Chrome Gemini Paneli Yetki Yükseltme Açığı 2026: Kötü niyetli eklentiler nasıl sistem ele geçirdi?

Google Chrome’un yeni nesil yapay zeka paneli, Gemini, kullanıcıların günlük tarayıcı deneyimini dönüştürmek için tasarlanmıştı. Ancak 2026 yılında ortaya çıkan bir güvenlik açığı, bu panelin tamamen farklı bir rol üstlendiğini ortaya koydu: kötü niyetli eklentiler için yetki yükseltme aracı. Reuters’a göre, bu hata, Chrome’un en güvenilir görünümlü bileşenlerinden birini, zararlı kodların sistem düzeyine ulaşması için kullanılabilecek bir kapıyı hale getirdi.

Chrome Gemini Paneli Yetki Yükseltme Açığı: Nasıl Çalıştı?

Google, Gemini AI panelini kullanıcıların sorularını cevaplamak, metin üretmek ve tarayıcı içi görevleri otomatikleştirmek için sundu. Bu panel, Chrome’un içindeki bir iframe olarak çalışır ve kullanıcı verilerine erişim için özel izinler gerektirir. Ancak araştırmacılar, bu panelin arka planda çalışan bir API’yi yanlış şekilde izole ettiğini keşfetti. Özellikle, eklentilerin bu panel üzerinden Chrome’un chrome.runtime ve chrome.tabs gibi yüksek yetkili API’lerine doğrudan erişim sağlayabilmesi, güvenlik duvarını tamamen aşmaya olanak tanıdı.

1. Kötü niyetli eklenti, sahte Gemini arayüzü oluşturuyor

Bir kötü niyetli eklenti, kullanıcıyı bir sahte Gemini arayüzüne yönlendiriyor. Kullanıcı, AI yardımcı olarak algıladığı bu paneli güvenli bir alana göre kabul ediyor.

2. JavaScript sızma: Panelin içine gizlenmiş kod

Kullanıcı paneli açtığında, eklenti, panelin içindeki JavaScript kodunu çalıştırıyor. Bu kod, Chrome’un yetki sistemiyle doğrudan iletişim kuruyor.

3. Chrome API zafiyeti: İzinlerin otomatik devralınması

Bu kod, Chrome’un chrome.permissions API’sini kullanarak, kullanıcıdan "tüm siteler için veri okuma" izni istiyor. İzin verildiğinde, eklenti tarayıcı tarihçesi, şifreler, çerezler ve hatta Chrome’un içsel API’lerine erişim kazanıyor.

4. Hiçbir uyarı olmadan yetki yükseltme

En korkutucu kısmı: Bu yetki yükseltmesi, kullanıcıya hiçbir uyarı vermeden gerçekleşiyor. Bu, teknik bir hata değil, davranışsal sosyal mühendislik ile birleşen bir saldırı vektörü.

5. Chromium tabanlı tüm tarayıcılar etkileniyor

Dark Reading’den yapılan analizde, bu açığın sadece Chrome üzerinde değil, Microsoft Edge, Brave ve Opera gibi Chromium tabanlı tarayıcılar üzerinde de etkili olabileceği belirtiliyor.

2026’da Keşfedilen 3 Kritik Chrome Zafiyeti

Chrome Gemini paneli yetki yükseltme açığı, 2026’da tespit edilen en kritik güvenlik açıklarından biri değil, sadece en dikkat çekeni. Diğer iki büyük zafiyet şunlar:

• Chrome API zafiyeti #C26-117: Web Extension API’lerinde izin kalıplarında yuva hatası.
• Chrome Gemini güvenlik açığı #C26-119: Panelin iframe izolasyonunda yetki sızıntısı.
• Chrome eklenti saldırısı #C26-122: Uzaktan kod çalıştırma via syncStorage.

Kullanıcılar İçin Güvenlik Önerileri: 2026’da Chrome’unuzu Koruyun

Google, bu açıklığı 12 saat içinde onayladı ve 122.0.6261.95 sürümünde bir düzeltme yayınladı. Ancak, düzeltme sadece panelin API erişimini kısıtlamakla kalmadı, aynı zamanda tüm eklentilerin Gemini paneliyle etkileşime geçmesini tamamen engelledi. Bu, kullanıcı deneyimini etkiledi: Artık bazı eklentiler, Gemini ile entegre çalışamıyor.

Google, bu düzeltmenin "geçici bir çözüm" olduğunu açıkladı. Uzun vadeli çözüm ise, Chrome’un mimarisini yeniden inşa etmek: "Kapsülleme" (sandboxing) prensibini, UI bileşenlerine de uygulamak.

• Chrome’u her zaman güncel tutun: Otomatik güncellemeyi kapalı bırakmayın.
• Gereksiz eklentileri kaldırın: Kullanılmayan eklentiler, saldırı yüzeyini artırır.
• Gemini paneline izin vermeden önce düşünün: AI yardımcılar güvenli görünür, ancak izin vermek riskli olabilir.
• Chrome Gemini paneli yetki yükseltme açığı gibi hatalar için uyarılara dikkat edin: Google, bu tür açıkları Chrome Releases sayfasında açıklıyor.

Chrome Gemini paneli, bir zamanlar yapay zekanın şaheser bir uygulaması olarak tanıtılmıştı. Şimdi ise, güvenlik tarihinin en korkutucu örneklerinden biri haline geldi. Bu hata, teknolojinin ne kadar güçlü olursa olsun, insan faktörü ve tasarım hatalarıyla kolayca zedelenebileceğini gösteriyor. Ve bu, sadece bir tarayıcı sorunu değil — tüm dijital yaşamımızın temelindeki güven modelinin sorgulanması anlamına geliyor.