İşletim Sistemlerinde Tarihi Açık: Android, Linux, Windows ve macOS Savunmasız

Modern bilişim dünyasının temelini oluşturan popüler işletim sistemleri, yıllardır göz ardı edilen ve milyonlarca kullanıcıyı potansiyel risk altında bırakan yapısal bir tasarımsal kusurla karşı karşıya. Avusturya Graz Teknik Üniversitesi bünyesinde çalışmalarını sürdüren bir grup güvenlik araştırmacısı, Android, Linux, macOS ve Windows gibi endüstri standardı haline gelmiş işletim sistemlerinin dosya bildirim (file notification) alt sistemlerinde onlarca yıldır varlığını sürdüren derinlemesine açıklar tespit etti. Araştırmacılara göre bu zafiyetler, en temel sistem bileşenlerinden biri olan ve uygulamalara dosyaların ne zaman değiştiğini bildiren mekanizmaların birer yan kanal (side-channel) sızıntı kaynağına dönüşmesinden kaynaklanıyor.

Onlarca Yıllık Altyapı Kusurları Gün Yüzüne Çıktı

Araştırma ekibinin liderlerinden Sudheendra Raghav Neela öncülüğünde hazırlanan kapsamlı çalışma, söz konusu sorunun modern işletim sistemlerinin doğuş yıllarına kadar uzandığını ortaya koyuyor. Sistemlerin dosya açma, değiştirme, yazma veya silme gibi işlemleri takip etmek için kullandığı bu altyapılar, dosya içeriklerini doğrudan ifşa etmese de dışarıya sızdırdığı meta veriler sayesinde büyük bir güvenlik riski yaratıyor.

Linux ekosisteminde 2005 yılından bu yana kullanılan inotify, Android'in 2008'den beri yer verdiği FileObserver, Windows dünyasında 2000 yılından beri aktif olan ReadDirectoryChangesW ve macOS platformunun 2007'den beri kullandığı FSEvents mekanizmaları bu zafiyetin merkezinde yer alıyor. Yetkisiz veya düşük ayrıcalıklı kullanıcıların bu alt sistemlere erişebilmesi, sistem genelinde ciddi bir bilgi sızıntısına kapı aralıyor.

Linux ve Android Cephesinde Kritik Tehdit Senaryoları

Linux ve Android işletim sistemlerinde yapılan detaylı testler, durumun vahametini gözler önüne seriyor. Araştırma ekibinin tespitlerine göre Linux üzerinde okunabilir bir dizini izlemek, kullanıcıların erişim yetkisinin bulunmadığı dosyalardaki olayları bile sızdırabiliyor. Örneğin, /dev/input dizininin izlenmesi her bir klavye vuruşunda bildirim üretilmesine neden oluyor. Bu durum, yerel ortamlarda veya SSH üzerinden gerçekleştirilen uzaktan bağlantılarda tuş vuruşu zamanlama (inter-keystroke-timing) saldırılarının yüzde 93 ile yüzde 100 arasında bir doğruluk oranıyla başarıya ulaşmasını sağlıyor.

Linux ekosistemi bu kapsamda CVE-2025-68788 koduyla izlenen zafiyet için Aralık 2025'te 5.10, 5.15, 6.1, 6.6, 6.12 ve 6.18 çekirdek sürümlerinde kısmi yamalar yayınlasa da risk tamamen ortadan kalkmış değil. Android tarafında ise durum daha da karmaşık bir tablo sunuyor. FileObserver mekanizmasının, uygulamalar arası izolasyon sağlayan FUSE katmanını aşabildiği, bu sayede izinleri kısıtlı bir uygulamanın bile WhatsApp gibi popüler platformların özel klasörlerini izleyebildiği kanıtlandı. Kötü niyetli bir uygulama; dosya adları ve zaman damgaları üzerinden fotoğrafların, videoların veya belgelerin ne zaman gönderildiğini, alındığını veya silindiğini tam olarak tespit edebiliyor.

Windows ve macOS Sistemlerinde Durum Ne?

Windows cephesinde ise durum, işletim sisteminin geliştirici yaklaşımı nedeniyle tartışmalı bir boyuta taşınmış durumda. Araştırmacılar, Windows üzerinde C:\ kök dizini izlendiğinde, sistem genelinde her kullanıcının dokunduğu tüm dosyaların tam yollarının izinlerden bağımsız olarak raporlandığını keşfetti. Bu veri akışı, örneğin bir kullanıcının Firefox tarayıcısında hangi web sitelerini ziyaret ettiğini gerçek zamanlı olarak takip etmeye yetiyor ve yüzde 97.8 gibi yüksek bir doğruluk oranı sunuyor.

En çarpıcı noktalardan biri ise Microsoft'un bu duruma yaklaşımı oldu. Güvenlik ekibinin bulguları bildirmesi üzerine yazılım devinin bu durumu bir hata olarak değil, "tasarım gereği" (by-design) bir özellik olarak değerlendirdiği ve belgelendirilmemiş bir işlev olduğunu belirttiği açıklandı. Bu yaklaşım, siber güvenlik dünyasında şaşkınlıkla karşılanırken, sektördeki bazı ödül organizasyonlarında eleştiri oklarının hedefi haline geldi.

Apple'ın masaüstü işletim sistemi macOS ise bu dörtlü arasında en az bilgi sızdıran platform olarak öne çıktı. Özel dizinlerin okunmasını engelleyen aşılmaz duvarlar sayesinde doğrudan bir veri sızıntısı bulunamazken, FSEvents alt sistemi üzerinden .plist dosyalarındaki değişikliklerin izlenebildiği görüldü. Ses girişi/çıkışı, güç ayarları, Bluetooth cihaz güncellemeleri, ağ kablosu değişimleri ve uygulama kurulum/kaldırma gibi olaylar bu yolla gözlemlenebiliyor.

Sektör İçin Alınması Gereken Önlemler ve Gelecek Adımlar

Araştırmacılar, ortaya çıkan bu bulguların tüm büyük işletim sistemlerinin temel mimarilerinde köklü değişiklikler yapılmasını zorunlu kıldığını savunuyor. Cihaz dosyaları için getirilen mevcut korumaların yetersiz kaldığı, yetki kontrollerinin yalnızca kullanıcının kendi dosyalarını değil, okunabilir tüm dosyaları kapsayacak şekilde genişletilmesi gerektiği vurgulanıyor.

Özellikle Windows tarafında tüm sürücülerin izlenmesinin yasaklanması, Windows ve macOS çekirdeklerinde ise bağlam, erişim kontrolü, sahip olunan dosya ve dizinler ile minifiltreleri içeren modern bir izin sisteminin entegre edilmesi öneriliyor. Bu kritik güvenlik açıkları ve çözüm önerileri, Kasım ayında Hollanda'nın Lahey kentinde düzenlenecek olan prestijli ACM CCS 2026 konferansında akademik dünyayla ve teknoloji sektörüyle ayrıntılı olarak paylaşılacak. Uzmanlar, işletim sistemlerinin temel taşlarındaki bu tür yan kanal açıklarının kapatılmasının uzun vadeli bir mimari dönüşüm gerektirdiğinin altını çiziyor.