Açık Vite Sunucuları AWS ve Azure Kimlik Bilgileri İçin Taranıyor

Yazılım geliştirme dünyasının hızla benimsenen araçlarından Vite, siber suçluların yeni hedefi haline geldi. İnternete açık Vite sunucuları, geliştiricilerin bulut kimlik bilgileri, altyapı yapılandırmaları ve kritik ortam dosyaları için yoğun bir şekilde taranıyor. Bu durum, özellikle bulut tabanlı geliştirme süreçlerini kullanan firmalar ve bağımsız yazılımcılar için ciddi güvenlik riskleri barındırıyor.

Vite Geliştirme Ortamları Neden Hedefte?

Vite, ilk olarak Vue.js gibi JavaScript framework’leri için bir geliştirme sunucusu ve derleme aracı olarak ortaya çıktı. Sunduğu hızlı yeniden yükleme yetenekleri ve modüler yapısı sayesinde kısa sürede JavaScript ekosisteminin genelinde popüler bir araç haline geldi. Geliştiricilerin projelerini yerel makinelerinde çalıştırırken, hızlı geri bildirim almalarını ve verimli bir iş akışı sürdürmelerini sağlar. Ancak, geliştirme kolaylığı bazen güvenlik zaaflarına yol açabilir.

Vite normalde yalnızca yerel ana bilgisayar (localhost) üzerinde çalışacak şekilde tasarlanmıştır. Ancak çeşitli yapılandırma hataları veya kasıtlı müdahalelerle bu durum değişebilir. Geliştiricilerin –host seçeneğini kullanması, sunucu yapılandırmasındaki yanlış ayarlar, konteyner port eşleştirmeleri veya diğer dağıtım hataları, bir Vite geliştirme sunucusunun genel internete açılmasına neden olabilir. Bu açık uçlar, kötü niyetli aktörler için kolay bir hedef haline gelir.

CVE-2026-39364: Dosya Erişimi Nasıl Atlatılıyor?

Saldırıların merkezinde, yakın zamanda ortaya çıkarılan ve yetkilendirilmemiş saldırganların Vite’ın dosya erişim kısıtlamalarını aşarak ana sistemden dosya almasını sağlayan bir güvenlik açığı bulunuyor. CVE-2026-39364 olarak izlenen bu kusur, sunucunun hassas dosyalara erişimi engellemek için kullandığı server.fs.deny engelleme listesi korumasını bypass etmeye olanak tanıyor. Bu, kritik yapılandırma dosyalarının veya kimlik bilgilerinin ifşa olma riskini artırır.

Söz konusu güvenlik açığı, isteklere ?raw, ?import&raw veya ?import&url&inline gibi belirli parametreler eklendiğinde devreye giriyor. Bu durumda, sunucu engelleme listesi filtrelemesini uygulayamıyor ve hedeflenen dosyayı bir HTTP 200 yanıtıyla sunuyor. Bazı isteklerde, ters proxy’ler ve web uygulama güvenlik duvarları (WAF’ler) gibi güvenlik kontrollerini atlatma girişimi olarak çift kodlanmış dizin atlama yöntemlerinin de kullanıldığı gözlemlendi. CVSS 8.2 şiddet puanına sahip olan bu güvenlik açığı, Vite’ın 7.1.0 sürümünden 7.3.2 öncesi sürümlerini ve Vite 8’in 8.0.5 öncesi sürümlerini etkiliyor.

Bulut Kimlik Bilgileri İçin Yoğun Taramalar

Ağ güvenlik uzmanları, Ağustos ayında açık Vite sunucularına yönelik tarama girişimlerinde keskin bir artış AWS anahtarları, Azure token’ları ve altyapı kodlama (Infrastructure-as-Code) durum dosyaları için kapsamlı kelime listelerini sistematik olarak döngüye sokarak taramalar gerçekleştiriyor.

Bu durum, saldırganların sadece tesadüfi zafiyet arayışında olmadığını, spesifik olarak bulut hizmetlerine ait kimlik bilgilerini ve hassas yapılandırma verilerini ele geçirmeyi hedeflediğini gösteriyor. Ele geçirilen bu tür bilgiler, siber suçluların bulut altyapılarına geniş çaplı erişim elde etmelerine, veri hırsızlığı yapmalarına, kötü amaçlı yazılımları dağıtmalarına veya fidye yazılımı saldırıları düzenlemelerine olanak tanıyabilir. Geliştirme ortamlarının, nihai üretim sistemlerine açılan bir kapı olma potansiyeli, bu saldırıları özellikle tehlikeli kılıyor.

Geliştiriciler İçin Güvenlik Önlemleri

Bu tür saldırılara karşı korunmak ve potansiyel veri ihlallerini önlemek adına geliştiricilerin ve kurumların acilen adımlar atması gerekiyor. İlk ve en önemli adım, kullanılan Vite sürümünü yamalı bir versiyona güncellemektir. Etkilenen sürümleri kullanan herkesin, yayınlanan güvenlik düzeltmelerini içeren en son Vite sürümüne geçiş yapması kritik öneme sahiptir. Ayrıca, potansiyel olarak ifşa olmuş olabilecek tüm sırların, API anahtarlarının ve bulut kimlik bilgilerinin derhal rotasyona tabi tutulması gerekmektedir.

Geliştirme sunucularının dış arayüzlere bağlanmadığından emin olmak, bir diğer temel güvenlik prensibidir. Geliştirme ortamları, internete doğrudan açılmamalı; bunun yerine yalnızca güvenli, iç ağlar üzerinden erişilebilir olmalıdır. Docker, Kubernetes ve genel bulut yapılandırmaları düzenli olarak denetlenmeli, geliştirme portlarının yanlışlıkla genel internete açık bırakılmadığından emin olunmalıdır. Kurumlar, saldırganların kullandığı dizin ve kimlik bilgisi kelime listelerini inceleyerek kendi sistemlerindeki olası zayıf noktaları tespit edebilir.

Siber Saldırıların Gelişen Yüzü: Çoklu Tehditler

Vite sunucularına yönelik bu saldırılar, siber güvenlik dünyasındaki daha geniş bir eğilimin parçası. Saldırganlar, CVE-2026-39364 gibi yeni keşfedilen zafiyetleri, CVE-2025-30208, CVE-2025-31125 ve CVE-2024-45811 gibi daha eski Vite dosya erişim güvenlik açıklarıyla birleştirerek etki alanlarını genişletiyor. Aynı tarama altyapısının Next.js middleware bypass zafiyetlerini de hedeflemesi, bu faaliyetlerin tek bir framework ile sınırlı olmadığını gösteriyor. Bu durum, siber suçluların sürekli olarak yeni yöntemler ve birden fazla zafiyet zinciri kullanarak sistemlere sızmaya çalıştığını ortaya koyuyor.

Henüz tüm Vite güvenlik açıkları CISA’nın Bilinen İstismar Edilen Zafiyetler (KEV) kataloğunda listelenmemiş olsa da, bu durum tehdidin ciddiyetini azaltmıyor. Her ne kadar bu yeni Vite açıkları, en sık saldırılan eski zafiyetlerin (örneğin PHPUnit’taki CVE-2017-9841 veya WordPress’teki CVE-2018-14028) başında yer almasa da, hızlı yükselişi ve kritik bilgileri hedef alması nedeniyle göz ardı edilmemelidir. Geliştirme süreçlerinin karmaşıklığı arttıkça, bu tür araçlara yönelik güvenlik bilinci ve proaktif tedbirler her zamankinden daha önemli hale geliyor.