# ☕ Java tarafında da alarm: Oracle'dan sıra dışı acil yama (CVE-2026-91403) ve 1.295 açık nasıl güvenli hale gelirsin **URL:** \ **Category:** Teknoloji Haberleri\ **Tags:** rehber, java, sertifika, siber-guvenlik, oracle\ **Created:** [Ekim 22, 2026, 10:39ös UTC](https://sibernobet.com/t/java-tarafinda-da-alarm-oracledan-sira-disi-acil-yama-cve-2026-91403-ve-1-295-acik-nasil-guvenli-hale-gelirsin/175 "2026-10-22T22:39:27Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\ **Post date:** [Ekim 22, 2026, 10:39ös UTC](https://sibernobet.com/t/java-tarafinda-da-alarm-oracledan-sira-disi-acil-yama-cve-2026-91403-ve-1-295-acik-nasil-guvenli-hale-gelirsin/175/1 "2026-10-22T22:39:27Z")
> PHP2Shell gündemdeyken **Java** tarafında da iki önemli gelişme oldu. Bu yazı ne olduğunu ve **Java kullanıyorsan nasıl güvende kalacağını** anlatır. Zararlı kod paylaşılmaz. **Kontrol tarihi: 23 Ekim 2026 (TR).** ## Önce büyük tablo: Oracle’ın Ekim güncellemesi Oracle, üç ayda bir toplu güvenlik güncellemesi (CPU) yayımlar. **Ekim 2026 CPU’su 1.295 açık** kapattı; bunların **95’i kritik.** Java SE, en çok yama alan ürünlerden biri. Yani sadece Java değil, Oracle’ın birçok ürününü kullanan kurumlar için büyük bir yama turu. ## 1) Acil olan: CVE-2026-91403 (JSSE / TLS — CVSS 9.1, sıra dışı yama) - Oracle bunu **normal takvimi beklemeden, acil (out-of-band)** yayımladı — yani “bekleyemez” dediği bir açık. - Açık, Java’nın güvenli bağlantı (TLS/SSL) bileşeni **JSSE** ’de. **Ağ üzerinden, kullanıcı adı/şifre olmadan** istismar edilebiliyor. - Bu yama aynı zamanda, anahtarları sızdığı bildirilen **8 adet eMudhra ara sertifika makamına (CA)** Java’nın artık **güvenmemesini** sağlıyor. (Aynı eMudhra olayı geçen hafta Node.js güncellemesinde de geçmişti — yani birden çok platform aynı sertifikaları engelliyor.) - **Neden önemli?** Güvendiğin bir sertifika makamının anahtarı sızarsa, saldırgan sahte ama “geçerli görünen” siteler/sertifikalar üretebilir. Güveni kaldırmak bunu engeller. ## 2) İkincisi: CVE-2026-91484 (Java eklentisi — CVSS 7.5) - Bu, istemci tarafını ilgilendirir: **sandbox içinde çalışan Java Web Start uygulamaları veya Java applet’leri** güvenilmeyen kod çalıştırıyorsa risk var. - İstismarı zor ve dar kapsamlı, ama hâlâ eski applet/Web Start teknolojisi kullanan kurumlar için geçerli. ## Nasıl güvenli hale gelirim? - **Güncelle.** Oracle’ın yamalı Java SE sürümlerine geç: **8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1** (ve GraalVM kullanıyorsan ilgili GraalVM yapılarına). - **Hem sunucu hem istemci.** Java sadece sunucularda değil; masaüstü uygulamalarında, build makinelerinde, bazı kurumsal araçlarda da var. Hepsini güncelle. - **Uygulama sunucularını yeniden başlat** (Tomcat, JBoss/WildFly, uygulama servisleri) ki yeni sürüm ve yeni güven ayarları devreye girsin. - **Eski applet / Java Web Start** kullanıyorsan, bu teknolojilerden çıkış planı yap — yıllardır modern tarayıcılar desteklemiyor ve saldırı yüzeyi geniş. - **Sertifika tarafı:** Kendi uygulaman hâlâ eMudhra zincirine güveniyorsa, güncel Java güven deposunu kullan; özel (custom) güven deposu tutuyorsan o 8 sertifikayı sen de çıkar. ## Kendi bilgisayarımda ne yapmalıyım? Günlük kullanıcıysan ve bilgisayarında Java kuruluysa (bazı oyunlar, bankacılık/e-imza araçları Java ister): Java’yı güncel tut, kullanmıyorsan kaldır. Tanımadığın sitelerin “Java’yı etkinleştir” uyarılarına tıklama. _Kaynaklar: [Oracle güvenlik uyarısı CVE-2026-91403](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html), [Oracle blog](https://blogs.oracle.com/security/security-alert-cve-2026-91403-released), [Rapid7 (CVE-2026-91484)](https://www.rapid7.com/db/vulnerabilities/cve-2026-91484/), [SOCPrime analizi](https://socprime.com/blog/cve-2026-91403-analysis/), [Oracle Ekim CPU özeti (OffSeq)](https://radar.offseq.com/threat/oracle-patches-over-1200-vulnerabilities-with-october-2026-cpu-4907cc14ba1efaee). Kontrol tarihi: 23 Ekim 2026._