🔐 Ekim 2026 Siber Güvenlik Rehberi: Pazarlamacılar, KOBİ'ler ve Sosyal Medya Yöneticileri İçin Bu Ayın Tehditleri ve Korunma Adımları

[DGO]

Selam! Bu ay sana kısa ama işe yarar bir güvenlik turu hazırladım. Müşteri hesaplarını, reklam panellerini ve markanın WhatsApp hattını yöneten biri olarak hedefin tam ortasındasın. Korkutmak için değil, hazırlıklı olman için yazıyorum. Aşağıdaki her bilgiyi resmî kaynağından kontrol ettim; bağlantılar da hemen yanında.

Bu ay gündemde ne var?​

ABD siber güvenlik ajansı CISA, saldırılarda fiilen istismar edildiği bilinen açıkları

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

topluyor. 1-23 Ekim 2026 arasında kataloğa 26 kayıt eklendi. Senin dünyana en yakın olanlar şunlar:

• Windows, CVE-2026-96951: Microsoft 13 Ekim'de yamaladı ve "Exploitation Detected" (istismar tespit edildi) diye işaretledi. Saldırgan, e-posta ya da anlık mesajla gönderdiği özel hazırlanmış bir dosyayla Windows'un internetten gelen dosyalara koyduğu "Mark of the Web" uyarısını atlatabiliyor. Ama bunun için senin dosyayı açman ya da linke tıklaman gerekiyor. Ayrıntılar
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  . CISA bu açığı 13 Ekim'de KEV'e ekledi.
• Atlassian (Jira, Confluence ve diğer Data Center ürünleri), CVE-2026-21589: Oturum açmamış biri, uygulama kökündeki bazı dosyalara erişebiliyor. KEV'e 15 Ekim'de eklendi; güncelleme notu
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  .
• Collabora Online (Nextcloud içinde Built-in CODE Server), CVE-2026-110447: Uzaktan komut çalıştırmaya izin veren bir açık. KEV'e 23 Ekim'de eklendi; Nextcloud'da ofis dosyası düzenliyorsan
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  bak.
• Plex Media Server, CVE-2026-96652 / 96654 / 96655 / 96656: Zincirleme kullanılabilen dört açık. 20 Ekim'de KEV'e eklendi; ofiste ya da evde Plex açıksa
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  göre güncelle.

Bunlar dışında listede firewall, VPN ve e-posta ağ geçidi ürünleri de var: Palo Alto PAN-OS, Ivanti Connect Secure, Fortinet, Cisco Secure Email Gateway, Citrix NetScaler. Ajansın ya da şirketin bunlardan birini kullanıyorsa, BT sorumlusuna KEV listesini iletmen yeterli.

Phishing, hesap ele geçirme ve yapay zekâ destekli dolandırıcılık​

AB siber güvenlik ajansı ENISA'nın 23 Eylül 2026'da yayımladığı

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

raporu 2025 olaylarını inceliyor. Raporda öne çıkanlar şöyle:

• Sosyal mühendislik olaylarının %77,8'i phishing. Hazır phishing kitleri ve "Phishing-as-a-Service" platformları bu işi kolaylaştırıyor.
• ClickFix tekniği yükselişte: Sahte bir "hata"yı düzeltmen istenirken aslında zararlı bir komutu kendi elinle çalıştırıyorsun. SMS ile oltalama (smishing) da artıyor.
• Saldırganlar Signal ve WhatsApp gibi güvenilen mesajlaşma uygulamalarından kişiye özel mesaj atıyor, sonra hedefi gerçek bir giriş akışına yönlendirerek cihaza tam erişim alıyor.
• ENISA'ya göre yapay zekâ kötü niyetli faaliyetleri giderek daha fazla destekleyecek. 2026'da saldırı zincirinin daha fazla aşamasının doğrudan yapay zekâyla yürütülmesi bekleniyor.

Bunun sana bakan yüzü şu: "Reklam hesabın askıya alındı", "Telif ihlali bildirimi" ya da "Markanla iş birliği yapmak istiyoruz" diye gelen mesajlar artık kusursuz Türkçeyle ve kişiye özel yazılıyor. Bir mesajın düzgün yazılmış olması, güvenilir olduğunu göstermiyor.

WhatsApp ve Instagram hesabın çalınırsa​

WhatsApp: 6 haneli kayıt kodunu kimseyle paylaşma; bu kural arkadaşın ve ailen için de geçerli. Hesabın ele geçirildiyse şifre değiştirmek saldırganı atmaz.

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

göre tek yol, numaranla yeniden kayıt olup SMS ya da arama ile gelen 6 haneli kodu girmek. Böylece hesaba bağlı tüm cihazlar oturumdan atılır. İki adımlı doğrulama PIN'ini bilmiyorsan 7 gün beklemen gerekebilir. Hesabı geri aldıktan sonra yakınlarını ve müşterilerini uyar, çünkü saldırgan senin adınla mesaj atabilir. Ardından

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

aç.

Instagram ve Facebook: Hesabına giremiyorsan doğrudan

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

adresini kullan (bkz.

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

). Meta hesaplarında iki faktörlü doğrulamayı Hesap Merkezi > Şifre ve güvenlik bölümünden açabilirsin. Güvenlik anahtarı, doğrulama uygulaması ya da SMS seçeneklerinden birini seç ve 10 kurtarma kodunu güvenli bir yere kaydet (

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

).

Bugün yapabileceğin 6 koruma adımı​

1. Passkey'e geç. Google'a göre passkey'ler paylaşılamaz, kopyalanamaz ve yanlışlıkla birine verilemez, bu yüzden phishing'e karşı daha güçlü (
   Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
   ). Yalnızca kendi cihazında oluştur, ortak kullanılan bilgisayarda asla oluşturma. ABD standartlar enstitüsü NIST'in
   Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
   kılavuzu da phishing'e dayanıklı kimlik doğrulamayı ayrıca tanımlıyor.
2. 2FA'yı her hesapta aç. Mümkünse SMS yerine doğrulama uygulaması ya da güvenlik anahtarı kullan. Müşteri reklam hesaplarını yönettiğin iş hesapları önceliğin olsun.
3. Güncellemeleri erteleme. Windows'un Ekim yamasını kur. Apple'ın
   Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
   göre güncel sürüm iOS/iPadOS ve macOS için 27.0.1 (23 Ekim 2026 itibarıyla). Tarayıcını da yeniden başlatıp güncellemeyi tamamla.
4. Linke tıklamadan önce dur. "Acil", "hesabın kapanacak", "hemen onayla" gibi baskı kuran mesajlarda linke tıklama. Platforma uygulamadan ya da adresi kendin yazarak gir. "Şu komutu kopyalayıp çalıştır" diyen sayfa her zaman tehlike işaretidir (ClickFix).
5. Yedek al ve yedeğin çalıştığını test et. Müşteri dosyalarını, sosyal medya içerik arşivini ve web siteni (WordPress kullanıyorsan veritabanıyla birlikte) en az bir kopyası çevrimdışı olacak şekilde yedekle. Ayda bir kez geri yüklemeyi dene.
6. Erişimleri temizle. Biten projelerdeki ajans ve freelancer erişimlerini kaldır. WhatsApp'ta bağlı cihazlara, Google'da
   Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
   sayfasına bak.

Türkiye'de nereye bildirirsin?​

• USOM / Siber Güvenlik Başkanlığı:
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  duyurusuna göre CVE başvuruları, siber ihbar süreçleri, zararlı bağlantı listeleri ve güvenlik bildirimleri artık
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  üzerinden yürütülüyor. Siber olay ve zararlı link bildirimi için ilk adresin burası.
• Dolandırıcılık ve hesap çalınması: Para kaybı ya da kimliğine bürünme varsa
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  sayfasındaki yönlendirmeleri izle ya da Cumhuriyet Başsavcılığına suç duyurusunda bulun. Ekran görüntülerini, linkleri ve tarih-saat bilgisini sakla.
• Yasa dışı içerik:
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  sitesinden de ulaşılan
  Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
  'e dezenformasyon, yasa dışı bahis gibi kategorilerde ihbarda bulunabilirsin.

Temel şifre alışkanlıklarını tazelemek istersen forumdaki Dijital Güvenlik 101 ve Şifre Güvenliği Kontrol Listesi konularına da göz at. WordPress siten varsa WordPress güvenlik sürümleri yazısı da tam sana göre.

Kaynaklar 24 Ekim 2026'da kontrol edildi: CISA KEV, Microsoft MSRC, Atlassian, Collabora, Plex, ENISA, NIST, Google, Apple, WhatsApp, Instagram, Meta, USOM, EGM, BTK.

Peki sen bu ay hangi adımı atacaksın? Passkey'e geçtin mi, yoksa senin ya da bir müşterinin hesabı hiç ele geçirildi mi? Deneyimini yorumlarda paylaş, birlikte öğrenelim.