---
title: "Zod 4.6.6 Zararlı Yazılımla Tehlikeye mi Girdi? Açık Kaynak Tedarik Zinciri Analizi"
url: https://blog.edumints.com/zod-4-6-6-zararli-yazilimla-tehlikeye-mi-girdi-acik-kaynak-tedarik
category: "Yazılım"
date: 2026-10-12T09:25:09.368Z
publisher: Edumints Blog
lang: tr-TR
source_name: "Hacker News"
source_url: https://github.com/colinhacks/zod/commit/d821685ea6732436fcdf786a81d076958471e467
---

# Zod 4.6.6 Zararlı Yazılımla Tehlikeye mi Girdi? Açık Kaynak Tedarik Zinciri Analizi

Açık kaynak ekosisteminde geliştiricilerin güven duyduğu kütüphaneler, tedarik zinciri (supply chain) saldırılarının birincil hedefi haline gelmiştir. TypeScript dünyasının en popüler şema doğrulama araçlarından Zod deposunda "Fix bugs and improve performance" (Hata düzeltmeleri ve performans iyileştirmesi) açıklamasıyla paylaşılan `d821685` numaralı commit, bu tür saldırıların ne denli sinsi kurgulandığını göstermektedir. Masum bir yama görünümündeki bu commit incelendiğinde, üç kritik dosya değişikliği üzerinden yürütülen organize bir saldırı mekanizmasını açığa çıkarmaktadır:

- **1. `.github/workflows/release.yml` (Dağıtım Pipeline'ının Manipülasyonu):**
  Normal şartlarda depoya yeni bir sürüm gönderildiğinde paket doğrudan yayınlanmamakta; bir bakımcının `gh workflow run release.yml` komutunu çalıştırması ve npm ortamını manuel olarak onaylaması gerekmekteydi. Bu commit ile söz konusu insan onayı adımı tamamen devre dışı bırakılmış; `main` dalına ve `package.json` dosyalarına yapılacak doğrudan push işlemlerinde npm paketinin otomatik yayınlanması sağlanmıştır. Bu durum, CI/CD süreçlerinde çift aşamalı onay ve korumalı dal (protected branch) kurallarının ne kadar hayati olduğunu ortaya koymaktadır.

- **2. `packages/mini/jsr.json` (Hedefli Sürüm Yükseltmesi):**
  `@zod/mini` paketinin sürümü `4.6.5` seviyesinden `4.6.6` seviyesine çıkarılmıştır. Semantik sürümleme (SemVer) kurallarına göre minör yama artışları, bağımlılık yöneticileri tarafından çoğunlukla otomatik güncellenir. Saldırgan bu değişiklikle hem birinci maddedeki otomatik yayınlama tetikleyicisini çalıştırmayı hem de zararlı paketin downstream projelere fark edilmeksizin sızmasını amaçlamıştır. Geliştiricilerin `lockfile` dosyalarını kesin sürümlerle sabitlemesi bu riskleri önlemede birincil kalkandır.

- **3. `packages/mini/meta.test.mjs` (Blokzincir Destekli Zararlı Yükleyici):**
  Sıradan bir test dosyası görünümüne sahip bu betik, Node.js yerleşik modüllerini (`fs`, `os`, `path`) kullanarak çok katmanlı bir yükleyici (dropper) çalıştırmaktadır. Ethereum RPC uç noktalarına (`llamarpc`, `publicnode`, `cloudflare-eth`) bağlanarak `0xe236330379d0c54aD5b2ef06aC714CEbdd4Ce523` akıllı sözleşmesine `eth_call` çağrısı göndermekte ve dönen veriyi çözerek dinamik alan adları elde etmektedir. Ardından harici bir `/loader` adresinden Base64 kodlu ikincil zararlı yükü çekerek geçici sistem dizininde (`os.tmpdir()`) çalıştırmakta ve izlerini silmektedir. Blokzincir tabanlı komuta-kontrol mekanizmaları statik alan adı engellemelerini boşa çıkardığından, test ortamlarının ağ erişiminin sıkı şekilde izole edilmesi gerekmektedir.

## Yazılım Geliştiriciler İçin Pratik Çıkarımlar

- **Boru Hattı Güvenliği:** Üretim ortamına paket basan CI/CD adımları asla tek bir push işlemiyle tetiklenmemeli, çoklu bakımcı onayı şart koşulmalıdır.
- **Test Kodlarının Denetimi:** Güvenlik taramaları yalnızca kaynak kodu değil, test dizinlerini de kapsamalı; testlerin kontrolsüz ağ istekleri yapması engellenmelidir.
- **Bağımlılık İzolasyonu:** Beklenmedik yama sürümlerine karşı kilit dosyaları (`pnpm-lock.yaml`) düzenli denetlenmeli ve şüpheli sürüm sıçramaları doğrulanmadan güncellenmemelidir.

---

**Kaynak:** Hacker News (https://github.com/colinhacks/zod/commit/d821685ea6732436fcdf786a81d076958471e467)
**Yayıncı:** [Edumints Blog](https://blog.edumints.com) · Alıntılarken bu URL'ye bağlantı verin: https://blog.edumints.com/zod-4-6-6-zararli-yazilimla-tehlikeye-mi-girdi-acik-kaynak-tedarik