eMudhra şirketine ait sekiz ara sertifika otoritesinin (Intermediate CAs) özel şifreleme anahtarlarındaki zayıflıkla ilgili olarak Ekim 2026'da bir güvenlik açığının keşfedilmesinin ardından JetBrains şirketi, TeamCity platformu kullanıcıları için geliştirme ve operasyonel ortamlarının güvenliğini sağlamak amacıyla acil teknik yönergeler yayınladı.
Ne Oldu?
eMudhra'ya ait sekiz sertifika otoritesinin özel anahtarlarının zayıf olduğu ve kamuya açık verilerden kurtarılabileceği belirlendi. eMudhra, açığın açıklanmasından önce kötüye kullanıldığına dair hiçbir kanıt bulunmadığını doğrulamasına rağmen, tehlike; Java çalışma ortamı gibi güven depolarına (Trust Stores) güvenen yazılım bileşenlerinin bu ihlal edilmiş otoriteler tarafından verilen sertifikalara güvenmeye devam edebilmesinden kaynaklanmaktadır.
Kullanıcılar İçin Pratikte Ne Değişiyor?
JetBrains, açığın TeamCity platformunun kendisinde olmadığını, ancak dayandığı altyapıyı etkilediğini vurgulamaktadır. Bu nedenle DevOps ekiplerinin şu adımları atması gerekmektedir:
- Java Çalışma Ortamını (JRE) Güncelleme: TeamCity sunucularında ve derleme istemcilerinde (Build Agents) kullanılan Java ortamları, CVE-2026-91403 ve CVE-2026-114820 güvenlik açıklarını gideren sürümlere güncellenmelidir.
- TeamCity'yi Güncelleme: Sistemde etkilenen sertifikaların varlığını otomatik olarak tespit eden sağlık raporları (Health Reports) içeren 2026.2.2 veya 2026.1.6 sürümlerine yükseltme yapılması önerilir.
- Yüklenen Sertifikaları Gözden Geçirme: Java güncellemesi, kullanıcıların TeamCity'ye manuel olarak yüklediği sertifikaları kaldırmaz; bu nedenle kök proje (Root Project) içerisindeki sertifika yönetim arayüzü üzerinden bunların incelenmesi ve etkilenen tüm sertifikaların kaldırılması gerekir.
- CLI Araçlarını Güncelleme: TeamCity CLI, gerekli güvenlik düzeltmelerini içeren bir Go sürümüyle yeniden oluşturulduğu için 1.6.1 veya daha yeni bir sürüme güncellenmelidir.
Bu Haber Neden Önemli?
Bu olay, CI/CD ortamlarında güven zincirlerinin yönetiminin önemini hatırlatmaktadır. TeamCity, geliştirme operasyonları için bir merkez olarak çalıştığından, güvenilir sertifikalardaki herhangi bir açık, kimlik avı veya veri ele geçirme saldırılarına kapı aralayabilir. JetBrains tarafından sağlanan güncellemeler yalnızca yazılım iyileştirmeleri değil, üretim ortamlarında zayıf sertifikaların kötüye kullanılmasını önlemek için gerekli önleyici tedbirlerdir.
Sistem yöneticileri ayrıca, işletim sistemleri, Git ve Python gibi derleme araçları ve konteynerler (Docker) dahil olmak üzere, ihlal edilmiş sertifikaları içeren güven depolarına güvenmediklerinden emin olmak için destekleyici altyapıyı da gözden geçirmelidir.