Güvenlik
haberleri

Sahte 'evet': .NET 10 MCP sunucusundaki insan onayına yapılan 6 saldırı

Bir geliştirici, ASP.NET Core ve resmi C# MCP SDK'sı (ModelContextProtocol 2.3.0) ile kurduğu para iadesi sunucusundaki onay adımını kırmak için altı saldırı denedi. requestState'in şifrelenmemesi, başka kullanıcının onayının tekrar oynatılması, form alanlarına enjekte edilen değerler ve varsayılanı işaretli onay kutusu gibi açıkların her birine karşı sunucuda somut savunmalar kuruldu.

PHP2Shell ve Azure DevOps: Pipeline'larda neyi kontrol etmeli

PHP, uzaktan kod çalıştırmaya yol açabilen iki kritik güvenlik açığını 21 Ekim 2026'da duyurdu. Azure DevOps Services ve Server müşteri isteklerini PHP ile işlemediği için risk, pipeline'ların ve dağıtılan uygulamaların kullandığı PHP çalışma zamanlarında. Yazı, hangi PHP kurulumunun Microsoft'a, hangisinin size ait olduğunu açıklıyor.

.NET 8, 9, 10 ve 11 için OOB güvenlik güncellemesi: Brotli ve tarball sahipliği

Microsoft, .NET 8, 9, 10 ve .NET 11 RC3 için acil güvenlik güncellemeleri yayımladı. CVE-2026-111497 Brotli açımızı kapatıyor, CVE-2026-114148 ise Linux tarball sahipliği sorununu düzeltiyor. Ayrıca önceki Ekim güncellemesinde tam kapanmayan iki sorun yeniden ele alındı. Uygulamalarınızı ve container imajlarınızı güncellemeniz öneriliyor.

Kimlik doğrulama yetmez: ASP.NET Core'da IDOR ve kaynak aitliği

Bir geliştirici kendi güvenlik testinde, bir endpoint'in kaydın kullanıcıya ait olup olmadığını kontrol etmediği bir IDOR açığı buldu. Yazı, [Authorize] ile kaynak aitliği arasındaki farkı ve kontrolü hafızaya değil koda bağlamanın yollarını anlatıyor.

Azure DevOps'ta agentic Copilot Autofix: kod ve bağımlılık açıkları için düzeltme

Azure DevOps için GitHub Advanced Security kapsamındaki Copilot Autofix artık agentic bir altyapıda çalışıyor. Araç, kod tarama ve bağımlılık güvenlik açığı uyarılarına pull request olarak düzeltme önerebiliyor ve üçüncü taraf tarayıcıların uyarılarını da kapsıyor. Ekip birleştirme kararını yine kendisi veriyor.

ITicketStore ile ASP.NET Core kimlik doğrulama çerezini küçültmek

Cookie tabanlı kimlik doğrulamada tüm AuthenticationTicket çereze yazıldığı için büyük claim setleri çerez boyutunu şişirebiliyor. ITicketStore ile ticket sunucuda tutulur ve çerezde yalnızca bir anahtar kalır. Bellek içi ve dağıtık önbellek örnekleri, ölçekleme ve iptal konusundaki ödünleşimlerle birlikte anlatılıyor.

ADFS userinfo endpoint ile allatclaims yerine ek claim'leri almak

ADFS'te ID token'ı küçük tutup ek claim'leri OpenID Connect userinfo endpoint'inden almanın yolu anlatılıyor. Claim kurallarının userinfo kaynağına nasıl tanımlanacağı ve ASP.NET Core OpenIdConnect ayarları ele alınıyor. Token audience hatası (MSIS9921) ve doğru token ayrımı da kritik noktalar arasında.