#1 1 hafta önce

Node.js ve Java İçin Kritik Güvenlik Güncellemeleri Yayınlandı! Uzaktan Kod Çalıştırma Açığına Dikkat

PHP'nin ardından Node.js ve Java platformları için de önemli güvenlik güncellemeleri yayınlandı. 20–21 Ekim 2026 tarihlerinde duyurulan yamalar, uzaktan kod çalıştırma (RCE), güvenlik kontrollerinin atlatılması, bellek yönetimi hataları ve hizmet kesintisine neden olabilecek çeşitli güvenlik açıklarını gideriyor.

Özellikle web hosting sağlayıcıları, sunucu yöneticileri ve uygulama geliştiricilerinin sistemlerini kontrol ederek güncellemeleri geciktirmemesi öneriliyor.

Node.js Güvenlik Açıkları: CVE-2026-111497 ve Diğerleri

Node.js geliştirici ekibi, 21 Ekim 2026 tarihinde Node.js 22.x, 24.x ve 26.x sürümlerini etkileyen toplam 10 güvenlik açığı için güncelleme yayınladı.

Bu güncellemede en dikkat çekici güvenlik açığı CVE-2026-111497 olarak kaydedildi.

CVE-2026-111497 – Uzaktan Kod Çalıştırma (RCE)

Node.js'in Brotli sıkıştırılmış verilerini işleyen bileşeninde bulunan bellek sınırları dışına yazma (Out-of-Bounds Write) hatası, uygun koşullarda saldırganların uzaktan zararlı kod çalıştırmasına olanak sağlayabiliyor.

Başarılı bir saldırı sonucunda Node.js uygulamasının çalıştığı kullanıcı hesabının yetkileriyle sistem üzerinde yetkisiz işlemler gerçekleştirilebiliyor.

Diğer Önemli Node.js Güvenlik Açıkları

  • CVE-2026-105482 (Yüksek): DNS çözümleme işlemlerinde NUL karakteri içeren alan adlarının hatalı işlenmesi.

  • CVE-2026-105483 (Yüksek): Özel biçimde yazılmış IP adresleri üzerinden TLS sertifikası ana makine adı doğrulamasının atlatılması.

  • CVE-2026-106069 (Yüksek): IP adreslerinin standart dışı gösterimlerinde TLS sertifika doğrulamasının atlatılması.

  • CVE-2026-105481 (Orta): HTTP Keep-Alive bağlantılarında istek ve yanıt eşleştirmesinin hatalı yapılabilmesi.

  • CVE-2026-106072 (Orta): Standart dışı IPv4 adreslerinde sertifika doğrulama kontrollerinin yetersiz kalması.

  • CVE-2026-106074 (Orta): Bazı uygulama başlatma yöntemlerinde rastgele UUID ve sayı üretiminde tekrar eden değerler oluşabilmesi.

  • CVE-2026-106070 (Düşük): ZIP dosyalarının doğrulanması sırasında saldırgan kontrollü verilerin döndürülebilmesi.

  • CVE-2026-106071 (Düşük): Permission Model içerisinde dosya sistemi erişim yetkilerinin gereğinden geniş verilmesi.

  • CVE-2026-106073 (Düşük): fs.realpathSync üzerinden Permission Model güvenlik kontrollerinin atlatılması.

Node.js İçin Güvenli Sürümler

Node.js SerisiGüvenlik GüncellemesiNode.js 26.x26.12.1Node.js 24.x LTS24.22.1Node.js 22.x LTS22.23.4Node.js 20.x ve öncesiDestek dışı, yükseltme öneriliyor

Özellikle Next.js, Express.js ve diğer Node.js tabanlı uygulamaları çalıştıran sunucuların güncellenmesi önem taşıyor.

Ancak her Node.js uygulamasının bu açıkların tamamından aynı şekilde etkilenmediği, istismar koşullarının kullanılan modüllere ve uygulama yapılandırmasına bağlı olduğu unutulmamalıdır.

Oracle Java İçin Ekim 2026 Güvenlik Güncellemesi

Oracle, 20 Ekim 2026 tarihinde yayınladığı Critical Patch Update (CPU) kapsamında Java SE dahil olmak üzere çok sayıda ürünündeki güvenlik açıklarını giderdi.

Oracle'ın Ekim 2026 güncellemesi, tüm ürün aileleri genelinde 1.295 yeni güvenlik yaması içeriyor.

Java platformunda giderilen açıklar arasında uzaktan kod çalıştırma, yetki yükseltme, hizmet reddi (DoS), güvenlik kısıtlamalarının aşılması ve hassas bilgilerin açığa çıkması gibi riskler bulunuyor.

Java Güvenlik Açıklarının Olası Etkileri

1. Uzaktan Kod Çalıştırma (RCE)

Bazı güvenlik açıkları, belirli koşullar altında saldırganların Java çalışma ortamında yetkisiz kod çalıştırmasına neden olabiliyor.

2. Hizmet Reddi (DoS)

Özel olarak hazırlanmış veriler veya istekler, savunmasız Java uygulamalarının beklenmedik şekilde sonlanmasına veya hizmet verememesine yol açabiliyor.

3. Yetki Yükseltme

Bazı açıklar, saldırganların mevcut erişim seviyelerinin üzerinde işlem gerçekleştirmesine olanak sağlayabiliyor.

4. Bilgi Sızdırma

Bellek ve veri işleme mekanizmalarındaki güvenlik hataları, belirli koşullarda hassas bilgilerin açığa çıkmasına neden olabiliyor.

Bu riskler her Java uygulaması için geçerli değildir. Etki düzeyi kullanılan Java sürümüne, ilgili bileşenlere ve uygulamanın çalışma koşullarına göre değişmektedir.

Java İçin Yayınlanan Güvenlik Güncellemeleri

Java SürümüGüncellenmiş Oracle SürümüJava 2727.0.1Java 2525.0.5Java 21 LTS21.0.13Java 17 LTS17.0.21Java 1111.0.33Java 88u511

Java kullanan kurumsal uygulamalar, web servisleri, Minecraft sunucuları ve diğer Java tabanlı sistemlerde kullanılan JDK/JRE dağıtımlarının güncelliği kontrol edilmelidir.

Oracle Java dışında Eclipse Temurin, Amazon Corretto ve diğer OpenJDK dağıtımlarını kullanan sistemlerin de kendi sağlayıcılarının yayınladığı güvenlik güncellemelerini takip etmesi gerekiyor.

cPanel, Plesk ve VPS Sunucuları Etkileniyor mu?

Evet. Node.js veya Java çalıştıran sunucular, kullanılan sürüme ve yapılandırmaya bağlı olarak bu güvenlik açıklarından etkilenebilir.

cPanel/WHM: Node.js uygulamaları için kullanılan çalışma ortamının ve ilgili paketlerin güvenlik güncellemeleri kontrol edilmelidir.

Plesk: Node.js Extension aracılığıyla kurulan sürümler kontrol edilmelidir. Plesk, Node.js sürümlerini doğrudan Node.js projesinden edinir ve yeni sürümleri günlük bakım görevleri sırasında kontrol eder.

VPS/VDS ve Dedicated Sunucular: Node.js ve Java manuel olarak kurulmuşsa güncellemelerin sunucu yöneticisi tarafından yapılması gerekebilir.

Docker: Node.js veya Java içeren container imajlarının güvenli sürümlerle yeniden oluşturulması ve uygulamaların tekrar dağıtılması gerekir.

Sunucunuzu Nasıl Koruyabilirsiniz?

1. Node.js sürümünüzü kontrol edin.

node -v

Güncel güvenlik sürümlerinden birini kullanıp kullanmadığınızı kontrol edin.

2. Java sürümünüzü kontrol edin.

java -version

Sunucuda birden fazla Java kurulumu bulunabileceğinden uygulamalarınızın gerçekte hangi sürümü kullandığını da doğrulayın.

3. Güvenlik güncellemelerini yükleyin.

Node.js için resmî sürüm paketlerini veya güvenilir paket yöneticilerini kullanın. Java için kullandığınız JDK dağıtımının güvenlik yamalarını yükleyin.

4. Uygulamalarınızı yeniden başlatın.

Çalışan uygulamaların yeni çalışma ortamını kullanabilmesi için gerekli servisleri yeniden başlatın. Docker ortamlarında güncellenmiş imajlarla yeniden dağıtım yapın.

5. Sunucu kayıtlarını inceleyin.

Beklenmeyen uygulama çökmeleri, şüpheli bağlantılar, olağan dışı bellek kullanımı ve yetkisiz işlemler açısından sistem kayıtlarını kontrol edin.

Sonuç

Ekim 2026 güvenlik güncellemeleri, yalnızca PHP değil, Node.js ve Java gibi yaygın kullanılan uygulama platformlarının da düzenli olarak güncellenmesi gerektiğini bir kez daha gösteriyor.

Özellikle Node.js CVE-2026-111497 güvenlik açığı, uygun koşullarda uzaktan kod çalıştırmaya neden olabilmesi nedeniyle dikkat çekiyor.

Java tarafında ise Oracle'ın kapsamlı güvenlik güncellemesi, sunucu ve uygulama yöneticilerinin mevcut JDK/JRE sürümlerini gözden geçirmesini gerektiriyor.

Unutmayın: Uygulamanızın kaynak kodunu veya kullandığınız framework'ü güncellemek, altta çalışan Node.js ya da Java ortamındaki güvenlik açıklarını otomatik olarak kapatmaz.

Resmî Kaynaklar

Yayın Tarihi: 22 Ekim 2026

📎 kapak görseli — büyütmek için tıkla