Hâlâ iOS 16'da mısınız? Hackerlar eski iPhone'larda 2024 Safari açığını kullanıyor

4 Kasım 2026'da ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı, Apple WebKit açığı olan CVE-2024-27834'ü Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. ABD federal kurumlarının yamayı uygulaması için son tarih 18 Kasım 2026. CISA etkilenen ürünü Apple "Multiple Products" olarak listeliyor.

Açık 2024'ten kalma. Apple sorunu 13 Mayıs 2024'te iOS 17.5 ve Safari 17.5'te, ayrıca daha eski iPhone 8, iPhone 8 Plus ve iPhone X için iOS 16.7.8'de düzeltti. Haberlere geri dönmesinin nedeni, saldırganların hâlâ o güncellemeyi hiç yüklememiş telefonlara karşı kullanması. Düzeltme iki yılı aşkın süredir mevcut. Hedef alınan telefonlar, Mayıs 2024'ten önce güncellemeyi bırakanlar.

Ayrıntılardan önce kısa bir özet:

• iPhone 8, 8 Plus veya X'iniz iOS 16.7.8 veya sonraki bir sürümü çalıştırıyorsa, bu belirli saldırı zinciri telefonunuzda işe yaramaz.
• Sürüm iOS 16.7.7 veya daha eskisinde kaldıysa, açıkta sizsiniz ve bugün güncellemelisiniz.
• Android'de Chrome'un eski bir sürümünü kullanıyorsanız, benzer bir saldırı sizi de etkiler. Chrome 146 veya sonrası bunu düzeltiyor.

CISA 4 Kasım'da neyi ekledi ve 2024 tarihli bir açık neden geri döndü?

Açığın kendisi WebKit'te, yani Safari'nin ve iPhone tarayıcılarının çoğunun arkasındaki tarayıcı motorunda yer alıyor. Belleğe okuma ve yazma erişimi olan bir saldırganın, iPhone'un savunma mekanizmalarından biri olan Pointer Authentication'ı aşmasına olanak tanıyor. Apple, Trend Micro'nun Zero Day Initiative'i ile çalışan Manfred Paul'a bu keşfi atfediyor. Apple'ın iOS 17.5 ve iOS 16.7.8 için yayımladığı özgün düzeltme notlarını okuyabilirsiniz.

CISA listesine konu olan kampanyayı, aynı gün yayımlanan bir raporla Fransız güvenlik şirketi Sekoia belgeledi. Bu kampanyanın yaptıklarını sonraki bölümlerde ele alıyoruz.

Hangi telefonlar risk altında?

Sekoia'nın belgelediği saldırı zincirleri cihaza ve yazılım sürümüne göre ayrılıyor. CVE-2024-27834 etrafında kurulan iPhone zinciri yalnızca iOS 16.7.7 ve öncesinde takılı kalmış telefonlarda çalışıyor, çünkü Apple bu açığı Mayıs 2024'te yayımlanan iOS 16.7.8'de kapattı. İkinci bir iPhone zinciri iOS 18.5'i hedefliyor, üçüncüsü ise Android'deki Chrome'u, özellikle 139 ile 145 arasındaki sürümleri hedefliyor.

iPhone 8, 8 Plus ve X için bir uyarı gerekiyor. Bu telefonlar iOS 16 üzerinde her düzeltmeyi değil, ara sıra düzeltme alıyor. Tam olarak güncellenmiş bir iOS 16.7.16 telefon Zincir A'yı etkisiz hale getiriyor, ancak daha yeni iOS sürümlerinde kapatılmış başka WebKit hataları taşıyor olabilir. Bu da bu telefonların ne için kullanılması gerektiğini sınırlıyor; konuyu aşağıda ele alıyoruz.

Bir web sitesi ziyareti saldırıya nasıl dönüştü?

Yöntemin adı su deliği saldırısı. Saldırganlar hedeflere bağlantı ya da mesaj göndermek yerine, hedeflerin muhtemelen ziyaret edeceği sitelere kod yerleştiriyor. Güvendiğiniz bir siteye giriyorsunuz ve site istismar kodunu size sunuyor.

Sekoia bu kampanyada hangi sitelerin rol oynadığını belgeledi. Bunlar haber siteleri değildi. Listede hacklenmiş meşru sayfalar vardı: bir Ukraynalı gaz üretim şirketi, bir ABD kimya sektörü ticaret derneği, bir Çek siyasi partisi ve Bulgaristan'la ilişkili askeri bir site. Ayrıca iki taklit alan adı vardı; biri ABD'nin America250 yıldönümü sitesini, diğeri Londra'daki bir lüks oteli taklit ediyordu. Hacklenmiş bir Ukraynalı web analitik betiği olan Plerdy, 27 Ağustos ile 3 Eylül 2026 arasında ağırlıklı olarak Ukrayna'daki binlerce web sitesinde bulunuyordu. Etkilenen ülkeler ABD, Ukrayna, Çekya ve Bulgaristan, otel taklidi üzerinden de Birleşik Krallık oldu.

Bunu telefonda okuyan biri için en önemli iki ayrıntı şunlar:

• Dokunmaya gerek yoktu. Sekoia'ya göre istismarlar kullanıcı etkileşimi olmadan sunuldu. Sayfayı yüklemek yeterliydi.
• Yeniden başlatmanın ardından telefonda hiçbir şey kalmıyordu. Kalıcılık yoktu.

Sekoia, kampanyayı orta ile yüksek arası bir güven düzeyiyle APT29'a bağlıyor; şirket bu grubun yaygın biçimde Rusya'nın dış istihbarat servisiyle ilişkilendirildiğini belirtiyor. Kimliğin tespitinin ötesinde pratik ders, 2018'deki Safari ve WebKit yazımızdaki dersin aynısı: yamalanmış bir tarayıcı, düşmanca bir sayfa ile zararsız bir sayfa arasındaki farkı belirler. Sekoia'nın kendi sonucu da şu: güncel bir işletim sistemi kullanan kullanıcı bu saldırılardan etkilenmiyor, çünkü tüm açıklar kampanya başlamadan önce üretici tarafından kapatılmıştı.

Güncellendikten sonra iPhone 8 veya iPhone X güvenli mi?

Çoğunlukla evet. A zinciri birlikte çalışan iki açığa ihtiyaç duyuyor. Bunlardan biri olan CVE-2024-27834, Apple'ın notlarına göre 13 Mayıs 2024'te iOS 16.7.8'de kapatıldı. Yani iOS 16.7.8 veya sonrasında, şu anki iOS 16.7.16 dahil, çalışan bir telefon bu zinciri kırıyor. Saldırı böyle bir telefonda işe yaramıyor.

Sınır, zincirdeki diğer açık olan CVE-2025-43529. Apple'ın notları bu açık için iOS 18 ve iOS 26'da bir düzeltme listeliyor, ancak iOS 16 için hiçbir düzeltme yok. Bu nedenle tam güncellenmiş bir iPhone 8 veya X bu kampanyayı engelliyor; yine de telefon, daha yeni iPhone'larda bulunmayan başka WebKit açıkları taşıyor olabilir. iOS 16 ara sıra düzeltme alıyor ama her düzeltmeyi almıyor ve aradaki fark zamanla büyüyor.

Bunun pratikte anlamı şu:

• iOS 16.7.7 veya daha eski bir sürümde çalışan telefon A zincirine açık. Ayarlar, ardından Genel, ardından Yazılım Güncelleme bölümünden bugün iOS 16.7.16'ya güncelleyin.
• iOS 16.7.16'da çalışan telefon bu kampanyaya karşı güvende ama tam yamalı kabul edilmemeli. Arama, mesajlaşma ve gezinme için tutun; bankacılık ve iş hesaplarını daha yeni bir telefona taşıyın.
• Artık hiç güncelleme almayan bir telefon emekli edilmeli. Yamalanmamış tarayıcı açıkları birikmeye devam eder.

Şu anki iOS 16 sürümü olan 16.7.16, Apple'ın sürüm notlarına göre 11 Mayıs 2026'da çıktı.

Android telefonlar ve Chrome ne durumda?

Üçüncü zincir iOS'u değil Android'i hedefliyor. Chrome'daki bir açık olan CVE-2026-3910 ile Qualcomm grafik sürücüsündeki bir açık olan CVE-2025-27038 bir arada kullanılıyor. Sekoia'ya göre bu zincir Chrome çerezlerini, kayıtlı giriş bilgilerini, tarama geçmişini ve Wi-Fi ayarlarını alıyor.

Chrome'daki açık, 12 Mart 2026'da masaüstü ve Android için Chrome 146 ile kapatıldı. Google o tarihte bir istismarın sahada bulunduğunu açıklamıştı. Yani burada da aynı kuralın geçerli olduğu anlamına geliyor: etkilenen telefonlar, Mart 2026'dan önce güncellenmeyi bırakan Chrome 139 ile 145 arasındaki sürümleri çalıştıranlar.

Android'de iki ayrı güncelleme önemli ve ikisi birlikte gelmiyor:

• Tarayıcı: Play Store'u açın, Chrome arayın ve Güncelle'ye dokunun. Yüklü sürümü Chrome'un Ayarlar menüsünden, ardından Chrome Hakkında bölümünden kontrol edebilirsiniz. Hedefiniz 146 veya üzeri bir sürüm.
• İşletim sistemi: Qualcomm sürücüsündeki açık, Android sistem güncellemeleriyle kapatılıyor; Ayarlar bölümünden Sistem veya Yazılım güncellemesi menüsüne gidin. Güncellenmemiş bir Android sistemi üzerindeki güncel Chrome, zincirin ikinci yarısını taşımaya devam eder.

Sürücü düzeltmesinin bir telefona ulaşması, üreticisinin sistem güncellemesi gönderip göndermemesine bağlı. Hiç güncelleme almayan bir telefon, eski bir iPhone gibi emekli edilmeli. Risk, aldıkları güncellemeleri hiç yüklemeyen kullanıcılara ait telefonlarda yoğunlaşıyor; bu kampanyadaki üç zincirin hepsinde de görülen desen tam olarak bu. Chrome'unuz aylardır 145 veya altı bir sürümde duruyorsa, bunu bugün güncellemeleri kontrol etmek için bir işaret sayın.

Bugün ne yapmalısınız?

Çözümler sıradan güncellemelerden ibaret ve bu kampanyadaki her zafiyet saldırılar başlamadan önce üretici tarafından yamalandı.

• iPhone'da Ayarlar, ardından Genel, ardından Yazılım Güncelleme bölümüne gidin ve sunulan her şeyi yükleyin. iPhone 8, 8 Plus ve X sahipleri iOS 16.7.16 veya üstüne geçmeli.
• Android'de Play Store'u açın, Chrome arayın ve Güncelle'ye dokunun. Sonucu Chrome'un Ayarlar bölümünden, Chrome Hakkında altından kontrol edin. Hedefiniz 146 veya üstü bir sürüm.
• Android sistem güncellemelerini ayrıca, Ayarlar altından, Sistem veya Yazılım güncelleme bölümünden yükleyin. Yalnızca tarayıcı güncellemesi zincirin tamamını kapatmaz.
• Telefonunuz artık hiç güncelleme almıyorsa bankacılık, iş hesapları ve alışveriş için kullanmayı bırakın. Bu hesapları yamaları alan bir cihaza taşıyın.
• iPhone 8, 8 Plus veya X'i hassas bir iş için kullanıyorsanız değiştirmeyi planlamaya başlayın. Arada gelen düzeltmeler tam destek anlamına gelmez.
• Sekoia kalıcılık bulamadı, yani yeniden başlatma sonrası telefonda hiçbir şey kalmıyor, ancak alınmış çerezler alınmış olarak kalıyor; yamalanmamış bir telefon bu sayfalardan birini yüklemiş olabilirse önemli hesaplarınızda tüm oturumları kapatın ve yeniden giriş yapın.

Bunların hiçbiri yeni bir tavsiye değil. 2014'teki Apple SSL zafiyeti yazımızda anlattığımız rutinin aynısı: güncellemeleri kontrol et, yükle, tekrarla. Mobil güvenlik merkezi bu temellerin daha fazlasını tek bir yerde topluyor.

Bir VPN sizi tarayıcı açığından koruyabilir mi?

Hayır. Bir VPN, cihazınız ile VPN sunucusu arasındaki trafiği şifreler ve IP adresinizi ziyaret ettiğiniz sitelerden gizler. Herkese açık Wi-Fi ağlarında sizi güvende tutar; bunu herkese açık Wi-Fi yazımızda ele almıştık. Safari ya da Chrome'u yamamaz, yüklediğiniz sayfaları incelemez.

Bu kampanyadaki açıklar tarayıcının kendisi üzerinden geldi. Ele geçirilmiş bir sayfa bir açık sunuyorsa, o açık sayfanın geri kalanı gibi şifreli tünelin içinde gelir. VPN tek bir sunucuya giden şifreli trafik akışını görür; düşmanca bir sayfayı zararsız olandan ayırt etmenin bir yolu yoktur. Şifreleme aktarımdaki veriyi korur, tarayıcınızın veri geldiğinde çalıştırdığı kodu değil.

VPN'in işe yaradığı yer mobil kullanımınızın geri kalanıdır. Otel, havaalanı ya da kafe Wi-Fi'ında trafiğinizi o ağdaki diğer herkesten uzak tutar. Bu, herkese açık Wi-Fi yazımızda anlatılan durumdur. Bu kampanyanın istismar ettiği sorundan farklı bir sorundur.

İki katman farklı işler yapar. Güncellemeler, tarayıcı açıklarının dayandığı kusurları kapatır. Bir VPN, kontrol etmediğiniz ağlarda trafiğinizi korur. VPN bir katmandır, güncellemeler öteki katmandır.