Filecoin'in filecoin-pin Aracı, CVE-2026-62300 Açığı İçin 1.1.1 Yamasını Yayımladı

filecoin-pin'de Hizmet Reddi Açığı

Filecoin'in veri saklama yazılımındaki bir hizmet reddi (denial-of-service) zafiyetine karşı yama artık hazır. filecoin-pin'in 1.1.1 sürümü, CVE-2026-62300 olarak kayda geçen açığı kapatıyor; söz konusu açık, tekrarlanan ve aşırı büyük saklama istekleriyle bir sunucunun kaynaklarını tüketip hizmeti yavaşlatmaya ya da tamamen durdurmaya izin veriyor. GitHub'ın güvenlik duyuruları veritabanına 5 Kasım'da kaydedilen bildirim, ilk kamuya açık ifşanın 26 Haziran'da yapılması ve 30 Ekim'de Amerika Birleşik Devletleri Ulusal Güvenlik Açıkları Veritabanı'na (NVD) işlenmesinin ardından yaklaşık dört ayda üç ayrı kontrol noktasından geçmiş durumda.

filecoin-pin, Filecoin (FIL) projesinin, ağın uygulama katmanının büyük bölümünün altında yer alan dağıtık dosya saklama sistemi IPFS'ten gelen verileri saklamak ve korumak için kullandığı bir yazılım. Resmî bildirimde açık; aracın aynı anda üç şeyi yeterince sınırlamamasından kaynaklandığı belirtiliyor: bir istemcinin kaç saklama isteği yapabileceği, her isteğin ne kadar işlem kapasitesi harcayabileceği ve kaç görevin eşzamanlı çalışabileceği. Yüksek hacimli saklama isteklerini döngüye sokan bir saldırgan, saklama alanını, ağ bant genişliğini, işlemciyi ve belleği zorlayarak yanıt sürelerini düşürebilir ya da sunucuyu tamamen çökertebilir. Pratikte bu, aracın üzerine kurulu bir hizmetin yalnızca yavaşlamasını değil, kesintiye uğramasını da mümkün kılıyor. Zaman çizelgesi de kendi başına önemli: konu canlı bir olayla değil, Haziran'daki ilk yazıdan federal veritabanı kaydına ve incelenmiş bir duyuruya uzanan koordineli ifşa süreciyle gün yüzüne çıktı.

Etkilenen kod, filecoin-pin 1.1.0 ile birlikte ondan önceki tüm sürümleri kapsıyor. GitHub, riski 10 üzerinden 6,5 olarak derecelendirdi; bu, Orta düzeyde bir puan ve Yüksek bandın hemen altında kalıyor. Maruziyet her kurulum için aynı değil: dışarıdan erişime bilinçli olarak açılan ya da hiçbir kullanıcı kimlik doğrulaması olmadan istek kabul eden sunucular en yüksek riski taşıyor. Varsayılan ayarlar zaten dış erişimi ve kimliksiz kullanımı kısıtladığı için standart bir kurulum daha düşük riskte duruyor. 1.1.1 düzeltmeyi getiriyor; ancak bildirim yükseltmeyi tek başına yeterli görmüyor ve operatörlere, güncellemeden sonra bile dış erişimi kısıtlamalarını ve kullanıcı kimlik doğrulamasını devreye almalarını söylüyor.

Yamanın Benimsenmesi İzlenemezken FIL Yüzde 7,6 Geriledi

Bildirimin maruziyet notları iki kurulum profilini birbirinden ayırıyor. Dış ağlara bilinçli olarak açılmış bir sunucu ya da istek gönderenin kimini kontrol etmeden saklama isteği kabul eden bir kurulum, en geniş saldırı yüzeyini sunuyor: uç noktaya ulaşabilen herkes istek döngüsünü başlatabiliyor. Varsayılan kurulum ise ikisini de yapmıyor; bu yüzden yazı, aynı ciddiyet puanında bile temel riski göreli olarak düşük değerlendiriyor. Bu ayrım, bugün hâlâ 1.1.0 veya daha eski sürümü çalıştıran kurulumlar için önem taşıyor, çünkü düzeltme yolu her operatör için özdeş değil: 1.1.1 yayımlandı, ama kayıtlarda kaç kurulumun güncelleme uyguladığına dair hiçbir veri yok; yamanın mevcut olması ile benimsenmesi ayrı gerçekler.

Açık ayrıca net bir sınırda duruyor. Bulgü, Filecoin (FIL) ekosistemine bağlı yazılımda tespit edildi, Filecoin zincir üstü ağının kendisinde değil. Bildirim bunu bir veri işleme sorunu olarak tanımlıyor, bir saklama (custody) sorunu olarak değil: hiçbir özel anahtar ya da kripto cüzdan malzemesi işin içinde değil ve arıza biçimi kaynak tükenmesi, çalıntı değil. Kayıtlarda doğrulanmış bir saldırı da görünmüyor; açığın istismarıyla gerçekleşen gerçek bir sunucu kesintisi ya da Filecoin ağı genelinde zarar gözlemlenmedi, dolayısıyla risk şimdilik potansiyel. Filecoin'in saklama ekonomisi, sağlayıcıların kapasite taahhüt etmesi ve veri geri almaya hizmet etmesi üzerine kurulu; bu da araçların kesintisiz çalışmasını ağın o tarafı için doğrudan bir operasyon meselesi yapıyor ve düzeltilmiş sürüm, kullanıcı verisini bu araçla sabitleyen saklama sağlayıcıları ile geliştiricileri hedefliyor.

Operatörlerin önünde, bildirimin sıraladığı düzende kısa bir kontrol listesi var. Birincisi, filecoin-pin'i 1.1.1'e yükseltmek. İkincisi, kurulumun gerekmediği yerlerde hizmete dış erişimi kısıtlamak. Üçüncüsü, isteklerin anonim gönderilememesi için kullanıcı kimlik doğrulamasını açmak. Her adım maruziyetin farklı bir bölümünü kapatıyor ve bildirim, yükseltmenin tek başına internete açık sunucular için işi bitirmediğini açıkça söylüyor. Son iki adımı atlayan operatörler, hangi sürümü derlediklerine bakılmaksızın, bildirimin en riskli olarak işaretlediği profilin aynısını çalıştırmaya devam ediyor.

İfşa, zincirin kendi güvenliğinden çok tedarik zinciri araçlarına ilişkin ve bu durum okuma biçimini de şekillendiriyor. Filecoin'in çekirdek protokolüne dokunulmadı; Orta düzeydeki 10 üzerinden 6,5'lik puan ile varsayılan olarak kapalı olan maruziyet, etki alanını sınırlıyor. Bu yüzden spot piyasa verilerindeki, FIL'in son 24 saatte yüzde 7,6 gerilemesi, açığın doğrudan fiyatlanmasından çok daha geniş bir baskı olarak okunuyor; çevresel bir kusur nadiren tek başına bir tokenın piyasa değerini oynatır, etsa FUD'yı alevlendirebilir. Canlı FIL teknik analizi seansı izlemeye devam ediyor. Açık kalan konu benimseme: 1.1.1 yayımlandı ama kaç açık, kimlik doğrulamasız sunucunun güncellediği henüz bilinmiyor ve açığın ulaştığı kurulumlar tam olarak bunlar. Yönetişimi ayrıca izleyenler için Filecoin'in FIP-0118 önerisi gündemde; teklif, konsensus blok ödüllerini dokuz çeyrek boyunca yüzde 95'ten yüzde 50'ye düşürüyor.