Node.js ve Java Güvenlik Açıkları Rehberi: CVE-2026-111497 (Node2Shell) ve CVE-2026-91403 (Oracle JSSE)

Yazan /

Gün geçmiyor ki yeni açıklar ortaya çıksın. PHP’den sonra Node ve Java’da da kritik açıklar ortaya çıktı ve üç gündür sunucu ve sistem yedekleyip güncellemek gerçekten yorucu oldu. Bu yazı da henüz başlamayanlar ve merak edenler için ayrıca tarihe de not düşmek için yazmak istedim.

İçindekiler

Konu oldukça teknik ve birden fazla altyapı bileşenini aynı anda ilgilendirdiği için, doğrudan aksiyon almak isteyenler adına önce hızlı bir özet geçeyim.

ÖZET

  • PHP2Shell’in hemen ardından ikinci ve üçüncü dalga: PHP çekirdeğindeki iki kritik RCE açığının (CVE-2026-109618 ve CVE-2026-109619) hemen akabinde, Node.js ve Java ekosistemlerinde de eşzamanlı kritik güvenlik güncellemeleri yayımlandı. Web omurgasını oluşturan üç ana çalışma zamanı aynı 48 saat içinde acil yamalandı.
  • Node.js tarafında “Node2Shell” (CVE-2026-111497): Node.js’in yerleşik node:zlib kütüphanesinde yer alan Brotli kod çözücüsünde (Brotli decoder) sınır dışı yazma (out-of-bounds write / buffer overflow) açığı ortaya çıktı. Kötü niyetle sıkıştırılmış tek bir HTTP gövdesi veya istemci yanıtı, kimlik doğrulaması olmaksızın uzaktan kod çalıştırmaya (RCE) ya da servisi çökertmeye (DoS) yol açabiliyor. CVSS v4.0 skoru kimi analizlerde 9.2 olarak değerlendiriliyor.
  • Node.js yamaları hazır: 21 Ekim 2026 acil güvenlik bülteniyle Node.js v22.23.4 (LTS), v24.22.1 (LTS) ve v26.12.1 (Current) sürümleri yayımlandı. Sürüm 18 ve 20 gibi EOL (ömrü bitmiş) sürümler upstream güncelleme almayacak.
  • Java ve Oracle tarafında acil durum uyarısı (CVE-2026-91403): Oracle, 20 Ekim’de 55 adet güvenlik yaması içeren kapsamlı Ekim 2026 Critical Patch Update (CPU) paketini duyurduktan hemen 24 saat sonra, 21 Ekim 2026’da CVE-2026-91403 (CVSS 9.1) için sıra dışı bir Güvenlik Uyarısı (Security Alert) yayımladı. Açık, Java Secure Socket Extension (JSSE) bileşeninde yer alıyor; anahtarları zafiyete uğramış (aşırı düşük entropili/kırılmış) eMudhra ara sertifika makamlarının Java varsayılan güven deposunda (cacerts) bulunması nedeniyle, ağ üzerinden kimlik doğrulaması gerekmeksizin ortadaki adam (MITM) ve sahte sertifika kabulü saldırılarına imkân tanıyor.
  • Java yama hedefleri: Java SE 8 (8u511), 11 (11.0.33), 17 (17.0.21), 21 (21.0.13), 25 (25.0.5), 27 (27.0.1) ve Oracle GraalVM derlemeleri derhal güncellenmeli.
  • Altın kural: Yalnızca WAF arkasına sığınmak veya HTTP başlıklarını filtrelemek kalıcı çözüm sağlamaz. Node.js ve Java çalışma zamanlarını yamalı sürümlere yükseltmek tek güvenli yoldur.

Ekim 2026: PHP2Shell Sonrası İkinci Dalga

Daha dün PHP çekirdeğindeki iki kritik güvenlik açığını (CVE-2026-109618 ve CVE-2026-109619) ve sunucularda alınması gereken acil tedbirleri PHP2Shell Açığı Rehberi başlıklı yazımda tüm detaylarıyla anlatmıştım. Henüz sistem yöneticileri ve DevOps ekipleri PHP tarafındaki yangını söndürmeye çalışırken, 21 Ekim 2026 tarihi itibarıyla internetin diğer iki devi olan Node.js ve Java dünyasından da benzer büyüklükte acil güvenlik bültenleri art arda düştü.

Eğer sunucunuzda mikroservisler, API ağ geçitleri, Next.js / Nuxt / Express uygulamaları çalışıyorsa Node.js açığı; arka planda Spring Boot servisleri, Elasticsearch, Logstash, Kafka, Jenkins veya Tomcat gibi kurumsal yazılımlar koşuyorsa Java açıkları doğrudan sizin kapınızı çalıyor demektir.

Bu rehberde; Node.js’teki kritik Brotli taşması CVE-2026-111497 ile Oracle Java SE / GraalVM tarafındaki CVE-2026-91403 ve Ekim 2026 CPU güncellemelerini, saldırı mekanizmalarını, hangi sürümlerin etkilendiğini ve sunucularınızda sırayla uygulamanız gereken 5 pratik adımı derledim.

Node.js Açığı: CVE-2026-111497 (Node2Shell) Nedir?

Güvenlik araştırmacıları tarafından gayriresmî olarak “Node2Shell” şeklinde de anılmaya başlanan CVE-2026-111497, Node.js’in yerleşik sıkıştırma motoru olan node:zlib bünyesindeki Brotli kod çözücüsünde (decoder) bulunan kritik bir sınır dışı bellek yazma (out-of-bounds write / buffer overflow) zafiyetidir.

Brotli Kod Çözücüsünde Sınır Dışı Yazma (Out-of-Bounds Write)

Brotli, modern webde veri boyutunu küçültmek için yaygın olarak kullanılan bir sıkıştırma formatıdır. Node.js, C++ tabanlı Brotli kütüphanesini doğrudan çekirdeğinde derlenmiş olarak barındırır.

CVE-2026-111497 zafiyetinde, saldırgan özel olarak inşa edilmiş, bozuk uzunluk tablolarına ve manipüle edilmiş meta verilere sahip kötü niyetli bir Brotli akışı (stream) gönderdiğinde, kod çözücü tahsis edilen bellek tamponunun (buffer) sınırlarını aşarak ardışık bellek hücrelerine kontrolsüz veri yazar.

Bellekteki bu kontrolsüz taşma, iki tehlikeli sonuca yol açar:

  1. Uzaktan Kod Çalıştırma (RCE): Saldırgan bellek düzenini (heap layout) dikkatle manipüle edebilirse (heap grooming/feng-shui), fonksiyon göstericilerini (function pointers) ve dönüş adreslerini ezerek Node.js prosesi yetkileriyle rastgele makine kodu çalıştırabilir.
  2. Hizmet Reddi (Denial of Service – DoS): Bellek ihlali işletim sistemi seviyesinde Segmentasyon Hatası (SIGSEGV) oluşturur ve Node.js tek iş parçacıklı (single-threaded) olay döngüsüne sahip olduğu için uygulama anında çöker.

Saldırı Vektörleri: Yalnızca Brotli Sunmak Yetmiyor

Pek çok geliştirici şu yanılgıya düşüyor: “Benim sitemde Brotli aktif değil, o halde güvende miyim?” Maalesef hayır. Zafiyet yalnızca Brotli ile yanıt sunan sunucularda değil, Brotli verisini açan (decode eden) her noktada tetiklenebiliyor:

  • Gelen İstekleri Çözen Web Sunucuları: Express.js, Fastify, Koa gibi çatılarda body-parser veya otomatik gövde açma (decompression) ara katmanları kullanılıyorsa, saldırgan Content-Encoding: br başlığıyla gönderdiği kötü niyetli POST/PUT gövdesini sunucuya açtırarak zafiyeti doğrudan tetikler. Kimlik doğrulaması gerekmez.
  • Giden İstek Yapan İstemciler (SSRF & Webhooks): Uygulamanız üçüncü parti API’lere, webhook URL’lerine veya kullanıcı tarafından verilen web bağlantılarına fetch(), Axios veya Got ile istek atıyorsa; saldırganın kontrolündeki sunucu yanıtta Content-Encoding: br dönerek istemci tarafındaki Node.js uygulamanızı çökertebilir veya ele geçirebilir.
  • Doğrudan Kütüphane Çağrıları: zlib.createBrotliDecompress() veya zlib.brotliDecompress() fonksiyonlarını kullanıcı girdisiyle çalıştıran tüm dosya işleme, arşiv açma ve veri akışı servisleri savunmasızdır.

21 Ekim Node.js Güvenlik Bültenindeki Diğer Bulgular

21 Ekim 2026 tarihli acil bültende CVE-2026-111497 tek başına gelmedi; toplam 10 güvenlik zafiyeti kapatıldı. Bunların 4 tanesi yüksek/kritik önem derecesindeydi:

  • TLS Hostname Doğrulama Atlama (Bypass): Belirli sertifika zincirlerinde ana bilgisayar adı doğrulamasının hatalı sonuç vermesi.
  • Dahili DNS Çözümleme Hataları: Asenkron DNS sorgularında önbellek zehirlenmesine veya yarış durumlarına (race condition) yol açabilen problemler.

Hangi Node.js Sürümleri Etkileniyor, Hangileri Yamalı?

Node.js çekirdeği aktif olarak üç ana sürüm dalında yamalandı:

Sürüm DalıDurumuSavunmasız SürümlerYamalı / Güvenli Sürüm
Node.js 22.xActive LTS< 22.23.4v22.23.4
Node.js 24.xMaintenance LTS< 24.22.1v24.22.1
Node.js 26.xCurrent< 26.12.1v26.12.1
Node.js 18.x & 20.xEOL (Ömrü Bitti)Tümü savunmasızResmi yama yok (Dağıtım backport’u gerekir)

[!WARNING]
Önemli Not: Benzer Brotli kütüphanesini statik olarak paketleyen diğer alternatif JavaScript çalışma zamanları da incelenmektedir. Örneğin Bun v1.4.4 öncesi sürümler benzer risk taşıdığından hızla güncellenmelidir.

Java Açığı: Oracle Ekim 2026 CPU ve Acil Durum Uyarısı CVE-2026-91403

Java dünyasında tablo en az Node.js kadar hareketli. Oracle, 20 Ekim 2026’da çeyreklik olağan Critical Patch Update (CPU) bültenini yayımladı. Ancak hemen ertesi gün (21 Ekim 2026), alışılagelmişin dışında bağımsız bir Security Alert duyurusu ile CVE-2026-91403 açığını acil koduyla duyurdu.

CVE-2026-91403 Teknik Analizi: JSSE ve Tehlikedeki Ara Sertifika Yetkilileri (CA)

Bu açığın ciddiyeti (CVSS v3.1: 9.1), zafiyetin şifreleme ve güven zincirinin kalbinde yer almasından kaynaklanıyor:

  • Bileşen: Java Secure Socket Extension (JSSE) ve Sertifika Güven Yönetimi (PKI / Truststore).
  • Temel Neden: Hindistan merkezli eMudhra ara sertifika makamlarının (Intermediate Certificate Authority) özel anahtarlarında (private keys) çok ciddi bir kriptografik zayıflık tespit edildi. Yapılan analizlerde bazı özel anahtarların aşırı düşük entropi ile üretildiği (kriptografik değerinin 4’e kadar düştüğü) ve matematiksel olarak saniyeler içinde kırılabildiği ortaya çıktı.
  • Java’daki Etkisi: Java çalışma zamanının varsayılan güven deposu olan cacerts, bu tehlikeye girmiş ara makamları koşulsuz olarak geçerli kabul ediyordu.
  • İstismar Biçimi: Saldırgan, tehlikedeki bu ara CA anahtarlarını kullanarak istediği herhangi bir alan adı (domain) adına geçerli görünen sahte SSL/TLS sertifikaları üretebilir. Java tabanlı bir istemci (örneğin bir ödeme API’sine bağlanan Spring Boot mikroservisi ya da dış kaynakları tarayan bir Elasticsearch kümesi) bu sahte sunucuya bağlandığında, JSSE hiçbir hata vermeksizin bağlantıyı onaylar. Bu durum, tam anlamıyla kimlik doğrulaması gerektirmeyen şeffaf ortadaki adam (MITM) saldırısına ve şifreli verilerin açık metin olarak çalınmasına yol açar.

55 Güvenlik Yaması İçeren Ekim 2026 CPU Paketi

Söz konusu acil durum uyarısının yanı sıra, 20 Ekim tarihli CPU paketinde Java SE ve GraalVM için tam 55 adet yeni güvenlik yaması sunuldu. Bu yamaların önemli bir kısmı:

  • RMI (Remote Method Invocation) ve JMX arayüzlerinde yetkisiz deserialization riskleri,
  • HotSpot sanal makinesinde bellek bozulmaları,
  • 2D ve AWT grafik kütüphanelerindeki sınır taşmalarını kapatmaktadır.

Hangi Java Sürümleri Etkileniyor, Hangileri Yamalı?

Oracle Java SE ve GraalVM için belirlenen güncel hedef sürümler şunlardır:

Java SürümüDağıtım TürüSavunmasız DurumHedef Yamalı Sürüm
Java SE 27Feature Release< 27.0.127.0.1
Java SE 25LTS< 25.0.525.0.5
Java SE 21LTS< 21.0.1321.0.13
Java SE 17LTS< 17.0.2117.0.21
Java SE 11LTS< 11.0.3311.0.33
Java SE 8Legacy LTS< 8u5118u511 / 8u511-perf
Oracle GraalVMJDK 17 / 21 / 25Eski sürümlerİlgili Ekim 2026 CPU derlemeleri

[!NOTE]
OpenJDK Kullanıcıları: Eclipse Temurin, Amazon Corretto, Red Hat OpenJDK ve Azul Zulu gibi popüler dağıtımlar da Ekim 2026 CPU ve CVE-2026-91403 yamalarını içeren derlemeleri eşzamanlı olarak depolarına aktarmıştır. Kullandığınız sağlayıcının en son yama paketini yüklemeniz gerekir.

Neden Her Şey Aynı Anda Yaşandı? Yapay Zekâ Destekli Açık Keşfi Çağı

Birçok meslektaşım şu soruyu soruyor: “PHP2Shell, Node2Shell ve Java CPU neden aynı 48 saatlik zaman dilimine denk geldi?”

Bu bir tesadüf değil; yazılım güvenliğinde yeni bir dönemin başlangıcı:

  1. Yapay Zekâ ile Otomasyonlu Güvenlik Denetimi: OpenAI’ın Patch the Planet (Gezegeni Yamala) girişimi ve güvenlik firmalarının (Calif, Wiz, Trail of Bits) devreye aldığı akıl yürütme yetenekli yeni nesil modeller (GPT-5.6 Sol vb.), açık kaynaklı çekirdek projelerin 20 yıldır gözden kaçan kod yollarını sistematik olarak taramaya başladı.
  2. Kaskad İfşa ve Erken Sızıntılar: 20 Ekim’de PHP detaylarının sızdırılması üzerine süreçler erkene çekildi. Paralel yürüyen Node.js güvenlik bülteni ve Oracle’ın takvimli Ekim CPU döngüsü aynı güne kilitlendi.
  3. Savunucuların Yarışı: Saldırganlar yapay zekâ destekli PoC kodlarını silah haline getirmeden önce, resmi kurumlar ve çekirdek geliştiriciler yamaları jet hızıyla kamuya sundu.

Sunucunuzda ve Ortamınızda Yapılacaklar: Beş Adım

PHP rehberimizde olduğu gibi, panik yapmadan ama vakit de kaybetmeden aşağıdaki beş adımı uygulayın.

Adım 1 — Node.js Çalışma Zamanlarını Güncelleyin

Sunucunuzda Node.js hangi araçla yönetiliyorsa ona uygun güncelleme yolunu seçin:

1. NVM (Node Version Manager) Kullanıyorsanız:

# Aktif sürüm dalınızı kontrol edin (örneğin v22)
nvm ls

# İlgili dalın yamalı sürümünü kurun
nvm install 22.23.4
nvm alias default 22.23.4
nvm use 22.23.4

# PM2 veya çalışan uygulamaları yeniden başlatın
pm2 restart all --update-env

2. İşletim Sistemi Depoları (APT / YUM / DNF):
NodeSource veya dağıtım depolarını kullanıyorsanız:

# Ubuntu / Debian
sudo apt update && sudo apt --only-upgrade install nodejs

# RHEL / AlmaLinux / Rocky Linux
sudo dnf upgrade nodejs

# Sürüm doğrulaması
node -v

Adım 2 — Java JDK / JRE ve Gömülü Servisleri Güncelleyin

Java güncellemelerinde en sık yapılan hata, yalnızca komut satırındaki java komutunu güncelleyip arka planda çalışan servislerin kendi özel JDK yollarını unutmaktır.

1. Sistem Java Paketlerini Güncelleyin:

# Debian / Ubuntu (OpenJDK 21 örneği)
sudo apt update && sudo apt install --only-upgrade openjdk-21-jdk openjdk-21-jre-headless

# RHEL / CentOS / AlmaLinux
sudo dnf upgrade java-21-openjdk

2. Gömülü Java Kullanan Servisleri Yeniden Başlatın:
Elasticsearch, Logstash, Apache Solr veya Jenkins gibi servisler genellikle /usr/share/.../jdk altına gömülü Java çalıştırır. Paket yöneticiniz bu servisleri güncellediyse servisleri yeniden başlatmayı unutmayın:

sudo systemctl restart elasticsearch
sudo systemctl restart jenkins

3. cacerts Güven Deposunu Kontrol Edin:
CVE-2026-91403 açığına karşı, Java truststore dosyanızın güncellendiğini teyit edin. Şüpheli sertifikaların iptal listesinde (revocation list) olduğunu veya kaldırıldığını kontrol edebilirsiniz:

keytool -list -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit | grep -i emudhra

Adım 3 — Kapsamlı Çalışma Zamanı ve Bağımlılık Envanteri Çıkarın

Sunucunuzda siz farkında olmadan eski sürüm çalıştıran izole servisler olabilir:

  • Docker Konteynerları: docker ps çıktısını kontrol edin. Konteyner içinde node -v ve java -version komutlarını koşturarak base image’ların güncel olup olmadığını görün.
  • Node.js Bağımlılıkları: Proje dizinlerinizde npm audit veya pnpm audit çalıştırarak doğrudan Brotli kod çözümü yapan paketlerin durumunu inceleyin.
  • Birden Fazla Java Kurulumu: Linux sistemlerde update-alternatives --config java komutuyla kayıtlı tüm JVM yollarını tarayın.

Adım 4 — Geçici Önlemleri ve WAF Kalkanlarını Devreye Alın

Yamayı hemen uygulayamayacağınız kritik sistemlerde geçici azaltma (mitigation) yöntemlerini devreye sokun:

  1. WAF Kuralı (Node.js Brotli Engelleme):
    Uygulamanız zorunlu olarak Brotli ile istek kabul etmek zorunda değilse, Cloudflare, AWS WAF veya Nginx katmanında gelen POST/PUT isteklerinde Content-Encoding: br başlığını geçici olarak engelleyin:# Nginx katmanında geçici istek engelleme örneği if ($http_content_encoding ~* "br") { return 415 "Brotli compressed request bodies are temporarily disabled."; }
  2. Java Çıkış Trafiği Sınırlandırması:
    Java servislerinizin internete çıkış yapmasını gerektirmeyen durumlarda (yalnızca yerel veritabanı ile konuşan iç mikroservisler), giden HTTPS isteklerini güvenlik duvarı ile kısıtlayarak olası sahte sertifikalı MITM saldırılarının önüne geçin.

Adım 5 — Log İncelemesi ve İstismar Girişimi Tespiti

Sistemleriniz güncellenene kadar geçen sürede bir saldırıya maruz kalıp kalmadığınızı anlamak için log kayıtlarınızı tarayın:

  • Node.js Çökme Logları (Segmentation Fault):# Sistem günlüğünde segfault araması journalctl -xe | grep -E "node\[[0-9]+\]: segfault" dmesg | grep -i "node.*segfault"Eğer uygulamanız beklenmedik şekilde bellek hatasıyla kapandıysa ve hemen öncesinde garip boyutlu sıkıştırılmış POST istekleri varsa, incelenmesi gerekir.
  • Java TLS Bağlantı Hataları:
    Uygulama loglarınızda (catalina.out, Spring Boot logları vb.) beklenmeyen SSL handshake ve sertifika uyarılarını kontrol edin.

Kontrol Panelleri ve Konteyner Ortamları

CloudPanel

CloudPanel üzerinde barındırılan Node.js siteleri genellikle izole kullanıcılar altında çalışır.

  • SSH ile sunucuya bağlanıp node -v kontrolü yapın.
  • CloudPanel Settings > Node.js sekmesinden en güncel LTS sürümünün seçili olduğunu teyit edin ve site servislerini panelden yeniden başlatın.

Plesk & cPanel (Node.js Selector)

  • Plesk: Tools & Settings > Updates üzerinden Plesk Node.js extension güncellemelerini çekin. plesk bin nodelist ile yüklü sürümleri listeleyebilirsiniz.
  • cPanel / CloudLinux: CloudLinux altyapısında ea-nodejs22, ea-nodejs24 paketleri derlenip depolara verildikten sonra yum update ea-nodejs* komutuyla toplu güncelleyin.

Docker ve Kubernetes Ortamları

En büyük risk Docker imajlarındadır. Dockerfile’ınızda FROM node:22 veya FROM eclipse-temurin:21 yazıyor olsa bile, eğer sunucunuzda eski imaj önbellekteyse (cache) uygulamanız savunmasız kalmaya devam eder:

# Taban imajları en son sürüme zorla çekin (pull)
docker pull node:22-alpine
docker pull eclipse-temurin:21-jdk

# Konteynerlarınızı no-cache ile yeniden inşa edin
docker compose build --no-cache
docker compose up -d

Sık Sorulan Sorular (SSS)

1. Sunucumda sadece PHP2Shell’i kapattım, Node.js ve Java’ya bakmasam olur mu?
Kesinlikle hayır. Saldırganlar sunucunuza ulaştıklarında yalnızca bir servisi hedeflemezler. Dışarıya açık bir Express uygulaması veya arka planda çalışan bir Java log toplayıcısı ele geçirilirse, sunucunun tamamı (PHP siteleriniz dahil) risk altına girer.

2. Node.js uygulamamda Brotli sıkıştırmasını bilerek açmadım, yine de etkilenebilir miyim?
Evet. Kullandığınız web çatısının (örneğin Express’te body-parser ya da benzeri bir kütüphanenin) varsayılan ayarları, gelen isteğin Content-Encoding başlığına bakarak veriyi otomatik çözüyor olabilir. Ayrıca uygulamanız dışarıya istek atan bir istemci barındırıyorsa (fetch), sunucudan dönen Brotli yanıtı Node.js çekirdeğinde çözülür.

3. Java CVE-2026-91403 açığı için uygulama kodumu değiştirmem gerekir mi?
Hayır, kod seviyesinde değişiklik gerekmez. Bu açık tamamen Java sanal makinesinin (JVM) sertifika doğrulama katmanıyla (JSSE) ve varsayılan güven deposu (cacerts) ile ilgilidir. JDK/JRE sürümünüzü yamalamanız yeterlidir.

4. WAF kuralları bu açıklar karşısında beni tamamen korur mu?
Hayır. Tıpkı PHP’de olduğu gibi, WAF kuralları yalnızca bilinen saldırı imzalarını ve doğrudan gelen belirli başlıkları filtreleyebilir. Çift kodlanmış (double-encoded), parçalı (chunked) veya istemcinin dışarıdan çektiği yanıtlar WAF’ı kolayca atlatabilir. Kesin çözüm doğrudan çalışma zamanını yamamaktır.

İlk Yapmanız Gereken 3 Şey

  • Bugün: Üretim ortamındaki Node.js çalışma zamanlarını v22.23.4, v24.22.1 veya v26.12.1 sürümlerine yükseltip uygulamaları yeniden başlatın. Docker konteynerlarınızı --no-cache ile güncel taban imajlardan tekrar derleyin.
  • Bu Hafta: Sunucularınızdaki tüm Java kurulumlarını (bağımsız OpenJDK/Oracle JDK’lar ve Elasticsearch/Jenkins gibi servislerin içine gömülü JVM’ler dahil) Ekim 2026 CPU ve CVE-2026-91403 yamalarını içerecek şekilde güncelleyin.
  • Hemen: Yamalama imkânınız bulunmayan eski veya izole sunucularda, dışarıdan gelen kontrolsüz Brotli (br) isteklerini WAF veya ters vekil (Nginx) katmanında geçici olarak kısıtlayın; Java servislerinin yetkisiz dış TLS çıkışlarını sınırlandırın.

PHP açığı ile ilgili detayları bulabileceğiniz bir kaynak olarak https://umutbey.com/php2shell-acigi-rehberi-cve-2026-109618-ve-cve-2026-109619/ adresini ziyaret edebilirsiniz.

Kaynaklar ve Resmi Duyurular

  1. Node.js Resmi Güvenlik Bülteni (21 Ekim 2026):
    October 2026 Security Releases – High Severity Brotli Out-of-Bounds Write (CVE-2026-111497)
    nodejs.org/en/blog/vulnerability/october-2026-security-releases
  2. Oracle Critical Patch Update Duyurusu (20 Ekim 2026):
    Oracle Critical Patch Update Advisory – October 2026 (Oracle Java SE & GraalVM Fixes)
    oracle.com/security-alerts/cpuoct2026.html
  3. Oracle Acil Güvenlik Uyarısı (21 Ekim 2026):
    Oracle Security Alert Advisory for CVE-2026-91403 (JSSE Trust Management Compromise)
    oracle.com/security-alerts/alert-cve-2026-91403.html
  4. NIST Ulusal Güvenlik Açığı Veritabanı (NVD):
    CVE-2026-111497 Detail (Node.js Brotli Decoder OOB Write) & CVE-2026-91403 Detail (JSSE Intermediate CA Weak Key)
    nvd.nist.gov
  5. OpenAI Daybreak & “Patch the Planet” Girişimi Güvenlik Raporu:
    Automated Zero-Day Discovery and Coordinated Open Source Defense in 2026
    openai.com/index/patch-the-planet

Yorum bırakın

E-posta adresiniz yayınlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

Yukarı Çık