Samsung Internet: Aylık güvenlik yamalarınız asla bu uygulamaya ulaşmaz

Ayda bir kez, aynı bildirim gelir. Yazılım güncellemesi mevcut, birkaç yüz megabayt, yeniden başlatın. Ardından menüde güvenlik yamasının yanında yeni bir tarih görünür ve mesele hallolmuş gibi hissedilir.

Sistemin çoğu için bu doğrudur. Temmuz ayında, Samsung'un güncellemesi önce en yeni modellere geldi.

Cihazdaki en önemli bileşenlerden biri bu yamayı asla görmez. Önceden yüklenmiş tarayıcı, güncellemelerini başka bir yerden, Play Store ve Galaxy Store aracılığıyla alır. İki ayrı yol vardır ve bunlardan sadece biri size duyurulur.

Bu tarayıcının çekirdeğinin şu anda ne kadar eski olduğu dışarıdan anlaşılamaz. Bunun nedeni kimsenin umursamaması değil, Samsung’un iki yıldan fazla bir süredir Android için bu bilgiyi yayınlamamış olmasıdır.

Bu sayının neden bu kadar önemli olduğu, böyle bir tarayıcının içinde neler olduğunu incelediğinizde netleşir.

Samsung'un tarayıcısı sıfırdan geliştirilmemiştir. Google Chrome, Edge ve Opera'nın da temelini oluşturan açık kaynaklı Chromium platformu üzerine kurulmuştur. Bu temelin bir parçası V8 olarak adlandırılır ve neredeyse her web sitesinin içerdiği program kodu olan JavaScript'i çalıştırır. Bu nedenle V8'deki kusurlar özellikle can sıkıcıdır; hazır bir sayfayı açmak bile yeterlidir.

Bu tür kusurlar tespit edilip düzeltilir ve düzeltildikten sonra açıklamalarıyla birlikte kamuya açık olarak belgelenir. Düzeltme yüklenmemiş bir cihaza saldırmak isteyen birinin yeni bir şey keşfetmesi gerekmez. Sadece bu bilgileri okur. Sektörde buna, henüz kimsenin haberi olmayan "sıfırıncı gün" (zero-day) saldırısının aksine, "N'inci gün" (N-day) saldırısı denir.

Bunun pratikte nasıl gerçekleştiği, 1 Nisan 2026 tarihinde güvenlik şirketi OtterSec tarafından Crusaders of Rust grubuyla birlikte gösterildi. Bunu başarmak için araştırmacılar, sıradan bir kullanıcının yapamayacağı şeyi tam olarak yapmak zorunda kaldılar. Bir Galaxy S25 cihazından tarayıcı uygulamasını çıkardılar ve program dosyalarında sürüm numarasını aradılar. Buldukları şey, o tarihte yarım yıllık olan V8 13.6 sürümüydü.

Ardından, Google’ın Chrome’da çoktan kapattığı bir güvenlik açığından yararlanarak bir saldırı geliştirdiler. Sonunda, tarayıcı içinde kendi makine kodlarını çalıştırmayı ve rastgele web sitelerinin adı altında yabancı kodları yürütmeyi başardılar. Önceden hazırlanmış bir sayfa, bu yolla diğer açık sayfaların içeriğine, örneğin bir e-posta kutusuna veya bir çevrimiçi mağazadaki hesaba erişebilirdi.

Bu son adım, yalnızca Android’in tarayıcıyı bir bilgisayara kıyasla daha zayıf bir şekilde izole etmesi nedeniyle işe yaradı. Bir PC’de pratik olarak her web sitesi kendi işlemine sahiptir. Android’de ise yalnızca oturum açma gerektiren sayfalar ve özel olarak işaretlenmiş birkaç sayfa kendi işlemine sahiptir. Geri kalanlar ise tek bir işlemi paylaşır.

Güvenlik araştırmacıları bu süreye özel bir isim vermiştir: “Yama açığı” (patch gap). Bu, Chromium projesinde bir güvenlik açığının üst kademede düzeltildiği an ile düzeltmenin kullanıcıya ulaşana kadar geçen süreyi ifade eder. Bu süre devam ettiği sürece, cihaz hala savunmasızken bir dizi komut açıkta kalır. Chrome’da bu süre birkaç güne kadar kısalır, çünkü Google aynı kodu derleyip dağıtır. Farklı bir sağlayıcının bakımını üstlendiği ve farklı bir kanal üzerinden dağıttığı bir tarayıcıda ise, bu süre o sağlayıcının ne kadar hızlı uyum sağladığına bağlıdır.

Bu özel güvenlik açığı o zamandan beri kapatılmıştır. Açık kalan ise, ondan sonra ortaya çıkan her şeydir.

Bu makalede, bu soruya kendimiz cevap vermeye çalıştık. Samsung, günümüzde Galaxy cihazlarında hangi Chromium sürümünü kullanıyor?

Buna net bir cevap yok. Kamuya açık olarak toplanan tarayıcı tanımlayıcıları, yani cihazların çevrimiçi ortamda kendilerini tanıtmak için kullandıkları dizeler, aynı uygulama sürümü için birbiriyle çelişiyor. Bazıları Aralık 2025 tarihli bir tabanı belirtirken, diğerleri çok daha yeni bir tabanı gösteriyor. Bu tür koleksiyonlar sahte ve otomatik olarak oluşturulmuş girdiler de içerdiğinden, kanıt niteliği taşımazlar.

Geriye üretici kalıyor ve Android için üretici bu konuda hiçbir açıklama yapmıyor. Değişiklik notları, Samsung’un kendi derlemesine düzeltmeleri dahil ettiğini gösteriyor; düzenli olarak kapatılan güvenlik açıklarına dair bir satır yer alıyor. Hangi açıkların kapatıldığına dair bir bilgi verilmiyor.

Bu önemsiz bir nokta değil. 8 Haziran 2026’da Google, V8’deki yüksek önem derecesine sahip bir kusuru düzeltti ve bununla ilgili bir istismar kodunun halihazırda dolaşımda olduğunu belirtti. Bu düzeltmenin Samsung’un tarayıcısına eklenip eklenmediği ve ne zaman eklendiği kamuya açık olarak belgelenmemiştir.

Aynı tarayıcının Windows sürümü için bu sorunun cevabını bulmak iki dakika sürer. Samsung ise bunu kendi sayfasında yayınlıyor.

Basitçe ifade etmek gerekirse, bu her Galaxy cihazının risk altında olduğu anlamına gelmez. Ancak Samsung dışındaki hiç kimsenin bu durumu kontrol edemeyeceği anlamına gelir. Her gün internetten yabancı içerik açan ve yüz milyonlarca cihaza önceden yüklenmiş olarak gelen bir program için bu fark, göründüğünden daha büyüktür.

Kendi cihazınızda hangi sürümün çalıştığını kontrol etmek yarım dakika sürer. Ana ekranda veya uygulama çekmecesinde tarayıcı simgesine uzun basın, ardından genellikle küçük bir "i" simgesine dokunun. Uygulama bilgileri bölümünde sürüm numarası gösterilir. Play Store girişinde de aynı değer gösterilir.

Bir güncellemenin bekleyip beklemediği de Play Store veya Galaxy Store’da gösterilir. Güncelleme düğmesi varsa, bir şeyler değişmiş demektir.

Bu sayının altta yatan Chromium tabanı hakkında ne anlama geldiği belirsizliğini korur. Asıl mesele de tam olarak budur.

Bunu çok belirsiz bulanlar, ikinci bir tarayıcı yükler. Chrome ve Firefox, doğrudan üreticileri tarafından sunulur, menüde sürüm numaralarını belirtir ve Samsung’un güncelleme takviminden bağımsız olarak altyapılarını yeniler. Bu tarayıcılar, Android ayarlarında “varsayılan uygulamalar” bölümünden varsayılan olarak ayarlanabilir.

Samsung'un tarayıcısını kullanmaya devam etmek isteyenler — ki bunun için iyi nedenler var; örneğin yerleşik reklam engelleyici ve Samsung Pass ile entegrasyon — en azından mağazada otomatik güncellemeleri açık bırakmalıdır. Böylece Samsung'un yayınladığı her sürüm, herhangi bir işlem yapılmasına gerek kalmadan gelir. Bu noktada kontrol edilebilecek başka bir şey kalmaz.

Aylık yama hâlâ önemlidir. Bu yama, hiçbir tarayıcı güncellemesinin ulaşamadığı sistemdeki güvenlik açıklarını kapatır. Ancak cihazda çevrimiçi olan her şeyden sorumlu değildir.