AMD Ryzen İşlemcilerde İki Yüksek Riskli TPM Açığı Ortaya Çıktı: BIOS Güncellemeleri Yayınlandı

AMD, geniş bir Ryzen işlemci ailesinde kullanılan TPM 2.0 bileşenlerini etkileyen iki yüksek önem dereceli güvenlik açığını doğruladı. CVE-2026-6726 ile CVE-2026-6727 olarak izlenen açıklar için gerekli firmware düzeltmeleri mayıs ayında anakart üreticilerine gönderilirken AMD’nin güvenlik duyurusu 11 Ağustos’ta yayınlandı. ASUS, MSI, GIGABYTE ile ASRock ise bazı uyumlu anakartlar için düzeltmeleri içeren BIOS sürümlerini kullanıcılarına daha önce sundu.

Ryzen İşlemcilerdeki TPM Açıkları Kimlik Doğrulamasını Tehdit Ediyor

CVE-2026-6726, yerel sistemde yükseltilmiş yetkilere ulaşmış bir saldırganın sahte TPM anahtarına ait kimlik bilgilerini ele geçirmesine neden olabiliyor. Güvenlik açığının kötüye kullanılması halinde saldırgan, TPM tarafından gerçekleştirilen bazı doğrulama işlemlerini taklit ederek sistemin güvenlik mekanizmalarını yanıltabilecek bir konum elde edebiliyor.

CVE-2026-6727 ise RSA OAEP zamanlama yan kanalı üzerinden TPM tarafından işlenen şifreli verilerin açığa çıkmasına veya sahte doğrulama anahtarları oluşturulmasına yol açabilecek bir zafiyet olarak tanımlanıyor. Açığın CVSS 4.0 skoru 8,5 olarak belirlenirken saldırı senaryosu, TPM’nin kriptografik işlemlerindeki zamanlama farklılıklarının analiz edilmesine dayanıyor.

AMD’nin etkilenen ürün listesi, güvenlik açığının yalnızca belirli bir Ryzen nesliyle sınırlı kalmadığını gösteriyor. Ryzen 3000, Ryzen 4000, Ryzen 5000, Ryzen 7000, Ryzen 8000 ile Ryzen 9000 serilerinin yanı sıra Ryzen AI 300, Ryzen AI 400 ve Ryzen AI Max 300 ailesi de etkilenen ürünler arasında bulunuyor.

AMD ayrıca Threadripper, Ryzen Z1, Ryzen Z2 ile bazı Ryzen Embedded işlemcilerini de kapsam içine alıyor. İşlemcinin masaüstü, dizüstü, taşınabilir oyun bilgisayarı veya gömülü sistem içinde kullanılması tek başına güvenlik açığının durumunu belirlemiyor çünkü asıl düzeltme ilgili platformun firmware ve AGESA sürümüne bağlı bulunuyor.

AMD, güvenlik açıklarını gidermek için gerekli firmware düzeltmelerini mayıs ayında üretici ortaklarına iletti. Ryzen 3000 sistemleri için ComboAM4PI 1.0.0.11, Ryzen 4000 ile Ryzen 5000 platformları için ComboAM4v2PI 1.2.0.12 sürümleri hazırlanırken daha yeni AM5 işlemciler için farklı ComboAM5PI paketleri kullanıldı.

ASUS, MSI, GIGABYTE ile ASRock düzeltmeleri kendi BIOS paketlerine entegre ederek resmi güvenlik duyurusundan önce dağıtmaya başladı. Üreticilerin güncellemeleri farklı tarihlerde yayınlaması nedeniyle aynı Ryzen işlemciyi kullanan iki bilgisayarın güvenlik durumu yalnızca işlemci modeline bakılarak belirlenemiyor.

ASUS, bazı X870 anakartlar için ComboAM5 PI 1.3.0.1b sürümünü haziran ayında yayınladı. GIGABYTE da aynı AGESA tabanındaki 1.3.0.1b Patch A paketini haziran ayında dağıtıma aldı. MSI ise temmuz başında çeşitli B650 ile X670E modelleri için 1.3.0.1b Patch A güncellemesini kullanıma sundu.

ASRock, ilgili düzeltmeyi temmuz ayının ikinci yarısında B650, B850 ile A620 anakartlara genişletti. BIOS güncellemesinin bulunup bulunmadığını kontrol etmek isteyen Ryzen kullanıcılarının anakart üreticisinin destek sayfasında kendi model numarasını araması gerekiyor. Kullanıcıların yalnızca işlemci adına bakmak yerine BIOS sürümünü de kontrol etmesi, düzeltmenin sisteme gerçekten uygulanıp uygulanmadığını anlamak açısından önem taşıyor.

TPM 2.0, Windows sistemlerinde güvenli önyükleme, anahtar koruması, cihaz kimliği ile disk şifreleme gibi güvenlik işlevlerinde kullanılan donanıma dayalı bir güven kökü sağlıyor. TPM içindeki kriptografik işlemlerin güvenilir kabul edilmesi, BitLocker gibi koruma mekanizmalarının yanı sıra kurumsal cihaz güvenliği açısından da önem taşıyor.

Saldırganın CVE-2026-6726 veya CVE-2026-6727’yi kullanabilmesi için öncelikle yerel sistemde belirli yetkilere ulaşması gerektiği için açıklar uzaktan tek adımlı saldırı niteliği taşımıyor. Buna rağmen TPM güven zincirini etkileyen bir açığın başarılı şekilde istismar edilmesi, saldırganın elde ettiği ayrıcalıkları daha ileri bir saldırı aşamasına taşımak için kullanabileceği bir ortam oluşturabilir.

AMD’nin resmi duyurusunun ağustos ayında yayınlanması, bazı kullanıcıların düzeltmeleri daha önce almış olabileceği gerçeğini değiştirmiyor. ASUS, MSI, GIGABYTE ve ASRock’ın dağıttığı güncellemeler farklı anakart modellerini kapsadığı için kullanıcıların kendi sistemlerine uygun BIOS paketini doğrulaması gerekiyor.

Ryzen tabanlı bilgisayarlarda BIOS güncellemesi yalnızca performans veya uyumluluk değişiklikleri için yapılmadığından güvenlik düzeltmeleri de firmware bakımının önemli bir parçasını oluşturuyor. Etkilenen platformlarda güncel AGESA içeren BIOS sürümüne geçilmesi, TPM güvenlik açığının işletim sistemi seviyesindeki ayarlardan bağımsız olarak giderilmesi açısından en önemli adım olarak öne çıkıyor.