iOS'ta worse_query Sandbox Kaçışı: Binance Uyarısı, Yama Durumu ve Kurumların Yapacakları

8 Kasım 2026’da forcequitOS takma adlı bir geliştirici, GitHub’da iOS’un uygulama yalıtımını (sandbox) aşmaya yarayan “worse_query” adlı bir kanıt kodu (proof of concept) yayımladı. 10 Kasım’da Binance, bu açığın cüzdan kurtarma ifadelerini (seed phrase), özel anahtarları ve giriş bilgilerini tehlikeye atabileceği uyarısını yaptı. Bu yazı, kaynaklarda doğrulanan bilgileri, Apple’ın yama durumundaki belirsizliği ve kurumların bugün atabileceği adımları ayırarak anlatıyor. 11 Kasım itibarıyla bulabildiğimiz bir CVE numarası yok; onaylanmış bir hırsızlık ya da istismar bildirimi de yok.

Kısaca

• Ne oldu: Bir iOS uygulamasının, normalde yalnızca kendisine ayrılmış olan alanın dışına çıkıp başka uygulamaların dosyalarına erişmesini sağlayan bir teknik, kaynak koduyla birlikte GitHub’da yayımlandı. Yazar bunu geliştiriciler için bir kanıt kodu olarak tanıtıyor ve “kendi başına işe yaramaz” diyor.
• Hangi sürümler: Yazarın açıklamasına göre iOS 26.0’dan 26.7.2’ye ve iOS 27.2. Binance ise iOS 26.7.1, 27.0.1 ve 27.2’yi sayıyor. Listeler farklı; ayrıntısı aşağıda.
• Ne gerekiyor: Tekniği kullanan uygulamanın bir “App Group” alanı olması gerekiyor. Yazar bunun jailbreak ile ilgisi olmadığını ve olmayacağını vurguluyor.
• Risk: Binance, kötücül bir uygulamanın başka uygulamaların yerel dosyalarını okuyabileceğini, bunun da cüzdan kurtarma ifadeleri, özel anahtarlar ve giriş bilgileri (kimlik bilgileri) için risk oluşturduğunu söylüyor. Binance’in bir sözcüsü crypto.news’a, bu bilgilerin ancak o dosyalarda düz metin ya da başka bir yolla kurtarılabilir biçimde saklanıyorsa açığa çıkabileceğini söyledi. Binance’e özgü bir sorun olmadığını, iOS düzeyinde olduğunu belirtiyor. Gerçek bir veri kaybı bildirilmedi.
• Yama durumu belirsiz: Apple 9 Kasım’da iOS 27.2.1 ve 26.7.3’ü yayımladı. Bu sürümlerin güvenlik notlarında worse_query, sandbox kaçışı ya da konteyner erişimi geçmiyor ve Apple düzeltmenin yapılıp yapılmadığını açıklamadı. Bir güvenlik şirketinin yöneticisi iOS 27.2.1 güncellemesinin tekniği engelleyeceğini söylüyor; biz bunu bağımsız olarak sınamadık.
• Kimler dikkat etmeli: Kişisel ve kurumsal iPhone/iPad filosu olan kurumlar; özellikle App Store dışından uygulama kurulabilen cihazlar ve cihazda yerel olarak giriş bilgisi, oturum belirteci ya da anahtar tutan uygulamalar.
• Ne yapmalı: Cihazları 27.2.1 / 26.7.3 sürümüne güncelleyin (düzeltmenin bu sürümlerde olduğu teyit edilmediği için tek önlem olarak görmeyin), güvenilmeyen kaynaktan kurulan uygulamaları kaldırın, App Store dışı kurulumu cihaz yönetiminden sınırlayın.

Ne oldu?

Binance gönderisinin yayın saatini kendimiz göremedik (X sayfasını açamadık), bu yüzden yalnızca tarih veriyoruz. Tarihleri GitHub’ın depo kayıtlarından, Apple’ın güvenlik notlarından ve haberlerden aldık.

worse_query nedir, ne yapabiliyor?

Yazarın README’sinden (birincil kaynak):

• Başlık: iOS 26.0 – 26.7.2 ve iOS 27.2 için bir sandbox kaçışı.
• “Geliştiriciler için bir kanıt kodu ve kendi başına işe yaramaz.”
• bad_query’nin halefi ve onun yerini alıyor.
• Kullanmak için uygulamanız için bir App Group alanı kurmanız gerekiyor.
• Erişebildiği yollar olarak uygulama veri konteynerleri, uygulama eklentilerinin (PluginKit) konteynerleri, iç servislerin (InternalDaemon) konteynerleri ve paylaşılan App Group konteynerleri listeleniyor; iOS 27’de ek sistem yolları da var.
• “Bu, jailbreak ile ilgili değil ve hiçbir zaman olmayacak” notu var; yazar insanları aksine inandırmamak için uyarıyor.

Depoda yalnızca README değil, bir Xcode projesi ve Objective-C ile Swift kaynak dosyaları da bulunuyor (GitHub’ın dosya listesinden gördük). Biz bu kodu çalıştırmadık, kopyalamadık ve incelemedik; bu yazıdaki teknik ayrıntılar README’ye ve haberlere dayanır.

CyberInsider’a göre Christoph Kolbicz adlı bir geliştirici, tekniği çekirdek açığı kullanmadan yeniden uygulayan, WQ Files adlı bir dosya gezgini ve uygulama verisi yönetim aracı yaptı; aracın belgeleri Binance’in saydığı üç iOS sürümünde test edildiğini yazıyor. BleepingComputer ise bu aracın başka uygulamaların verilerine gözatma, dışa aktarma, düzenleme ve silme yapabildiğini ve üç sürümde çalıştığının doğrulandığını yazıyor. CyberInsider ayrıca belgelerin worse_query’nin her cüzdanı çözebildiğini ya da her kimlik bilgisi korumasını aşabildiğini göstermediğini belirtiyor. WQ Files’ı biz görmedik ya da denemedik.

Binance ne söylüyor?

Binance’in gönderisinin ilk cümlesi dört haberde aynı biçimde alıntılanıyor; geri kalan öneriler haberlerin aktarımıdır. Özeti şöyle: iOS 26.7.1, 27.0.1 ve 27.2’yi etkileyen bir açık, kötücül uygulamaların diğer uygulamaların yerel dosyalarını okumasına izin veriyor; bu da cüzdan kurtarma ifadelerini, özel anahtarları ve giriş bilgilerini (kimlik bilgilerini) tüm ekosistemde riske sokuyor. Sorun iOS düzeyinde, Binance’e özgü değil.

Binance’in önerileri: gereksiz ve güvenilmeyen kaynaklardan kurulan uygulamaları silin (yan yüklenen ya da elle imzalanmış IPA dosyaları dahil), iOS’u ve uygulamaları güncelleyin; ihlalden şüpheleniyorsanız fonları temiz bir cihazda oluşturulan yeni bir cüzdana taşıyın ve tüm etkin oturumları sıfırlayın.

Binance’in bir sözcüsü crypto.news’a şunları söyledi: uyarı yayımlanmış teknik kanıta dayanıyor; bilgilerin açığa çıkabilmesi için kötücül bir uygulamanın etkilenen cihazda kurulu ve çalışıyor olması ve bilgilerin o dosyalarda düz metin ya da başka bir yolla kurtarılabilir biçimde saklanması gerekiyor; worse_query ile bir kripto cüzdanına erişildiğine ya da fon çalındığına dair onaylanmış bir vaka yok; araştırmacının açıklamalarına göre sorun Apple’a bildirilmiş; bu açık için bir güvenlik yaması ya da CVE numarasını doğrulayan bir bilgileri yok. Binance onaylanmış bir kayıp bildirmiyor ve haberlere göre bunun dışında bir kayıp bildirimi de yok.

Binance’in gönderisini kendimiz açamadık (X, otomatik erişimi doğrulama ekranıyla engelliyor ve biz bunu aşmadık); yukarıdaki içerik, gönderiyi alıntılayan haber sitelerinin ve Binance sözcüsünün crypto.news’a verdiği açıklamanın aktarımıdır.

Yama durumu: neden belirsiz?

• Apple’ın güvenlik notları. 9 Kasım’da yayımlanan iOS 27.2.1 notunda dokuz, iOS 26.7.3 notunda sekiz CVE numarası listeleniyor. Hiçbirinde sandbox, konteyner ya da worse_query ifadesi geçmiyor. Apple notlarının girişinde, bir araştırma tamamlanıp yama ya da sürüm yayımlanana kadar güvenlik sorunlarını açıklamadığını, tartışmadığını ya da doğrulamadığını söylüyor.
• App Intents maddesi. iOS 27.2.1 notundaki bir madde (CVE-2026-113963, “bir uygulama hassas kullanıcı verisine erişebilir”) dikkat çekiyor. BleepingComputer, bu maddenin László Várady tarafından bildirildiğini ve erişimin App Intents üzerinden olduğunu, App Group konteynerleri üzerinden olmadığını yazıyor; Binance’in uyardığı açıkla aynı olup olmadığı belirsiz. NVD’de bu CVE, 10 Kasım 22:52 UTC (11 Kasım 01:52 TSİ) itibarıyla “analiz bekliyor” durumundaydı.
• README’deki aralık. Yazarın listesi 26.7.2 ve 27.2’de bitiyor, yani Apple’ın 9 Kasım’daki sürümleri listede yok. Ancak README bu sürümlerin düzeltildiğini söylemiyor; yalnızca aralığı belirtiyor.
• Üçüncü taraf iddiası. Decrypt, SlowMist’in baş bilgi güvenliği sorumlusunun (23pds) 27.2.1’e güncellemenin worse_query’yi engelleyeceğini yazdığını aktarıyor. Bunu bağımsız olarak sınamadık.

Sonuç: 27.2.1 / 26.7.3’ün tekniği kapattığı resmen doğrulanmış değil. Bu yüzden güncellemeyi tek önlem saymamanızı öneriyoruz.

CVE, CISA ve istismar durumu

• CVE: worse_query için atanmış bir CVE numarası bulamadık (NVD’de 10 Kasım 22:52 UTC’de yaptığımız “worse_query” anahtar kelime sorgusu sonuç vermedi). Binance’in sözcüsü de bu açık için bir CVE numarasını doğrulayan bilgileri olmadığını söyledi.
• CISA KEV: 10 Kasım tarihli “bilinen sömürülen açıklar” kataloğunda ne worse_query ne de App Intents maddesinin numarası (CVE-2026-113963) var. Katalog CVE numarası olan açıkları listelediği için, CVE’si olmayan bir tekniğin listede bulunmaması zaten beklenir.
• İstismar: Kamuya açık bir kanıt kodu ve WQ Files aracı var. Binance ve haberler onaylanmış bir hırsızlık ya da gerçek saldırıda kullanım bildirmiyor. Bu “yok” anlamına gelmez; yalnızca onaylanmış bir bildirimin olmadığı anlamına gelir.

Hangi sürümler etkileniyor?

Binance’in listesinde, README’de açıkça geçmeyen iOS 27.0.1 de var (README iOS 27 için yalnızca 27.2’yi yazıyor); aradaki farkın nedenini kaynaklar açıklamıyor. Cihazı bu sürümlerden herhangi birinde olan herkesi etkilenebilir sayın, listenin dışındaki sürümlerin güvenli olduğunu varsaymayın.

Etkilenip etkilenmediğinizi nasıl anlarsınız?

Kaynaklarda bu teknik için yayımlanmış bir tespit göstergesi (IOC) ya da tespit yöntemi yok; biz de bulamadık. Bu nedenle kesin bir “etkilenmediniz” kontrolü yok. Yapabilecekleriniz:

1. Sürüm envanteri. Cihaz yönetimi (MDM) ya da kurumsal envanterinizde iOS ve iPadOS sürümlerini listeleyin. 26.7.1, 27.0.1, 27.2 ve README’deki 26.0–26.7.2 aralığındaki cihazları işaretleyin.
2. Kurulu uygulamalar. App Store dışından kurulmuş (yan yüklenmiş, kurumsal sertifikayla ya da elle imzalanmış) uygulamaları listeleyin. Binance ve haberler riski ağırlıklı olarak bu uygulamalarla ilişkilendiriyor; App Store’dan dağıtılan bir uygulamanın tekniği kullanıp kullanamayacağı kaynaklarda açıklanmıyor.
3. Hassas veri nerede? Cihazda yerel dosya olarak oturum belirteci, anahtar ya da cüzdan sırrı tutan uygulamaları belirleyin; bu, kaçışın en çok zarar verebileceği veridir. Keychain’in bu teknikten etkilenip etkilenmediği kaynaklarda belirtilmiyor; README yalnızca dosya sistemi yollarını sayıyor.

Ne yapmalısınız?

Aşağıdakiler bizim önerilerimizdir; yama durumu belirsiz olduğu için her kurum kendi risk değerlendirmesine göre uyarlamalıdır.

1. Cihazları güncelleyin. iOS 27 kullananlar 27.2.1’e, iOS 26 kullananlar 26.7.3’e geçsin. Bu sürümler worse_query’yi kapatıp kapatmadığı bilinmese bile notlarda listelenen diğer açıkları kapatıyor. Güncellemeyi tek önlem saymayın.
2. Güvenilmeyen uygulamaları kaldırın. Kaynağı bilinmeyen, yan yüklenen ya da elle imzalanan uygulamaları cihazlardan kaldırın.
3. App Store dışı kurulumu sınırlayın. Cihaz yönetiminizde mümkünse yalnızca onaylı kaynaklardan uygulama kurulumuna izin verin ve geliştirici profillerini ve kurumsal dağıtım sertifikalarını gözden geçirin. Ayarların adı ve kapsamı cihaz yönetimi ürününe göre değişir.
4. Hassas oturumları kısa tutun ve iptal planı yapın. Cihazda oturum belirteci tutan uygulamalarda oturumları kısa ömürlü yapın ve cihazdan uzaktan iptal edebilmeyi sağlayın. Şüphe halinde oturumları sıfırlayın.
5. Kripto cüzdanları için Binance’in önerisini izleyin. Bir cihazda güvenilmeyen bir uygulama kurulduysa ve o cihazda cüzdan kurtarma ifadesi ya da özel anahtar bulunuyorsa, fonları temiz bir cihazda oluşturulmuş yeni bir cüzdana taşıyın. Uygulamayı silmek, kopyalanmış olabilecek bir anahtarı geçersiz kılmaz (CyberInsider’ın da belirttiği gibi).
6. Mobil uygulama geliştiriyorsanız. Uygulamanızın hassas verileri yerel dosyalarda nasıl sakladığını gözden geçirin; bu tür bir kaçış, dosya sistemi korumasının aşılabileceğini varsaymanın neden gerekli olduğunu gösteriyor. Sırların cihazda hiç saklanmaması ya da ek bir koruma katmanıyla saklanması gerekir.

Zafiyet taraması ve sızma testi bu tür bir olayda ne işe yarar?

Önce sınırı koyalım: bu olay, kurumun kendi sistemlerindeki bir yapılandırma hatası değil, işletim sistemi düzeyinde bir açık; bu yüzden tarama ya da sızma testi bu açığı kapatmaz ve hiçbir test bir cihazın etkilenmeyeceğini garanti etmez. Yapılabilecek olan, açığın kurumunuzda neye yol açabileceğini sınamaktır:

1. Mobil uygulamanız hassas veriyi nasıl saklıyor? Mobil uygulama güvenlik testi, uygulamanın cihazda sakladığı verileri, oturum belirteçlerini ve yerel depolamayı inceler; bu tür bir kaçışın uygulamanız için ne kadar zararlı olabileceğini görmenize yardımcı olur.
2. Ele geçirilmiş bir oturum belirteciyle nereye varılır? API güvenlik testi, çalınmış bir belirteçle arka uçta nelerin yapılabildiğini ve yetkilerin gereğinden geniş olup olmadığını sınar.
3. Yeniden test. Düzeltmeler uygulandıktan sonra yapılan yeniden test, test kapsamında görünen durumun düzeldiğini gösterir.

Seemarter Security ile

Mobil uygulamanızın yerel veri saklama ve oturum yönetimini sınamak için mobil uygulama güvenlik testi ve API güvenlik testi hizmetlerimizi inceleyebilir ya da bizimle iletişime geçebilirsiniz. Tüm çalışmalar, sistem sahibinin yazılı yetkisiyle ve önceden belirlenen kapsamda yapılır.

Kaynaklar

• GitHub: forcequitOS/worse_query (README ve kaynak kodu) ve bad_query
• Apple: iOS 27.2.1 ve iPadOS 27.2.1 güvenlik içeriği (9 Kasım 2026)
• Apple: iOS 26.7.3 ve iPadOS 26.7.3 güvenlik içeriği (9 Kasım 2026)
• BleepingComputer: Binance warns of iOS flaw that could leak crypto wallet secrets (10 Kasım 2026)
• Decrypt: Binance Warns of Apple iOS Flaw That Could Expose iPhone Users’ Private Keys
• CyberInsider: Binance warns iOS sandbox escape could expose crypto wallet secrets (10 Kasım 2026)
• crypto.news: Binance warns iPhone users of iOS bug that could expose crypto wallet keys (10 Kasım 2026; Binance sözcüsünün açıklamalarıyla güncellendi)
• NVD: CVE-2026-113963 ve CISA bilinen sömürülen açıklar kataloğu

Bu yazı 11 Kasım 2026 sabahına (TSİ) kadar yayımlanmış kaynaklara dayanır; konu sürdüğü için gelişmelere göre güncellenir. Apple’ın düzeltmeyi doğrulaması ya da bir CVE ataması, onaylanmış bir istismar ya da kayıp, depoda yeni bir değişiklik ve Binance’in ek açıklamaları yazıya eklenecektir.