Java Ekim 2026 güncellemesi ve CVE-2026-91403: her JVM nasıl yamalanır

Java için iki gün içinde iki güvenlik sürümü yayımlandı. 20 Ekim 2026’da Oracle’ın üç ayda bir yayımladığı Critical Patch Update, Java SE’deki 55 güvenlik açığını kapattı; bunların 49’u oturum açmadan ağ üzerinden istismar edilebiliyor. 21 Ekim’de Oracle bunun ardından CVE-2026-91403 için olağan takvim dışında bir Security Alert yayımladı. Bu açık, Java’nın TLS uygulamasında (JSSE) bulunuyor, CVSS puanı 9.1 ve etkilediği sürümler arasında bir gün önce yayımlanan sürümler de var. Japonya’daki IPA, 21 Ekim’de açığın istismar edilmesinin uygulamaların çökmesine ya da bir saldırganın bilgisayarın kontrolünü ele geçirmesine yol açabileceği uyarısında bulundu. Bu rehber hangi sürümlere geçmeniz gerektiğini, çalıştırdığınız her Java çalışma ortamını nasıl bulacağınızı ve güncellemenin gerçekten kullanımda olup olmadığını nasıl kontrol edeceğinizi gösteriyor.

20 Ekim’de neler düzeltildi

Ekim Critical Patch Update, Oracle Java SE 27, 26.0.2, 25.0.4.1, 21.0.12.1, 17.0.20.1, 11.0.32.1 ve 8u503 sürümlerini, dolayısıyla bu sürümlerin daha eski tüm güncellemelerini etkiliyor. 55 Java düzeltmesinin hiçbiri kritik olarak derecelendirilmedi, ancak 49’u kimlik doğrulama olmadan uzaktan istismar edilebiliyor.

Java 26 için düzeltme yayımlanmadı: bu sürümün güncellemeleri Eylül 2026’da sona erdi. Hâlâ 26 kullanıyorsanız 27’ye ya da uzun süreli destek sürümü 25’e geçin.

CVE-2026-91403: yeni sürümler de etkileniyor

CVE-2026-91403, Java’nın TLS bağlantılarını yöneten bölümü olan JSSE’de bulunuyor. Oracle’a göre açığın istismarı kolay, hesap ya da kullanıcı etkileşimi gerektirmiyor ve ağ üzerinden birden fazla protokolle, örneğin etkilenen API’lere veri ileten bir web servisi aracılığıyla erişilebiliyor. Başarılı bir saldırı kritik verileri okuyabilir ve değiştirebilir (CVSS 9.1, AV:N/AC:L/PR:N/UI:N, gizlilik ve bütünlük üzerinde yüksek etki).

Etkilenen sürümler tam olarak 20 Ekim’de yayımlananlar: Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 ve 27.0.1 ile GraalVM for JDK 17.0.21 ve 21.0.13 ve GraalVM Enterprise 21.3.20. Yani Ekim güncellemesi tek başına sizi bu açığa karşı korumuyor.

Oracle, Oracle JDK için düzeltmeyi Security Alert’te belirtilen yama belgesi üzerinden, My Oracle Support erişimi olan müşterilerine sunuyor. Bu yazının yazıldığı sırada Oracle’ın herkese açık sayfalarında bunun için henüz yeni sürüm numaraları yer almıyor ve Oracle açığın şu anda istismar edilip edilmediğini açıklamadı. OpenJDK projesi 21 Ekim’de kendi güvenlik duyurusunu yayımladı; bu nedenle OpenJDK tabanlı derlemeler (Eclipse Temurin, Amazon Corretto, Azul Zulu, Red Hat ve Linux dağıtımlarının paketleri) düzeltmelerini bu sağlayıcılardan alıyor. Sağlayıcınızın güvenlik sayfasını kontrol edin ve CVE-2026-91403’ü anan ilk sürümü kurun. Herkese açık sürüm numaraları yayımlandığında bu yazıyı güncelleyeceğiz.

Adım 1: her Java çalışma ortamını bulun

java -version yalnızca PATH’inizdeki Java’yı gösterir. Sunucularda çoğu zaman birden fazla Java çalışır: biri bir uygulamayla birlikte gelir, biri bir konteynerdedir, biri de yıllar önce /opt altına kurulmuştur.

Linux’ta her Java çalıştırılabilir dosyasını sürümüyle birlikte listeleyin:

sudo find / -xdev -type f -name java -perm -u+x 2>/dev/null | while read -r j; do echo "$j: $("$j" -version 2>&1 | head -n 1)"; done

Çalışan süreçlerin gerçekte hangi Java’yı kullandığını gösterin:

for p in $(pgrep -f java); do echo "$p $(sudo readlink -f /proc/$p/exe)"; done

Docker’da çalışan her konteynerin Java sürümünü kontrol edin:

for c in $(docker ps --format '{{.Names}}'); do echo "$c: $(docker exec "$c" java -version 2>&1 | head -n 1)"; done

Windows’ta, PowerShell içinde:

Get-ChildItem 'C:\Program Files','C:\Program Files (x86)' -Recurse -Filter java.exe -ErrorAction SilentlyContinue | ForEach-Object { "$($_.FullName): $((& $_.FullName -version 2>&1 | Select-Object -First 1))" }

Kendi Java’sını beraberinde getiren yazılımları unutmayın: Jenkins, Elasticsearch, Keycloak, Atlassian ürünleri, Tomcat paketleri, derleme ajanları ve oyun sunucuları gibi.

Adım 2: güncelleyin

Ubuntu ve Debian (OpenJDK paketleri):

sudo apt update && apt list --upgradable 2>/dev/null | grep -i jdk
sudo apt install --only-upgrade 'openjdk-*'

Red Hat, Rocky, AlmaLinux ve Fedora:

sudo dnf upgrade 'java-*-openjdk*'

Oracle JDK: Oracle’ın indirme sayfasından kendi sürümünüz için Ekim sürümünü kurun, ardından mümkün olan en kısa sürede My Oracle Support üzerinden CVE-2026-91403 yamasını uygulayın. Önce lisansı kontrol edin: 21.0.13’ten itibaren Oracle JDK 21 güncellemeleri artık ücretsiz No-Fee Terms and Conditions kapsamında değil ve ticari kullanım ücretli bir abonelik gerektirebilir. Temurin ya da Corretto gibi diğer OpenJDK derlemeleri için sağlayıcının en yeni sürümünü kurun.

Konteynerler: ana makinedeki bir güncelleme konteyneri değiştirmez. Güncellenmiş temel imajı çekin, imajlarınızı yeniden derleyin ve yeniden dağıtın.

Adım 3: yeniden başlatın ve doğrulayın

Java kodunu başlangıçta yükler, bu nedenle çalışan bir servis yeniden başlatılana kadar eski sürümü kullanmaya devam eder. Linux’ta bir paket güncellemesinden sonra bu komut, hâlâ değiştirilmiş dosyaları çalıştıran Java süreçlerini listeler:

sudo ls -l /proc/*/exe 2>/dev/null | grep -i 'java.*(deleted)'

Bu servisleri yeniden başlatın, Adım 1’deki komutları yeniden çalıştırın ve sürümleri yukarıdaki tabloyla karşılaştırın.

CVE-2026-91403 düzeltmesi kurulana kadar

• Java servislerine ağ üzerinden yalnızca buna ihtiyaç duyan sistemlerin erişmesine izin verin; özellikle internetten TLS bağlantısı kabul eden servislerde.
• Mümkün olan yerlerde TLS bağlantılarını Java servisinin önünde, örneğin bir reverse proxy’de sonlandırın; böylece JSSE’ye daha az güvenilmeyen TLS bağlantısı ulaşır. Bu, maruziyeti azaltır ancak düzeltmenin yerini tutmaz.
• İnternete açık Java servislerinin günlüklerini olağandışı TLS hataları ve çökmeler için izleyin ve yedeklerinizi hazır tutun.

Sırada ne var

Oracle, Java’yı daha sık güvenlik sürümlerine geçirdi. Bir sonraki sürüm olan Critical Security Patch Update 17 Kasım 2026’ya, üç aylık bir sonraki Critical Patch Update ise 19 Ocak 2027’ye planlandı. Her iki tarihi de takviminize ekleyin ve her seferinde yukarıdaki üç adımı tekrarlayın.

Sistemlerinizden hangilerinin Java çalıştırdığından emin değilseniz ya da bir Java servisi zaten saldırıya uğramış olabilirse yönetilen güvenlik ve olay müdahale ekiplerimiz yardımcı olabilir.