlar için zorlayıcı olarak görülmekteydi.
Çözüm ve Korunma
ZAST.AI’nın bulduğu açıklar, proje yöneticileri tarafından hızla yamalanmıştır. Güvenlik mühendisleri, geleneksel araçlardan gelen bildirimleri kontrol etmekle çok fazla zaman kaybetmemektedirler.
Sonuç ve Aksiyon Önerisi
Bu bulgular, işletmelerin güvenlik analizi sürecini köklü bir şekilde değiştirmektedir. Kullanıcıların aşağıdaki adımları atması önerilmektedir:
- Güncellemeleri Kontrol Etmek: Etkilenen sistemlerde güncellemeleri kontrol edin ve uygulayın.
- Port Kapama: Gerekli kabul edilmeyen servis ve portları kapatın.
- Şifre Güvenliğini Sağlamak: Güçlü şifreler kullanın ve mümkünse çok faktörlü kimlik doğrulama ekleyin.
Herhangi bir güvenlik açığına karşı hazırlıklı olmak, günümüz dijital dünyasında kritik öneme sahiptir.
