Arch Linux AUR Deposu Güvenlik Saldırısı: Tedarik Zinciri Riskleri ve Korunma Yolları

Arch Linux’un topluluk tarafından yönetilen Arch User Repository (AUR) platformu, çok sayıda zararlı paketin tespit edilmesi üzerine ciddi bir tedarik zinciri saldırısıyla karşı karşıya kaldı. AUR, Arch Linux’un resmi depolarından farklı olarak kullanıcıların hazırladığı PKGBUILD dosyalarını barındırır. Bu dosyalar yazılımın nereden indirileceğini, nasıl derleneceğini ve sisteme nasıl kurulacağını belirlediği için saldırganlar kaynak adreslerini veya kurulum komutlarını değiştirerek zararlı kod çalıştırabilir.

Saldırının ilk aşamasında saldırganların, bakımcısı bulunmayan yani orphaned durumdaki paketleri sahiplendiği ve bu paketlere zararlı güncellemeler eklediği görüldü. Ancak sonraki incelemeler, saldırganların yalnızca terk edilmiş paketleri ele geçirmekle kalmadığını; yeni ve sahte paketler oluşturduğunu, popüler uygulamaları taklit ettiğini ve bazı meşru geliştirici hesaplarını ele geçirmiş olabileceğini de gösterdi. Arch Linux ekibi önce 30 Temmuz 2026 tarihinde paket sahiplenme işlemlerini durdurdu, ardından 1 Ağustos’ta AUR’a yapılan bütün gönderimleri geçici olarak kapattı. Cybernews’e göre en az 120 zararlı paket tespit edildi; topluluk raporlarında sayının 200’ün üzerinde olabileceği öne sürüldü. Etkilenen paketler arasında yapay zekâ araçlarının resmi olmayan sürümleri, VPN istemcileri, şifreleme kütüphaneleri, masaüstü araçları ve popüler yazılımları taklit eden paketler bulunuyordu. Arch Linux posta listelerinde zararlı olduğu bildirilen paketlerin silindiği, ilgili hesapların yasaklandığı ve kötü amaçlı commit’lerin geri alındığı görülüyor.

Zararlı paketlerin bazıları derleme sırasında sudo yetkisiyle kötü amaçlı dosyalar çalıştırabiliyordu. İncelenen yüklerin Rust ile geliştirilmiş bir bilgi hırsızı içerdiği; tarayıcı çerezleri, kayıtlı parolalar, SSH anahtarları, oturum bilgileri ve kripto para cüzdanlarını toplamaya çalıştığı bildirildi. Bazı analizlerde sisteme arka kapı bırakıldığı ve iletişimin Tor ağı üzerinden gerçekleştirildiği de öne sürüldü. Bu nedenle şüpheli bir AUR paketini kurmuş veya güncellemiş kullanıcıların olayı yalnızca paket kaldırma işlemiyle sınırlı görmemesi gerekiyor.

Olay, AUR’un topluluk temelli çalışma modelindeki temel riski yeniden gündeme getirdi. AUR paketleri Arch Linux’un resmi depolarındaki paketlerle aynı doğrulama ve inceleme sürecinden geçmez. Ayrıca AUR’da doğrudan yazılım dosyaları yerine çoğunlukla kurulum ve derleme talimatlarının bulunması, zararlı değişikliklerin kaynak URL’si veya derleme komutları içine gizlenebilmesine imkân verir. Bu nedenle AUR yardımcı araçlarının otomatik olarak sunduğu güncellemeleri onaylamadan önce PKGBUILD, .install dosyaları ve kaynak adreslerinin kontrol edilmesi önemlidir.

Kullanıcıların alması gereken temel önlemler:

• Son günlerde yüklenen veya güncellenen AUR paketlerinin geçmişi incelenmeli.

• Bilinmeyen, yeni oluşturulmuş veya yakın zamanda bakımcısı değişmiş paketlerden kaçınılmalı.

• PKGBUILD, source, prepare(), build() ve package() bölümleri kontrol edilmeli.

• Şüpheli paket çalıştırıldıysa sistem tamamen ele geçirilmiş kabul edilerek parolalar ve SSH anahtarları temiz bir cihazdan değiştirilmelidir.

• Tarayıcı oturumları, API anahtarları, Git erişim bilgileri ve kripto cüzdanları yenilenmelidir.

• Kritik sistemlerde mümkün olduğunca Arch Linux’un resmi depolarındaki imzalı paketler tercih edilmelidir.

  
  

Arch Linux’un resmi yazışmalarında 2 Ağustos 2026 itibarıyla AUR gönderimlerinin hâlâ kapalı olduğu ve yeniden açılma zamanı için kesin bir tarih verilmediği belirtiliyordu.

Detaylı bilgi için info@zerosecond.com.tr adresinden uzmanlarımıza başvurabilirsiniz.