PHP2Shell gündemdeyken Java tarafında da iki önemli gelişme oldu. Bu yazı ne olduğunu ve Java kullanıyorsan nasıl güvende kalacağını anlatır. Zararlı kod paylaşılmaz. Kontrol tarihi: 23 Ekim 2026 (TR).
Önce büyük tablo: Oracle’ın Ekim güncellemesi
Oracle, üç ayda bir toplu güvenlik güncellemesi (CPU) yayımlar. Ekim 2026 CPU’su 1.295 açık kapattı; bunların 95’i kritik. Java SE, en çok yama alan ürünlerden biri. Yani sadece Java değil, Oracle’ın birçok ürününü kullanan kurumlar için büyük bir yama turu.
1) Acil olan: CVE-2026-91403 (JSSE / TLS — CVSS 9.1, sıra dışı yama)
- Oracle bunu normal takvimi beklemeden, acil (out-of-band) yayımladı — yani “bekleyemez” dediği bir açık.
- Açık, Java’nın güvenli bağlantı (TLS/SSL) bileşeni JSSE’de. Ağ üzerinden, kullanıcı adı/şifre olmadan istismar edilebiliyor.
- Bu yama aynı zamanda, anahtarları sızdığı bildirilen 8 adet eMudhra ara sertifika makamına (CA) Java’nın artık güvenmemesini sağlıyor. (Aynı eMudhra olayı geçen hafta Node.js güncellemesinde de geçmişti — yani birden çok platform aynı sertifikaları engelliyor.)
- Neden önemli? Güvendiğin bir sertifika makamının anahtarı sızarsa, saldırgan sahte ama “geçerli görünen” siteler/sertifikalar üretebilir. Güveni kaldırmak bunu engeller.
2) İkincisi: CVE-2026-91484 (Java eklentisi — CVSS 7.5)
- Bu, istemci tarafını ilgilendirir: sandbox içinde çalışan Java Web Start uygulamaları veya Java applet’leri güvenilmeyen kod çalıştırıyorsa risk var.
- İstismarı zor ve dar kapsamlı, ama hâlâ eski applet/Web Start teknolojisi kullanan kurumlar için geçerli.
Nasıl güvenli hale gelirim?
- Güncelle. Oracle’ın yamalı Java SE sürümlerine geç: 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1 (ve GraalVM kullanıyorsan ilgili GraalVM yapılarına).
- Hem sunucu hem istemci. Java sadece sunucularda değil; masaüstü uygulamalarında, build makinelerinde, bazı kurumsal araçlarda da var. Hepsini güncelle.
- Uygulama sunucularını yeniden başlat (Tomcat, JBoss/WildFly, uygulama servisleri) ki yeni sürüm ve yeni güven ayarları devreye girsin.
- Eski applet / Java Web Start kullanıyorsan, bu teknolojilerden çıkış planı yap — yıllardır modern tarayıcılar desteklemiyor ve saldırı yüzeyi geniş.
- Sertifika tarafı: Kendi uygulaman hâlâ eMudhra zincirine güveniyorsa, güncel Java güven deposunu kullan; özel (custom) güven deposu tutuyorsan o 8 sertifikayı sen de çıkar.
Kendi bilgisayarımda ne yapmalıyım?
Günlük kullanıcıysan ve bilgisayarında Java kuruluysa (bazı oyunlar, bankacılık/e-imza araçları Java ister): Java’yı güncel tut, kullanmıyorsan kaldır. Tanımadığın sitelerin “Java’yı etkinleştir” uyarılarına tıklama.
Kaynaklar: Oracle güvenlik uyarısı CVE-2026-91403, Oracle blog, Rapid7 (CVE-2026-91484), SOCPrime analizi, Oracle Ekim CPU özeti (OffSeq). Kontrol tarihi: 23 Ekim 2026.