SİBER GÜVENLİK· 1 dk okuma
Pillow 13.0.0 çıktı: 38 güvenlik kaydı kapandı, ikisi kritik
Pillow ekibi 16 Ekim'de yayımladığı 13.0.0 sürümüyle, ikisi kritik olmak üzere 38 güvenlik kaydını kapattı; The Hacker News 23 Ekim'de bu açıkların bir bölümünü duyurdu. Hiçbirinin sömürüldüğü bildirilmedi.
// kısaca
- Pillow 13.0.0 sürüm notlarına göre 38 kayıt kapandı: 2 kritik, 13 yüksek, 20 orta, 3 düşük.
- Kritik kayıtlardan biri mod değişiminden sonra eski bellek verisinin yeniden kullanılması (CVE-2026-96639), diğeri JPEG çözücüde tampon taşması.
- EPS açığı (CVE-2026-112900), saldırganın seçtiği dosya adıyla Ghostscript üzerinden komut çalıştırabiliyor; sunucuda gs kurulu olması gerekiyor.
- Yeni sürüm Python 3.10 desteğini bırakıyor ve bazı kırıcı değişiklikler getiriyor.
Pillow, Python dünyasında görüntü işleyen hemen her uygulamanın bağımlılığı. The Hacker News'e göre en çok risk altındakiler, kullanıcı yüklemelerini doğrudan Image.open() ile açan sunucular. EPS açığını bakıcılar orta seviyede değerlendiriyor, GitHub CVE kaydı ise 9.2 veriyor.
13.0.0 birkaç kırıcı değişiklik de getiriyor: I modundaki görüntüleri PNG olarak kaydederken değerler artık kırpılmıyor, önce I;16 gibi bir moda dönüştürmek gerekiyor. Haberdeki bilgilere göre bu açıklardan hiçbirinin saldırıda kullanıldığı bilinmiyor.
Ne yapmalı?
Pillow'u pip install -U "Pillow>=13.0.0" ile güncelle; konteyner imajlarını ve wheel paketlerini yeniden derle. Python 3.10 kullanıyorsan önce 3.11 veya üstüne geç. Kullanıcı yüklemesi işleyen sunuculara gs kurma, EPS için kullanıcı kontrollü dosya adı verme.
// kaynaklar
- 13.0.0 (2026-10-16) release notes · Pillow ↗
- Critical Flaw in Python's Popular Pillow Image Library Allows Code Execution via a Crafted Image · The Hacker News ↗
Bu haber yukarıdaki kaynaklardan derlenmiş kısa bir özettir. Ayrıntı ve güncellemeler için kaynaklara bak.