Ghostty 1.4.0 Sürüm Notları: Performans, Kitty Grafik Protokolü ve Kritik Güvenlik Yamaları

27 Ekim 2026'da yayınlanan Ghostty 1.4.0, 7 aylık bir geliştirme sürecinin, 172 katkıcının ve 2.889 commit'in ürünü olan kapsamlı bir sürümdür. Büyük performans ve bellek iyileştirmeleri içeren bu sürüm, animasyon ve göreceli yerleşimler dahil olmak üzere %100 eksiksiz Kitty grafik protokolü uygulamasını sunan (Kitty dışındaki ilk terminal) önemli bir kilometre taşıdır. Ayrıca gelişmiş SSH entegrasyonu ve tüm platformlarda yüzlerce hata düzeltmesi barındırır. Kar amacı gütmeyen bir proje olan Ghostty'nin bu sürüm notları, geliştirici ekibi tarafından 16 saati aşkın bir emekle tamamen insan eliyle hazırlanmıştır.

Yazılım geliştiriciler için bu sürüm, modern bir terminal emülatörünün yalnızca metin gösteren bir araç olmadığını, aynı zamanda karmaşık kaçış dizilerini (escape sequences), protokolleri ve sistem etkileşimlerini işleyen kritik bir güvenlik sınırı olduğunu kanıtlamaktadır.

Güvenlik Güncellemeleri ve Geliştiriciler İçin Çıkarımlar#

Ghostty 1.4.0 sürümünde giderilen 10 kritik güvenlik açığı şunlardır:

• GHSA-4hwh-wx3w-3fqg: Yapıştırma korumasının satır başı (carriage return) karakterlerini satır sonu olarak algılamaması nedeniyle, parantezli yapıştırma (bracketed paste) kullanmayan programlarda kullanıcı etkileşimiyle (kopyala-yapıştır) onaysız komut çalışabilmesi.
• GHSA-mhff-mv4q-fp63: Kötü amaçlı Kitty grafik komutlarının Ghostty'yi çökertmesi, dondurması, devasa bellek tahsislerine zorlaması veya izin verilen geçici dizinler dışındaki dosyaları okuyup silebilmesi (yalnızca çıktının görüntülenmesi yeterlidir).
• GHSA-hcr9-7hcr-mjm8: Kötü amaçlı terminal çıktısının, sistemde tmux kurulu olmasa bile tmux kontrol modu üzerinden Ghostty'yi çökerterek tüm pencereleri kapatması (1.3.0 ve 1.3.1 sürümlerini etkiler).
• GHSA-hp9c-qp4q-cpw3: Sıfır boyutlu veya aşırı büyük bölmeli (pane) bir tmux kontrol modu düzeni üzerinden yukarıdakiyle aynı çökme etkisinin yaşanması (1.3.0 ve 1.3.1 sürümlerini etkiler).
• GHSA-w9q4-5jvv-mcv4: Ekranı geri kaydırma (scrollback) belleğine temizlerken, biçimlendirilmiş veya bağlantılı imleç tutan sayfanın silinmesi durumunda bellek bozulması yaşanması (scrollback-limit değerinin 0 gibi küçük olduğu durumlarda görülür, varsayılan ayar etkilenmez).
• GHSA-2r63-vmw6-3m3c: Özel hazırlanmış bir dizin adının, güvenilmeyen bir depoya cd ile girildiğinde zsh kabuk entegrasyonunun OSC 52 ile panoyu sessizce değiştirmek gibi rastgele kaçış dizileri göndermesine yol açması (bash daha sınırlı etkilenmiştir).
• macOS: GHSA-cw69-wm67-5pv8: Özel hazırlanmış bir OSC 8 bağlantısına Cmd-tıklama yapıldığında güvensiz yerel dosyaların veya özel URL şemalarının açılarak rastgele komut çalıştırılması (artık güvensiz hedefler engelleniyor ve özel şemalar onay istiyor).
• macOS: GHSA-mfw9-xcr3-7gfp: Varsayılan URL eşleştiricisi dahil olmak üzere bağlantı yapılandırması tarafından algılanan bağlantılarda Cmd-tıklama ile yukarıdakiyle aynı güvenlik sorununun tetiklenmesi.
• macOS: GHSA-v8cw-fg4j-jcc4: Sürükle-bırak metin işleminin yapıştırma korumasını atlayarak yukarıdakiyle aynı riski oluşturması.
• macOS: GHSA-mxqx-236q-wrv7: Adında kontrol karakterleri bulunan bir dosyanın açıldığında farklı bir işlem veya komut çalıştırabilmesi riski.

Pratik Çıkarımlar#

Geliştiriciler açısından bu güvenlik maddeleri; girdi doğrulamanın (\r ve \n farkı), sınır değer testlerinin (sıfır boyutlu bölmeler, 0 limitli bellek) ve güvenilmeyen kaynaklardan klonlanan projelerde kabuk entegrasyonlarının ne kadar dikkatli tasarlanması gerektiğini gösteren gerçek dünya vakalarıdır.