Google Cloud, AMD Turin CPU’larındaki Üç Güvenlik Açığına Karşı Uyarıyor: Veri Sızıntısı Riski

Google Cloud, AMD Turin CPU’larındaki Üç Güvenlik Açığına Karşı Uyarıyor

Google Cloud, AMD Turin çiplerini kullanan sanal makinelerde (VM) üç CPU yan kanal güvenlik açığına karşı koruma sağlamak amacıyla misafir işletim sistemi yaması ve yeniden başlatma gerektiğini duyurdu. Şirket, VM’ler arası ve VM ile ana bilgisayar arasındaki saldırılara karşı önlemleri zaten uyguladığını belirtti. Ancak bir VM içinde, aynı işlemci çekirdeğinde kod çalıştırabilen bir saldırganın diğer işlemlerden veya çekirdekten veri sızdırmasına olanak tanıyabilecek bu güvenlik açıkları devam ediyor.

Etkilenen makine serileri arasında C4D, N4D, H4D, Z4D ve G4 bulunuyor. Ayrıca C4D ve Z4D’nin çıplak metal örnekleri de bu durumdan etkileniyor. Turin, beşinci nesil AMD EPYC işlemcilerin kod adıdır.

Güvenlik Açıklarının Detayları

Üç güvenlik açığının tamamı Geçici Zamanlayıcı Saldırıları (TSA) olarak sınıflandırılıyor. Bunlardan ikisi, TSA-SQ (CVE-2024-36350) ve TSA-L1 (CVE-2024-36357), ilk olarak 8 Temmuz 2025 tarihinde daha önceki EPYC işlemciler için açıklanmıştı. AMD, Zen 5 işlemcilerinin (Turin dahil) “daha önce karakterize edilen AMD işlemcilerinden farklı şekilde etkilendiğini” belirtiyor. Üçüncü güvenlik açığı olan CVE-2026-0004 ise yeni bir keşif. Bu açık, sistemde kod çalıştırabilen bir saldırganın işlemcinin L1 veri önbelleğindeki verileri sızdırmasına olanak tanıyabilir.

Xen hipervizörünü sürdüren Xen Project, yeni güvenlik açığını TSA-Fill olarak adlandırıyor ve daha önceki bir açıklamanın düzeltildiğini belirtiyor: “AMD daha önce Zen5 CPU’ların TSA-SQ ve TSA-L1’e karşı savunmasız olmadığını söylemişti.”

Google, bu sorunu Orta düzeyde olarak değerlendiriyor. AMD ise üç güvenlik açığını da düşük ayrıcalıklar gerektiren ve yüksek saldırı karmaşıklığına sahip yerel saldırılar olarak sınıflandırıyor. Bu bilgiler, AMD’nin Zen 5 bülteni ve CVE-2026-0004 danışma belgesinde yer alıyor. Şu an itibarıyla, bu üç güvenlik açığından hiçbiri ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından tutulan istismar edilmiş güvenlik açıkları KEV kataloğunda bulunmuyor. Her iki şirket de bültenlerinde herhangi bir istismar rapor etmedi.

Google Cloud Müşterilerinin Yapması Gerekenler

Google’ın güvenlik bülteni, her hizmet için aşağıdaki adımları öneriyor:

• VM’ler: İşletim sistemi satıcınızın yaması çıktığında yükleyin. Bu haftadan itibaren şirket, VM’lerin bildirdiği CPU bilgilerini güncelleyecek, böylece yamalı bir misafir çekirdeği kendi önlemlerini etkinleştirebilecek. Bu güncelleme bir VM’ye ulaştıktan sonra, VM’yi durdurup yeniden başlatın. Şirketin belirttiği gibi: “Misafir işletim sistemini yeniden başlatmak yeterli değil.”
• Çıplak Metal Örnekleri: Kendi işletim sisteminizi veya hipervizörünüzü bir C4D veya Z4D çıplak metal örneğinde çalıştırıyorsanız, satıcınızın düzeltmeleri çıktığında uygulayın.
• VM İçindeki Hipervizörler: Aynı CPU bilgi güncellemesi geçerlidir, böylece yamalı misafir çekirdekleri kendi önlemlerini etkinleştirebilir. Güncelleme ulaştığında VM’yi durdurup yeniden başlatın.
• GKE: Turin tabanlı çıplak metal örnekleri için güncellenmiş düğüm görüntüleri sağlanacak ve düğümleri yükseltmek CPU bilgi güncellemesini alacaktır. Şu an itibarıyla bülten henüz bunların mevcut olduğunu listelemiyor.
• Cloud Run: Herhangi bir işlem yapılmasına gerek yoktur.

Daha eski Rome, Milan ve Genoa işlemcilerini kullanan müşteriler, 8 Temmuz 2025’teki önceki bir bültende aynı durdurma ve başlatma talimatını almıştı. Şirket, işletim sistemi satıcısı henüz bir düzeltme göndermemiş VM’ler için bu arada yapılması gereken hiçbir şey listelemiyor. Ayrıca CPU bilgi güncellemesinin bir VM’ye ne zaman ulaştığını nasıl anlayacağınızı da belirtmiyor.

Zen 5’teki TSA’yı (yeni varyant dahil) azaltan bir çekirdek taahhüdü Linux çekirdek kaynak ağacında yer alıyor. Şu an itibarıyla Debian, CVE-2026-0004’ü Linux çekirdeğinde yalnızca kararsız dalında düzeltti. Güvenlik takipçisi hala bookworm, trixie ve forky’deki çekirdekleri savunmasız olarak listeliyor.

Kendi donanımınızdaki Turin sunucuları için AMD, güvenlik açıklarını tamamen azaltmak için hem platform bellenimi hem de işletim sistemi güncellemelerinin gerekli olduğunu belirtiyor. Teknik rehberine göre, bu azaltma performansı etkileyebilir ve yöneticilerin kendi iş yükleri için riski değerlendirmesi gerekmektedir.

Xen Project, Xen danışma belgesinde hipervizör yamalarını yayınladı. Zen 5’teki tüm TSA güvenlik açıkları için mikro kodun 23 Eylül’den beri linux-firmware’de bulunduğunu belirtiyor.