eMudhra sertifikasının güvenliğinin ihlal edilmesini düzeltmek için gereken güncellemeler

Google, 19 Ekim 2026'da bir sertifika yetkilisinin (eMudhra) güvenliğinin ihlal edildiğini öğrendi. Bu güvenlik sorununu çözmek için ekosistemimizin çeşitli alanlarına hemen güvenlik yamaları uyguladık.

Bu sayfa, eMudhra sertifikasının güvenliğinin ihlal edilmesiyle ilgili sorunu gidermek için etkilenen uygulama türlerini ve yapılması gereken işlemleri anlamanıza yardımcı olur. Ayrıca güvenlik sorunu hakkında ayrıntılı bilgi de sağlarız.

Etkilenen uygulama türleri ve yapılması gereken işlemler

Bu güvenlik sorununun niteliği nedeniyle birçok farklı türde uygulama etkilendi. Uygulama türünüz burada listeleniyorsa muhtemelen etkilenmiştir. Yapmanız gereken işlemleri öğrenmek için ilgili bölümü inceleyin.

Topluluk tarafından desteklenen diğer platformlar da etkilenir (ör. Apple platformlarını hedefleyen ve Firestore kullanan React Native uygulamaları).

Flutter uygulamaları

Flutter uygulamaları çeşitli şekillerde etkilendi. Hangi işlemleri yapmanız gerektiğini anlamak için ilgili bölümü inceleyin.

Android, Windows veya Linux'u hedefleyen Flutter uygulamaları

Tarayıcılar ve işletim sistemleri acil durum ara sertifika engellenenler listelerini zorunlu kılarken Android, Windows ve Linux'ta dart:io, kendi derlenmiş BoringSSL motorunu kullanarak TLS sertifika zincirlerini doğrular ve işletim sistemi ara sertifika engellenenler listelerini okumaz. Bu güvenlik önerisi hakkında daha fazla bilgi edinin.

Android, Windows veya Linux'u hedefleyen Flutter ya da Dart uygulamalarınız varsa aşağıdaki işlemleri yapın:

  1. Aşağıdaki Dart ve Flutter sürümlerine yükseltin:

    • Dart 3.13.7 veya sonraki sürümler
    • Flutter 3.47.8 veya sonraki sürümler (Dart 3.13.7 veya sonraki sürümlerle)

  2. Uygulamanızı yeniden derleyin.

  3. Uygulamanızı veya ikili programınızı yeniden dağıtın. Android, Windows ve Linux uygulamalarınızı veya ikili dosyalarınızı, güvenlik düzeltmesini içeren güncellemeleri kapsayacak şekilde yeniden dağıtın.

Apple veya Windows platformlarını hedefleyen ve Cloud Firestore kullanan Flutter uygulamaları

Apple platformlarını (ör. iOS) hedefleyen bir Flutter uygulamanız varsa ve uygulamanız Cloud Firestore kullanıyorsa aşağıdaki işlemleri yapın:

  1. Uygulamanız için uygun eklenti sürümünü belirleyin. Mevcut eklenti sürümünüze bağlı olarak uygulamanız için uygun bir eklenti sürümü seçin.

    FlutterFire eklentisi (flutterfire): iOS, macOS veya Windows

    Etkilenen eklenti sürümleri Güvenlik düzeltmesini içeren eklenti sürümleri
    cloud_firestore 7.0.0 ve önceki sürümler
    (6.10.1 ve 6.10.2 hariç)
    • 1. seçenek: cloud_firestore 7.1.0 (FlutterFire BoM 5.1.0 veya sonraki sürümler)
    • 2. seçenek:
      • iOS ve macOS: cloud_firestore 6.10.1 (FlutterFire BoM 4.20.1)
      • Windows: cloud_firestore 6.10.2 (FlutterFire BoM 4.20.2)

  2. Uygulamanızı güncelleyin. cloud_firestore eklentisini istediğiniz sürüme güncellemek için flutter pub upgrade komutunu çalıştırın.

  3. Uygulamanızı yeniden derleyin.

  4. Uygulamanızı yeniden yayınlayın. Güncellenmiş SDK sürümüne sahip uygulamanızı yeniden yayınlayın (ör. Apple uygulama mağazasında veya masaüstü dağıtım kanallarınızda).

Uygulamanızı yeniden yayınladıktan sonra son kullanıcılarınızı uygulamanızın en yeni sürümüne güncelleme yapmaya teşvik etmeniz gerekir. TLS kök sertifika paketi, uygulama ikili programında derlendiğinden işletim sistemi güncellemeleri veya sunucu tarafı değişiklikleri tek başına daha önce yüklenmiş uygulama derlemelerini düzeltmez.


Cloud Firestore kullanan Apple platformu uygulamaları (yerel)

Yerel bir Apple platformu uygulamanız varsa (ör. iOS) ve uygulamanız Cloud Firestore kullanıyorsa aşağıdaki işlemleri yapın:

  1. Uygulamanız için uygun SDK sürümünü belirleyin. Mevcut SDK sürümünüze bağlı olarak uygulamanız için uygun bir SDK sürümü seçin.

    Apple platformları (özellikle FirebaseFirestore) için Firebase SDK'sı

    Etkilenen SDK sürümleri Güvenlik düzeltmesi içeren SDK sürümleri
    13.1.0 ve öncesi
    (12.19.3 hariç)
    • 1. seçenek: 13.1.1 veya daha sonraki bir tarih
    • 2. seçenek: 12.19.3

  2. Uygulamanızı güncelleyin. Dağıtım kanalınızla ilgili talimatları uygulayın:

    • SPM: Xcode veya Package.swift'da firebase-ios-sdk paket bağımlılığı sürümünüzü güncelleyin.

    • Zip Dağıtımı: GitHub Sürümleri'nden istediğiniz sürüm için Firebase.zip dosyasını indirin ve projenizdeki mevcut .xcframework paketlerini değiştirin.

    • Carthage: Cartfile'ınızı istediğiniz sürümü hedefleyecek şekilde güncelleyin ve bağımlılıkları Carthage üzerinden güncelleyin.

  3. Uygulamanızı yeniden yayınlayın. Güncellenmiş SDK sürümüne sahip uygulamanızı yeniden yayınlayın (ör. Apple Uygulama Mağazası'nda veya masaüstü dağıtım kanallarınızda).

Uygulamanızı yeniden yayınladıktan sonra son kullanıcılarınızı uygulamanızın en yeni sürümüne güncelleme yapmaya teşvik etmeniz gerekir. TLS kök sertifika paketi, uygulama ikili programında derlendiğinden işletim sistemi güncellemeleri veya sunucu tarafı değişiklikleri tek başına daha önce yüklenmiş uygulama derlemelerini düzeltmez.


Apple veya masaüstü platformlarını hedefleyen ve Cloud Firestore kullanan Unity uygulamaları

Apple platformlarını (ör. iOS) hedefleyen bir Unity uygulamanız varsa ve uygulamanız Cloud Firestore kullanıyorsa aşağıdaki işlemleri yapın:

  1. Uygulamanız için uygun olan yeni SDK sürümünü belirleyin. Mevcut SDK sürümünüze bağlı olarak uygulamanız için uygun bir SDK sürümü seçin.

    Unity için Firebase SDK'sı (firebase-unity-sdk) - iOS veya Masaüstü (Linux, macOS, Windows)

    Etkilenen SDK sürümleri Güvenlik düzeltmesi içeren SDK sürümleri
    14.0.0 ve öncesi
    (13.17.1 hariç)
    • 1. seçenek: 14.1.0 veya daha sonraki bir tarih
    • 2. seçenek: 13.17.1

  2. Uygulamanızı güncelleyin. GitHub sürüm sayfasından istediğiniz sürüm için Firebase Unity SDK'sını indirin.

  3. Uygulamanızı bağlayın ve yeniden derleyin. iOS ve masaüstü uygulamalarınızı bağlayıp yeniden derleyin.

  4. Uygulamanızı yeniden yayınlayın. Güncellenmiş SDK sürümüne sahip uygulamanızı yeniden yayınlayın (ör. Apple uygulama mağazasında veya masaüstü dağıtım kanallarınızda).

Uygulamanızı yeniden yayınladıktan sonra son kullanıcılarınızı uygulamanızın en yeni sürümüne güncelleme yapmaya teşvik etmeniz gerekir. TLS kök sertifika paketi, uygulama ikili programında derlendiğinden işletim sistemi güncellemeleri veya sunucu tarafı değişiklikleri tek başına daha önce yüklenmiş uygulama derlemelerini düzeltmez.


Apple veya masaüstü platformlarını hedefleyen ve Cloud Firestore kullanan C++ uygulamaları

Apple platformlarını (ör. iOS) hedefleyen bir C++ uygulamanız varsa ve uygulamanız Cloud Firestore kullanıyorsa aşağıdaki işlemleri yapın:

  1. Uygulamanız için uygun olan yeni SDK sürümünü belirleyin. Mevcut SDK sürümünüze bağlı olarak uygulamanız için uygun bir SDK sürümü seçin.

    C++ için Firebase SDK'sı (firebase_cpp_sdk) - iOS veya Masaüstü (Linux, macOS, Windows)

    Etkilenen SDK sürümleri Güvenlik düzeltmesi içeren SDK sürümleri
    14.0.0 ve öncesi
    (13.13.1 hariç)
    • 1. seçenek: 14.1.0 veya daha sonraki bir tarih
    • 2. seçenek: 13.13.1

  2. Uygulamanızı güncelleyin. İstediğiniz sürüm için Firebase C++ SDK'sını GitHub sürüm sayfasından indirin.

  3. Uygulamanızı bağlayın ve yeniden derleyin. iOS ve masaüstü uygulamalarınızı bağlayıp yeniden derleyin.

  4. Uygulamanızı yeniden yayınlayın. Güncellenmiş SDK sürümüne sahip uygulamanızı yeniden yayınlayın (ör. Apple Uygulama Mağazası'nda veya masaüstü dağıtım kanallarınızda).

Uygulamanızı yeniden yayınladıktan sonra son kullanıcılarınızı uygulamanızın en yeni sürümüne güncelleme yapmaya teşvik etmeniz gerekir. TLS kök sertifika paketi, uygulama ikili programında derlendiğinden işletim sistemi güncellemeleri veya sunucu tarafı değişiklikleri tek başına daha önce yüklenmiş uygulama derlemelerini düzeltmez.


Firebase App Distribution Gradle eklentisini kullanan Android uygulamaları (yerel)

Firebase App Distribution Gradle eklentisini kullanan yerel bir Android uygulamanız varsa aşağıdaki işlemleri yapın:

  1. Uygulamanız için uygun olan yeni eklenti sürümünü belirleyin. Eklentinin 5.3.1 veya daha yeni bir sürümünü kullanabilirsiniz.

  2. Gradle dosyanızı güncelleyin. Kök düzeyindeki (proje düzeyinde) Gradle dosyanızda (<project>/build.gradle.kts veya <project>/build.gradle), App Distribution Gradle eklentisini 5.3.1 veya sonraki bir sürüme güncelleyin:

    Kotlin 

    plugins {
    // ...
    // Update the version in the dependency for the App Distribution Gradle plugin.
    // Make sure the version is 5.3.1 or higher.
    id("com.google.firebase.appdistribution") version "5.3.1" apply false
}

    Groovy 

    plugins {
    // ...
    // Update the version in the dependency for the App Distribution Gradle plugin.
    // Make sure the version is 5.3.1 or higher.
    id 'com.google.firebase.appdistribution' version '5.3.1' apply false
}

    buildscript (eski) 

    buildscript {
    dependencies {
        // ...
        // Update the version in the dependency for the App Distribution Gradle plugin.
        // Make sure the version is 5.3.1 or higher.
        classpath 'com.google.firebase:firebase-appdistribution-gradle:5.3.1'
    }
}

  3. CI/CD iş akışlarınızı temizleme ve doğrulama Otomatik derleme ve dağıtım ardışık düzenlerinizin (ör. GitHub Actions, GitLab CI veya Jenkins), ./gradlew appDistributionUpload<Variant> gibi görevleri yürütürken güncellenmiş eklenti sürümünü aldığından emin olun.


Olayla ilgili ayrıntılı bilgi

Google, 19 Ekim 2026'da üçüncü taraf bir sertifika yetkilisi (eMudhra) tarafından verilen birkaç ara Sertifika Yetkilisi (CA) sertifikasının özel anahtarlarının güvenliğinin ihlal edildiğini ve ardından iptal edildiğini öğrendi (Daha fazla bilgi için Google Güvenlik Blogu yayınını inceleyin).

İşletim sistemleri ve web tarayıcıları, sistem güvenilir sertifika depolarındaki bu ara sertifikalara güvenilmemesi için güncellemeler dağıtmış olsa da etkilenen ürünler, ikili dosyada derlenmiş yerleşik bir kök sertifika paketi kullanarak Taşıma Katmanı Güvenliği (TLS) bağlantılarını doğrular.

Saldırganlar, güvenliği ihlal edilmiş Sertifika Yetkilisi anahtarlarını kullanarak meşru görünümlü HTTPS sertifikaları oluşturabilir. Bu durumda, etkilenen uygulamalar iptali algılayamaz ve sahte kimlik bilgilerine güvenmeye devam eder. Bu nedenle, ağdaki saldırganlar, ortadaki adam saldırıları gerçekleştirerek gerçek arka uç sunucularının (Firestore ve etkilenen Flutter/Dart uygulamaları ya da App Distribution Gradle eklentisi tarafından iletişime geçilen tüm HTTPS uç noktaları dahil) kimliğine bürünebilir ve hassas kullanıcı verilerini gizlice ele geçirebilir, çalabilir veya tahrif edebilir.

Müşteri bağlantılarını bu güvenliği ihlal edilmiş sertifika yetkilisine karşı korumak için, güvenliği ihlal edilmiş eMudhra ara sertifikalarına bağlı kök sertifikaları aşağıdakilerden kaldırarak bu sorunu giderdik:

  • Apple, Flutter, Unity ve C++ için Cloud Firestore SDK'ları

    Cloud Firestore arka ucu ve Cloud Firestore ürününün diğer bölümleri bu durumdan etkilenmedi.

  • Cloud Firestore için Flutter SDK'sı ve FlutterFire eklentisi

  • Firebase App Distribution Gradle eklentisi

    App Distribution arka ucu ve App Distribution ürününün diğer bölümleri bu durumdan etkilenmedi.