Node.js, Java ve Python: güncel güvenlik açıkları ve düzeltme kılavuzu

Kaynaklar 23 Ekim 2026 itibarıyla kontrol edildi (UTC) Kapsam dönemi: 25 Temmuz-23 Ekim 2026; Eylül’den Ekim’e kadar olan yeni duyurulara ve sonraki yamalara odaklanılıyor. Audience: Node.js, Java, Python hizmetlerinin, konteynerlerinin bakımını yapan, ardışık düzenleri ve geliştirme ortamlarını oluşturan mühendisler ve güvenlik müdahale ekipleri.

Bu makale, Node.js, Java ve Python çalışma zamanlarındaki, standart kitaplıklardaki ve ortak sunucu çerçeveleri ve bağımlılıklarındaki en son önemli güvenlik risklerini özetlemekte ve etki kapsamı, sabit sürümler, geçici azaltma önlemleri, yama seçimi ve doğrulama yöntemleri sağlamaktadır.

Bileşen sürümlerine, etkin özelliklere ve erişilebilir giriş noktalarına göre etkiyi değerlendirin. Güvenlik açığıyla ilgili gerçekler resmi tavsiyelerden gelir; tarihler, daha önceki bir yama sürümü açıkça belirtilmediği sürece kamuya açıklama anlamına gelir. Onaylanmamış yararlanma koşulları, CVSS puanları veya vahşi ortamda yararlanma durumları hakkında bir çıkarım yapmıyoruz. Dağıtım tavsiyesi uygulama kılavuzu olarak tanımlanır.

TL;DR: düzeltme öncelikleri

1. İlk olarak hizmeti barındıran çalışma zamanını güncelleyin. İlgili Node.js dalını en az 22.23.4 / 24.22.1 / 26.12.1 olarak güncelleyin. Node 24 kullanan hizmetler, aynı ana sürüm içindeki 24.22.1’ye veya aynı düzeltmeleri içeren daha sonraki bir sürüm’ye yükseltilebilir. S1S2
2. Node uygulama bağımlılıklarını ayrı ayrı güncelleyin. Next.js için, yükseltme temeli olarak 15.5.28 / 16.4.1 kullanın; React Server Components’yi bağımsız olarak kullanırken, kurulu olan gerçek react-server-dom-* paketini kontrol edin. Yalnızca Node ikili dosyasının güncellenmesi bu çerçeve güvenlik açıklarını kapsamaz. S8S9S10S11S12
3. Java: her iki güncelleme turunu kapsar. Hem 20 Ekim CPU hem de 21 Ekim CVE-2026-91403 acil durum sertifika güven düzeltmesini kapsayan bir satıcı yapısı yükleyin. Oracle JDK 11-27 bant dışı sürümleri için 2.2 bölümüne bakın; diğer dağıtımları kendi güvenlik paketlerine ve tam yapı numaralarına göre doğrulayın. İlgili Tomcat dalını 9.0.123 / 10.1.61 / 11.0.27 olarak güncelleyin. S16S17S18S20S21S22S23
4. Python : yorumlayıcıyı, uygulama paketlerini ve sertifika paketlerini ayrı ayrı güncelleyin. Bölüme bakın 2.3 tercüman temelleri için; certifi tavsiye eder ≥ 2026.10.19 , pip ≥ 26.2.2 , kullanırken uv ≥ 0.13.4 . Mevcut her venv’in kontrol edilmesi gerekir. İçin wrap_bio() ilgili kodlar, doğru ve boş olmayan server_hostname da aktarılmalıdır. S29 S30 S31 S33 S35 S36 S37
5. Anında yükseltme mümkün değilse, ilgili giriş noktalarındaki maruziyeti azaltın. Güvenilmeyen Brotli kod çözmeyi, etkilenen görüntü/sayfalama/arşivleme işlemlerini durdurmaya ve sorunlu LDAP veya kimlik doğrulama girişlerini yalıtmaya öncelik verin; TLS sertifikalarının ve ana bilgisayar adlarının doğrulanmasını sağlamak. Gelen WAF, kötü amaçlı sıkıştırılmış yanıtları alan uygulamalar gibi giden yolları kapsayamaz. S3S11S25S27S30S32
6. Eski süreçleri yeniden oluşturun, değiştirin ve gerçek hizmet yolları aracılığıyla doğrulayın. Kilit dosyasını ve görüntü özetini kaydedin, uygulamayı ve görüntüyü yeniden oluşturun, tüm çalışanlar/JVM/konteynerler için değiştirmeleri kullanıma açın; gerçek süreci, bağımlılık ağacını, güven deposunu ve iş regresyon testlerini kontrol edin. Daha yeni bir komut satırı sürümü tek başına düzeltmenin tamamlandığını göstermez.
7. LiteLLM 1.107.0 kurulduysa veya çalıştırıldıysa, olay müdahale prosedürlerini izleyin. Proje, sürüm güvenliğinin ihlal edildiğini 21 Ekim’de doğruladı. Etkilenen ortamları izole edin, temiz bir ortamdan araştırın, açığa çıkan kimlik bilgilerini yeniden oluşturun ve döndürün. İlk önce kontrol etmek için Python/pip’yi şüpheli bir ortamda başlatmayın. Ayrıntılar için Bölüm 9’a bakın. S41

1. Güvenlik Açığı Genel Bakış ve risk değerlendirmesi

1.1 Gerçek maruziyete göre iyileştirmeye öncelik verin

Aşağıdaki dağıtım öncelikleri uygulama kılavuzudur. Önem etiketleri, Apache’nin Important derecelendirmesi de dahil olmak üzere her satıcının ardından gelir. CVSS 3.1 ve 4.0 farklı puanlama sistemleridir; Sorunları yalnızca puana göre sıralamayın.

Ekosistem / katman	Temel sorunlar	Resmi not veya doğrulanmış puan	Öncelikli dağıtım
Node.js yerel bağımlılık	CVE-2026-111497: Brotli sınırların dışında yazılmıştır ve RCE riski vardır	Node：High	Harici istek gövdesinde veya harici yanıtta Brotli verilerinin kodunu çözün S1S3
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: Ayrıştırma ve kimlik doğrulama tutarsız	High	URL tarama, proxy, Webhook, dinamik hedef adresi S1S5S6
Node.js HTTP/2	CVE-2026-56846, 56848: Bellek tükendi ve UAF	High	Node, güvenilmeyen HTTP/2 trafiğini doğrudan yönetir S7
React / Next.js	RSC / use cache typed arrays RCE	Critical；CVSS 4.0 9.5	Sunucu RSC, ilgili önbellek bileşenleri ve veri yolu S9S10
Next.js Görüntü optimizasyonu	CVE-2026-96889: SVG Görüntü işleme RCE	Critical；CVSS 4.0 9.5	glibc Linux üzerinde güvenilmeyen görüntüleri işleyebilen örnekler S11
Next.js Server Actions	Özel olarak hazırlanmış istek CPU’nin tükenmesine neden oluyor	High；CVSS 4.0 8.2	App Router ve en az bir Server Action S12
Java TLS Güven	CVE-2026-91403: Etkilenen ara ürün CA’ye güvenmeye devam edin	CVSS 3.1 9.1	Etkilenen güven zincirini kullanan TLS/API Senaryosu S17
Tomcat	JNDIRealm kimlik doğrulama atlama, HTTP/2 çapraz istek karışıklıkları, AJP yanıt sızıntısı	Important	Realm / Connector / async Servlet yoluna karşılık gelir S21S22S23
Spring for GraphQL	CVE-2026-59285: Çağrı seri durumdan çıkarma RCE	High	Jackson 2 + Connection Çağrı + Kullanılabilir Sınıf Yolu S25
Spring Security	CVE-2026-59270: Gömülü LDAP bilinen yönetim kimliği açığa çıktı	Critical	Yerleşik LDAP etkinleştirildi ve dinleme bağlantı noktası, saldırgan S27 tarafından erişilebilir durumda
CPython ssl	CVE-2026-19445: SNI anahtarlama bağlamı UAF ile sonuçlanır	Critical	Python, TLS’yi kendi kendine sonlandırır ve S29 bağlam yaşam döngüsü koşulunu karşılar
CPython ssl	CVE-2026-19553: Ana makine adı eksik olduğunda doğrulamayı atla	High	wrap_bio() / İlgili eşzamansız çağrıda beklenen ana bilgisayar adı eksik S30
CPython tarfile	CVE-2026-82049: Sabit bağlantı ve sembolik bağlantı kombinasyonunu atlama	High	Güvenilmeyen katran arşivini otomatik olarak çıkarın S32
Django / GeoDjango	CVE-2026-15307: Uzamsal sorgu yazma dosyası, SSRF, RCE koşulu altında	High	Güvenilmeyen girişi kabul eden uzamsal sorgular veya ilgili yönetim arayüzleri S38
Python sertifika bağımlılığı	certifi: emSign ile ilgili sertifika güvensizliği	Critical; GHSA, bilinmiyor CVE	TLS istemci ve paket yönetimi aracı S36S37 hâlâ etkilenen CA bundle kullanıyor

Kısaltmalar: RCE, uzaktan kod yürütme anlamına gelir; UAF, ücretsiz kullanım sonrası kullanım anlamına gelir ve SSRF, sunucu tarafı istek sahteciliği anlamına gelir. RCE’nin doğrudan izinleri genellikle uygulamayı barındıran işlemin izinleridir ve otomatik olarak kök izinlerine eşdeğer olamaz.

Önerilen sıra: ilk olarak dışarıdan erişilebilen ve koşulları, kimlik doğrulama atlama, kullanıcılar arası veri sızıntısı ve sertifika kimlik doğrulama sorunlarını karşılayan RCE’yi işler; aynı zamanda halka açık DoS giriş noktası için güncellemeleri planlayın. İstismar edilebilirliğini kanıtlamak için üretimde saldırı yüklerini çalıştırmaya gerek yok. Bağımlılıklar mevcut, kod yollarına ulaşılabilir ve saldırı koşulları karşılanıyor. Bunlar ayrı ayrı kontrol edilmesi gereken üç konudur.

1.2 Kolayca karıştırılabilen üç sınır

• Çalışma zamanlarını ve bağımlılıkları ayrı ayrı yükseltin. Node, JDK, CPython için güvenlik güncellemeleri, Next.js, Spring, Django’nin bağımsız kurulumlarını otomatik olarak onarmaz, certifi veya yerel uzantılar.
• düzeltme eşiği, mevcut dağıtım temelinden ayrıdır. Ağustos ayındaki bir güvenlik açığına yönelik ilk yamanın Eylül’den Ekim’e kadar olan yeni sorunları kapsayacağı garanti edilmez; Bölüm 2, uygulama hedefi olarak doğrulanmış sonraki güncellemeleri kullanır.
• Güvenlik açığını gerçek bir tedarik zinciri ihlalinden ayırın. Yaygın güvenlik açıkları için yamalar gelecekteki saldırı yollarını ortadan kaldırır; Kötü amaçlı paketler çalıştırıldığında kimlik bilgilerinin ve kalıcılığın etkisinin araştırılması gerekir. Bölüm 9’un LiteLLM’si resmi olarak onaylanmış bir etkinliktir. S41

Vahşi doğada onaylanmış sömürü olup olmadığı resmi açıklamalara dayanmalıdır. Satıcı, istismar faaliyetlerinden bahsetmedi ve herhangi bir saldırının olmadığını kanıtlayamıyor; Gerçek saldırı yüzeyine göre iyileştirme yapılmalıdır.

2. Sabit sürümün ve dağıtım temel çizgisinin hızlı kontrolü

Kaynak: 2.1 Node.js、React、Next.js

bileşen/dal	Önerilen sürüm temeli	Kullanım talimatları
Node.js 22.x	22.23.4	Güvenlik sürümü S1S2, 21 Ekim’de
Node.js 24.x	24.22.1	24.x şubesi için geçerlidir; 24.22.0, 21 Ekim güvenlik yamasını içermiyor S1S2
Node.js 26.x	26.12.1	Aynı grupta güvenlik sürümü S1S2
Node.js 20 ve önceki yukarı akış şubeleri	Desteklenen bir şubeye geçiş yapın	Node 20 bu yukarı yönlü düzeltmeyi kabul etmez; satıcının genişletilmiş desteği ayrıca doğrulanmalıdır S3
Next.js 15.x	15.5.28	14 Ekim’de güncellendi S8
Next.js 16.x	16.4.1	Yukarıdakiyle aynı S8
Bağımsız RSC 19.0 / 19.1 / 19.2 / 19.3 şubesi	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	Üç react-server-dom-* paketini ayrı ayrı kontrol edin; sadece üst katmana bakmakla kalmayın react S10
Next aslında sharp’yi yükledi	≥0.35.5	SVG güvenlik açığına yönelik resmi geçici düzeltme koşulları; diğer Next.js yamalarının yerine geçmez S11

Node, Ekim ayındaki güvenlik açığı için etkilenen bakım dallarını resmi olarak listeliyor, ancak başlangıçta tanıtılan yama sürümünü madde madde sunmuyor, bu nedenle her bir güvenlik açığının kesin başlangıç sürümü, yalnızca bakım dalı aralığına göre belirlenemiyor. Dağıtım sırasında aynı dalın yukarıdaki sürümünü veya aynı düzeltmeleri içerdiği onaylanmış sonraki sürümünü kullanmaya öncelik verin.

2.2 Java: Ekim CPU artı bant dışı sertifika güncellemesi

Bu tablo Oracle JDK için geçerlidir. İkinci sütun yalnızca 20 Ekim CPU’yi kapsar; üçüncüsü 21 Ekim’deki bant dışı yayını içeriyor. CPU sürümleri tek başına burada tartışılan tüm Java risklerini kapsamaz. S16S17S18

şube	20 Ekim CPU	Oracle, 21 Ekim’de banttan çıktı
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	Genel sürüm tablosu hala 8u511’yi gösteriyor; Belirli güvenlik yapısı ve güven zinciri onarımı kontrol edilmelidir ve yalnızca kısa sürüm numarasına göre belirlenemez

**Java 8’nin tam derleme bilgilerine göre kontrol edilmesi gerekiyor:**Oracle Uyarı, etkilenen sürüm olarak 8u511’i listeler ve sürüm listesi, aynı kısa adla sonraki güncellemeleri listeler. Yama durumu yalnızca “8u511” kısa sürüm numarasına göre ayırt edilemez. Belirli güvenlik yapısını ve güven zinciri düzeltmelerini onaylamanız gerekir. S17S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , sürüm sürümü OpenJDK vb. ilgili duyurulara ve tam paket/yapı numaralarına göre kontrol edin. Örneğin, resmi yayın kaydı Adoptium eklemek için ilgili yapının yeniden paketlendiğini belirtir. eMudhra düzeltmek; yukarı akış sürümünün adının aynı olması paket içeriğinin aynı olduğu anlamına gelmez. .0.2 için sonek kuralları Oracle diğer yayıncılara mekanik olarak uygulanamaz. S20

Java uygulama bileşenleri	Önerilen sürüm temeli	Açıklamalar
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	Şube şube kontrol edin; Tomcat 10.0 bakımı durdurdu S21S22S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	Ticari destek aynı zamanda 2.0.4.1 S25’dir
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	Ağustos ayında açıklanan minimum düzeltme sürümüne karşılık gelir; dağıtımdan önce sonraki güvenlik bülteni S27S28’yi kontrol etmeniz gerekir
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	Duyuru, ticari destek düzeltmesi olarak listeleniyor; geçiş, karşılık gelen bir destek olmadığında değerlendirilir ve Maven Central’nin ücretsiz olarak mevcut olduğu varsayılamaz S27

Spring yükseltmeleri projenin Spring Boot BOM, Java minimum sürümüne ve uyumluluk hatlarına uygun olmalıdır. Sadece bir yama almak için tüm Spring modüllerini doğrudan aynı numaraya zorlamayın.

2.3 CPython, Django ve sertifika bağımlılıkları

Aşağıdaki tablonun ikinci sütunu Eylül ayında açıklanan TLS ihracına odaklanmaktadır; tarfile’ye ilişkin dal farklılıkları 5.3. bölümünde gösterilmektedir. 21 Ekim sürümleri aynı zamanda güncelleştirilmiş paket sertifika araçlarını da yayınlamaktadır, dolayısıyla son sütun daha sonraki dağıtım temellerini içerir. S29S30S33S35

CPython şubesi	Eylül güvenlik toplu minimum sürümü	Önerilen dağıtım temeli
3.10	3.10.22	Yukarı yöndeki son sürüm, EOL; geçişi düzenleyin veya sürüm uzantısı desteğini doğrulayın S34
3.11	3.11.17	3.11.17 ve pip/certifi’yi her ortamda ayrı ayrı güncelleyin
3.12	3.12.15	3.12.15 ve pip/certifi’yi her ortamda ayrı ayrı güncelleyin
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	Son 3.15.0 sürümü hem TLS düzeltmelerini hem de S31S47’yi içerir	3.15.1

3.11 ve 3.12’nin yukarı akış güvenlik sürümleri yalnızca kaynak kodunda yayınlanabilir; işletim sistemi paketini kullanırken, satıcının destek önerisini ve tam paket sürümünü kontrol edin; Python sistemini kendi kendine derlenmiş bir sürümle zorla değiştirmeye gerek yoktur. S33S34

bağımsız bağımlılık	Önerilen sürüm temeli	Açıklama
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	Sonraki düzeltmeyi S38S39’yi 6 Ekim’e ekleyin
certifi	≥2026.10.19	GHSA başlangıç yaması 0,18’dir; PSF, etkilenmeyen sertifikalarla uyumluluğu korumak için 0,19’u önerir S36S37
pip	≥26.2.2	certifi’nin yerleşik kopyasının ayrıca güncellenmesi gerekiyor S35S37
uv (kullanılıyorsa)	≥0.13.4	S37’yi gerçek kurulum yöntemine göre güncelleyin

Bu temel çizgiler, listelenen düzeltmeleri kapsamaktadır. tar_filter’deki başka bir orta önem dereceli sorun 22 Ekim’de açıklanmıştır. 23 Ekim 2026 itibarıyla, bu düzeltmeyi içeren resmi bir bakım sürümü henüz onaylanmamıştır; bu nedenle 3.13.17 / 3.14.9 / 3.15.1’nin tüm tar dosyası sorunlarını kapsadığı düşünülemez. Bkz. Bölüm 5.4. S40

2.4 Dağıtım desteklerinin doğrulanması

Ubuntu, Debian, RHEL ve diğer yazılım paketleri için geçerli uygulama ilkeleri:

1. İşletim sistemi sürümünü, veri havuzu kaynağını, tam paket sürümünü ve satıcı güvenlik bülten numarasını kaydedin.
2. Önerinin belirli CVE’yi kapsadığını ve ilgili dağıtım sürümü için sabit bir paket tanımladığını doğrulayın.
3. Yalnızca yukarı akış kısa sürümünü değil, gerçek çalışan işlem tarafından yüklenen ikili dosyaları/kütüphaneleri karşılaştırın.
4. Satıcı yamasının kanıtı olmadığında, bunu “onaylanmaya” bırakın ve bunu sürüm numarasının eski veya yeni göründüğüne dair tek sonuç olarak almayın.

Farklı dağıtımların apt/RPM paket versiyonlarında ve destek stratejilerinde farklılıklar vardır. Her dağıtımın güvenlik bülteni ve tam paket sürümü geçerli olmalıdır.

3. Node.js / JavaScript ekosistemi: Nedenlerin Analizi ve iyileştirme

3.1 CVE-2026-111497: Brotli yerel kod çözücünün sınırların dışında yazma

Açıklama: 2026-10-21; Node resmi sınıf: High. Node 22.x, 24.x, 26.x’in etkilenen yapıları 2.1 yama bölümünün yüklenmesini gerektirir. Node Duyuruda sayısal bir CVSS puanı listelenmiyor. S1

Sorun, yerel kod çözme mantığında, hatalı biçimlendirilmiş Brotli sıkıştırılmış akışı işlenirken ortaya çıkıyor ve bu da sınırların dışında yazmalara yol açabiliyor. Vercel’nin resmi açıklaması, araştırma gösteriminin süreç belleği sızıntılarını ve komut yürütmeyi içerdiğini doğrulamaktadır. Bir saldırganın kod çözücüye ulaşıp ulaşamayacağı, uygulamanın veya bağımlılığın kontrol ettiği verilerin kodunu gerçekten çözüp çözmediğine bağlıdır. S3

Her iki yönün de aynı anda kontrol edilmesi gerekir:

• inbound: çerçevesi veya ara yazılımı, kullanıcı tarafından gönderilen Brotli istek gövdesinin sıkıştırmasını otomatik olarak açar.
• **outbound:**HTTP İstemciler, görüntü yakalayıcılar vb. saldırgan tarafından kontrol edilebilen kaynaklara erişir ve döndürülen içeriğin sıkıştırmasını otomatik olarak açar.

Tarayıcılara gönderilen yanıtların Brotli sıkıştırılmasını devre dışı bırakmak, kod çözme giriş noktasını kaldırmaz. Gelen WAF koruması ayrıca harici yanıtları alan ve kodlarını çözen uygulamaları kapsamaz. S3

**Yama yönü:**Node Brotli yukarı akış düzeltmesini yerel bağımlılığa taşıyın ve yasa dışı kod çözme durumu denetimini ve hata yayılımını tamamlayın. Kendi kendine derlenen bir sürümü korurken, resmi güvenlik sürümünü veya eşleşen dalın tam yamasını kullanmalısınız. JavaScript paketinin sürüm bildirimini öylece değiştiremezsiniz. S4

Geçici uygulama önerileri: gereksiz güvenilmeyen Brotli kod çözmeyi durdurun; ara yazılımın ve HTTP istemcisinin otomatik sıkıştırmayı açma davranışını kontrol edin; işletmenin bu formatı kabul etmesi gerekiyorsa, işlemi en kısa sürede yamalı ortamda tamamlayın. Accept-Encoding’nin ayarlanması yalnızca bir müzakere eylemidir ve kötü niyetli bir yanıtın engellendiğine dair tek başına kanıt olarak görülmemelidir.

3.2 TLS / DNS üç High: Doğrulama nesnesi gerçek hedefle tutarsız

Üçü de 21 Ekim’de 2.1. S1 bölümünde belirtilen resmi yükseltme eşiğiyle açıklandı.

Tanımlayıcı	Sorun onaylandı	Etkilenen şubeler
CVE-2026-105482	dns.resolve NUL içeren adların kısaltılması	22.x / 24.x / 26.x
CVE-2026-105483	Tam genişlikte sayısal biçimdeki IP, sertifika ana bilgisayar adı doğrulamasının atlanmasına neden oluyor	24.x / 26.x
CVE-2026-106069	Genel olarak IP olarak yorumlanabilecek ana bilgisayar adı, TLS doğrulamasının atlanmasına neden olur	22.x / 24.x / 26.x

DNS Sorunun özü, üst katman tarafından kontrol edilen dizenin, alt katman tarafından ayrıştırılan addan farklı olmasıdır. Resmi yama, ayrıştırma girişinde NUL’yi reddediyor ve regresyon kapsamını ekliyor. S6

TLS İki öğe ad normalleştirmesini, IP yorumunun tutarlılığını ve sertifika eşleştirmeyi içerir. Gerçek IP uç noktasının sertifika etki alanı kimliğiyle karıştırılmasını önlemek için standart olmayan IP girişinin reddedilmesini veya doğru şekilde işlenmesini sağlayacak şekilde yama yapın. S5

için gerçek sorun giderme önerileri:, alıcı kullanıcının URL kodunun, dinamik proxy hedefinin veya Webhook adresinin kontrol edilmesine öncelik verir; birleşik standardizasyon ve izin verilenler listesi kararı, NUL/kontrol karakterlerini reddeder, yasal IPv4, IPv6 ve uluslararasılaştırılmış alan adlarının hala çalıştığını onaylar. SSRF’nin daha da oluşturulup oluşturulamayacağı, doğrudan CVE isminden çıkarılamayan bağlantı kanıtlarının uygulanmasını gerektirir.

Yükseltme sonrası sağlama toplamı hatalarını ortadan kaldırmak için NODE_TLS_REJECT_UNAUTHORIZED=0 veya rejectUnauthorized: false kullanmayın. Adres, sertifika ve işletme yapılandırması düzeltilmelidir.

3.3 Temmuz HTTP/2 High-risk ve izin modeli sorunları

Temmuz ayında açıklanan aşağıdaki konuların hâlâ soruşturmaya dahil edilmesi gerekiyor. Dağıtım sırasında doğrudan Bölüm 2.1’deki Ekim güvenlik sürümü temel çizgisinin kullanılması önerilir. S7

CVE	Sebepler ve etkiler	İlk sabit versiyon
CVE-2026-56846	Tutulan HTTP/2 header bloğu, maxSessionMemory bütçesine düzgün şekilde dahil edilmez ve belleği tüketebilir; Etki 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2, paket toplama sırasında gönderme yoluna yeniden girerek UAF yığınına neden olur; darbe 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	--permission Yol öneki sınır eşleşmesi çok geniş ve izin verilenler listesinin dışındaki dosyalara erişilebilir.	Yukarıdaki üç bakım satırıyla aynı

Üçü de resmi olarak High’dir. İlk iki öğe, HTTP/2’nin Node tarafından işlenip işlenmediğinin kontrol edilmesine öncelik verir; üçüncü öğe yalnızca izin modeli kullanıldığında ve bu sınıra dayanıldığında karşılık gelen bir anlama sahiptir. İzin modeli öğelerinin tümü, kimlik doğrulama gerektirmeyen RCE ağı olarak tanımlanamaz. S7

HTTP/2’nin ayrı, güncellenmiş bir proxy üzerinde geçici olarak sonlandırılması ve arka uç kaynaklarının sınırlandırılması, riski azaltmak için bir dağıtım seçeneğidir; kaynak kotaları yalnızca kaynak tükenmesinin sonuçlarını kontrol edebilir ve UAF’ye yama uygulayamaz.

3.4 Ekim React / Next.js: iki öğe RCE ve bir öğe DoS

A. RSC /‘deki RCE use cache, yazılan dizileri döndüren işlevler

Genel tarih: 2026-10-14; Critical, CVSS 4.0 9.5. Resmi öneri tanımlayıcıları:

• React：GHSA-xqc2-xf4c-x3h3。
• Next.js：GHSA-673q-mjm6-r5xr。S9S10

React yukarı akış sorunu, RSC yanıtındaki saldırganın kontrol edebileceği değerlerle birleştirilmiş birden fazla türde diziyi içeriyor. Etkilenen üç react-server-dom-* paket sürümü şunlardır: 19.0.0—19.0.8, 19.1.0—19.1.9, 19.2.0—19.2.8, 19.3.0; bkz. bölüm Bölüm 2.1. Saf tarayıcı tarafı React veya RSC’yi destekleyen çerçeveleri/eklentileri hiç kullanmayan uygulamalar bu öğenin kapsamına girmez. S10

Next.js alt duyuru listeleri 16.0.0—16.4.0, 16.4.1’de revize edilmiştir; senaryo, birden fazla yazılan diziyi döndüren App Router, Cache Components ve use cache işlevleridir. Resmi, güvenilir bir genel çözüm yoktur ve etkilenen sürümlerin kullanıcılarının zamanında yükseltme yapması gerekir. İşlemi sonlandırmak için yalnızca “bu işlev mevcut görünmüyor” şeklinde manuel aramalara güvenmek uygun değildir. S9

Kaynak: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. sorunu, görüntü optimizasyonu için kullanılan yukarı akış yerel kitaplığında ortaya çıkıyor. Yetkililer, glibc Linux senaryosunda RCE riskinin mevcut olduğuna dikkat çekti. S11

Resmi sürüm alanları şunlardır:

• >=10.0.0 <=15.5.27；
• >16.0.0 <=16.4.0。

Yetkili, 16.x dalı için >16.0.0’nin katı bir alt sınırını kullanıyor ancak bu aralık beyanı, 16.0.0’nin güvenli olduğunu kanıtlamak için yeterli değil. Gerçek yükseltme hedefi eşit olarak 15.5.28 / 16.4.1’dir. S11

Resmi geçici çözüm, Next’nin gerçekten keskin ≥0.35.5 yüklemesini sağlamaktır. Kilit dosyaları, iç içe bağımlılıklar ve dağıtım görüntüleri hala eski örnekleri barındırabilir; bu nedenle sharp bağımlılığının yeni bir sürümünün en üst düzeye eklenmesi yeterli değildir; son bağımlılık ağacının kontrol edilmesi ve yeniden oluşturulması gerekir. S11

C. Server Actions CPU tükendi

**GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.**Next, 13.0.0—15.5.27’yi etkiler, 16.0.0—16.4.0, 15.5.28 /16.4.1’yi düzeltir. Koşullar App Router ve en az bir Server Action’dir; kötü niyetli istekler CPU’yi uzun süre meşgul edebilir ve aynı süreçte sonraki istekleri engelleyebilir. Pages Router içeren veya Server Actions olmayan uygulamalar bundan etkilenmez. S12

Yükseltmenin yerini alabilecek resmi bir geçici çözüm yoktur. Hız sınırları, eşzamanlılık sınırları ve kaynak kotaları hasarı azaltabilir ancak yama doğrulaması için bir sonuç olarak kullanılamaz.

3.5 Önceki Next.js aynı pencerede Ciddi sorun

Aşağıdaki öğeler, hâlâ Ağustos-Eylül öncesi sürümlerde takılı kalan eksik dağıtımları önlemeye yöneliktir; Artık tablodaki eski düzeltme eşiklerine geçmeniz önerilmez.

Tarih	Tanımlayıcı / senaryo	İlk düzeltme; mevcut eylem
2026-08-25	GHSA-2xp9-vwfh-vxw4: AVIF görüntü optimizasyonu yerel kitaplığı RCE, Critical	15.5.24 / 16.3.3; şimdi 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical, Pages Router ve App Router, Windows üzerinde aynı anda kullanıldığında ve Cache Components etkinleştirilmediğinde; >=13.4.0 <15.5.24, >=16.0.0 <16.3.3 versiyonları	15.5.24 / 16.3.3; Linux/macOS bu özel Windows sorunundan etkilenmez S14
2026-09-22	GHSA-vcvr-r3jv-pc5j: next/og’deki Node görüntü oluşturma yolu, güvenilmeyen SVG, Critical’yi işler; 16.2.0—16.3.5	16.3.6; Edge uygulaması bu sorunun kapsamı dışındadır ve 15.x, bu RCE S15 için etkilenen bir dal değildir.

4. Java ekosistemi: Çalışma zamanı güveni, kapsayıcılar ve çerçeveler ayrı ayrı ele alınır

4.1 JDK: Normal CPU ve CVE-2026-91403 iki katmanlı güncellemelerdir

20 Ekim’deki Oracle CPU için Java SE risk matrisi, 55 yeni güvenlik düzeltme ekini listeliyor; bunların 49’u kimlik doğrulama olmadan ağ üzerinden yararlanılabilir olarak işaretlendi. Bu, 55 Critical olduğu anlamına gelmediği gibi, her Java web hizmeti için doğrudan yararlanılabilir 49 RCE yolu olduğu anlamına da gelmez; matristeki bileşenler, API’ler, kullanıcı etkileşimleri ve dağıtım koşullarıyla birlikte anlaşılmalıdır. S16

Ertesi günün CVE-2026-91403 (CVSS 3.1 9.1)‘si başka bir risk türüyle ilgilenir: artık güvenilmeyen eMudhra olayıyla ilgili bir dizi ara CA. TLS eş kimlik doğrulamasını ve iletişim gizliliğini/bütünlüğünü etkiler ve JVM bellek bozulması güvenlik açığı olarak tanımlanamaz. S17

Oracle uyarı belgesinde 20 Ekim’de yayımlanan sürüm etkilenmiş olarak listeleniyor; dolayısıyla 21 Ekim’deki bant dışı güncellemenin de yüklenmesi gerekiyor. Belirli bir sürüm için 2.2 bölümüne bakın. GraalVM’nin ayrıca ilgili etkilenen ürünleri vardır ve sabit sürüm, kendi özel güvenlik bültenine tabi olmalıdır. S17S18

Geçici resmi önlemler: Önce yedekleyin ve ardından belirtilen kök sertifikayı gerçekte kullanılan her güven deposundan kaldırın:

• emSign ECC Root CA - G3, Oracle diğer adı emsigneccrootcag3 [jdk].
• AAA Certificate Services, Oracle diğer adı comodoaaaca [jdk]. S19

JDK 11 ve üzeri resmi örnek:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

Bu komutlar için hedef JDK**‘den**keytool’u kullanın ve bunların uygulamanın gerçek güven deposunda çalıştıklarını doğrulayın. Java 8, jre/lib/security/cacerts’ye karşılık gelen yolu kullanır; güvenilir mağazanın özelleştirilmesi ayrı olarak ele alınmalıdır ve diğer yayıncıların farklı takma adları olabilir. Kök sertifikanın kaldırılması, reddetme kapsamını genişletecek ve meşru hizmet sertifikası zincirlerinde regresyon testi yapacaktır. S19

Yetkili ayrıca iptal kontrolünü etkinleştirme seçeneğini de sunar ancak bunun etkisi, gerçek TLS uygulamasına, iptal hizmetinin erişilebilirliğine ve başarısızlık stratejisine bağlıdır. Genel dağıtımlar için, iki JVM anahtarının tüm TLS kitaplıklarının düzeltildiğinin kanıtı olarak değerlendirilmesini önlemek için tam satıcı güncellemelerini yüklemeye öncelik verin.

4.2 Tomcat: Kimlik doğrulama atlama ve çapraz kullanıcı isteği izolasyonu

Aşağıdaki üç öğe 2026-10-20’de yayınlandı; onarılan sürüm girişi Ekim 12 tarihlidir. Apache’nin resmi notu Important’dir. S21S22S23

CVE	Onaylanan etkilenen sürümler	Gerekli senaryolar/sonuçlar
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm GSSAPI dışı SASL kimlik doğrulama mekanizmasını yapılandırır, kimlik bilgisi doğrulaması eksik ve yanlış şifreler de geçebilir
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	HTTP/2’nin eşzamansız Servlet hatası işlemesi, nesneleri hatalı bir şekilde geri dönüştürüyor/yeniden kullanıyor ve kullanıcılar arasında istek veya yanıtların karışmasına neden oluyor
CVE-2026-103119	Yalnızca 11.0.0-M25—11.0.26’yi onaylayın	Büyük AJP engellemesiz yazma işlemleri, arabelleğin yetersiz okunmasına neden olarak önceki yanıt verilerinin sonraki isteklerde açığa çıkmasına neden olabilir.

İlgili düzeltme 9.0.123 / 10.1.61 / 11.0.27’dir; AJP, duyuruya göre yalnızca Tomcat 11 olarak listeleniyor ve aynı soruna sahip üç şubeye genişletilemez. S21S22S23

JNDIRealm yaması, gerçek kimlik doğrulama sürecindeki doğrulama yerine “uygulama oturum açma arayüzünün normal göründüğü” bir doğrulama boşluğunu giderir. Hizmetin gerçek yapılandırması için Realm, SASL mekanizmaları kontrol edilmeli ve yanlış şifreler için testler başarısız olmalıdır. S24

Geçici uygulama önerileri: etkilenen kimlik doğrulama yolunu izole edin; iş izin verdiğinde HTTP/2’nin Tomcat işlenmesini askıya alın; işe yaramaz AJP’yi kapatın. Yalnızca AJP bağlantı noktasına doğrudan erişimi kısıtlamak, yasal ön proxy üzerinden giren trafiğin etkilenmeyeceğini kanıtlayamaz. Resmi güncellemeden sonra, iki bağımsız kullanıcıdan gelen asenkron eşzamanlı talepler, kimlikler ve yanıtlar arasında çapraz konuşma olmadığını doğrulamak için test edilmelidir.

Kaynak: 4.3 Spring for GraphQL：CVE-2026-59285

Genel tarih: 2026-08-20; High. etkilendi 2.0.0—2.0.4, onarıldı 2.0.5 (OSS) veya 2.0.4.1 (ticari destek). S25

Bu, sayfalama sorgularında güvenli olmayan bir seri durumdan çıkarma riskidir. Resmi gereklilik, aşağıdaki koşulların aynı anda karşılanmasıdır:

1. Spring for GraphQL’yi kullanın.
2. Jackson 2.x’i kullanarak JSON’u seri durumdan çıkarın.
3. Dış dünyaya Bağlantı çağrı alanı sağlayın.
4. Sınıf yolu, örnekleme veya seri durumdan çıkarma sırasında beklenmeyen mantığı gerçekleştirebilen belirli sınıfları içerir.

Kötü amaçlı bir GraphQL isteği, koşullar karşılandığında RCE’ye neden olabilir. “Jackson kullanan tüm Java programlarından yararlanılabilir” şeklinde indirgenemez. S25

2.0.4 neden yetersiz: Haziran ayında CVE-2026-41699, 2.0.4 gibi yama temelleri vermişti ve Ağustos ayında yapılan duyuru açıkça 2.0.4’yi yeni etki kapsamına dahil etti. Bu nedenle onarım kaydının daha sonraki duyurulara göre güncellenmesi gerekir ve eski CVE’nin minimum sürümü kullanılamaz. S26

Yükseltme geçici olarak kullanılamadığında, güvenilmeyen arayanların erişebildiği etkilenen sayfalandırma alanları askıya alınabilir; Seri durumdan çıkarılabilen türleri ve sınıf yollarını daraltmak derinlemesine bir önlemdir. Regresyonlar yasal imleçleri, sayfalandırılmış sonuçları ve istisna girişi reddini kapsamalı ve son uygulama JAR’ındaki gerçek bileşen sürümlerini kontrol etmelidir.

4.4 Spring Security: CVE-2026-59270 ve ilgili kimlik doğrulama riskleri

CVE-2026-59270, 2026-08-20, Critical. yerleşik UnboundIdContainer, varsayılan olarak bilinen yönetici kimlik bilgilerini kaydeder ve tüm ağ arayüzlerini dinler. Bileşen etkinleştirildiğinde ve bağlantı noktasına erişilebilir olduğunda, saldırgan dizin verilerini okuyabilir veya değiştirebilir; Genel olarak Spring Security’yi tanıtan projeler, LDAP’yi otomatik olarak kullanıma sunmayacaktır. S27

Etkilenen alan:

şube	etkilenen	İlk düzeltme/edinme kanalı
7.1	7.1.0	7.1.1 OSS; ayrıca ticari 7.1.0.1
7.0	7.0.0—7.0.6	7.0.7 OSS; ayrıca ticari 7.0.6.1
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, ticari
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, ticari

Kaynak: S27. spring.ldap.embedded.* otomatik yapılandırma ve doğrudan örnekleme koduyla ilgili sorunları giderin; üretim için gerekli olmadığında bileşeni kapatın ve gerçek dinleme adresini kontrol edin. İşletmenin buna gerçekten ihtiyacı olduğunda, önce çağrı kaynaklarını sınırlayın ve ardından bileşen yükseltmesini tamamlayın.

**İlgili kimlik doğrulama sorunu: CVE-2026-47841 (High).**WebAuthn Kullanıcı kimlik doğrulaması REQUIRED olarak ayarlanmıştır ve HTTP oturumu dağıtılmış depolama tarafından serileştirildikten sonra, yanlış nesne kimliği karşılaştırması kimlik doğrulama gereksinimini geçersiz kılabilir. Saldırı aynı zamanda saldırganın, bir cihaz olmadan rastgele uzaktan oturum açmayı değil, kullanıcı kimlik doğrulama cihazına sahip olmasını gerektirir. İlgili etkilenen 7.1, 7.0, 6.5 ve 6.4 sürümleri için yama temeli, yukarıdaki tabloda yer alan bu dallarla tutarlıdır; doğrulama, düğümler arası oturumları kapsamalı ve yine de PIN/biyometrik doğrulama gerektirmelidir. S28

5. Python ekosistemi: yorumlayıcı, standart kitaplık, çerçeve ve sertifikalar

5.1 CVE-2026-19445: SNI geri aramasında SSLContext UAF

Yayın tarihi: 2026-09-30; PSF Düzey: Critical. Python sunucusu TLS’de, sni_callback, bağlantıyı başka bir SSLContext ile değiştirir ve orijinal bağlamın hayatta kalan başka referansı olmadığında, kimliği doğrulanmamış olan TLS istemcisi hizmeti çökertebilir veya serbest bırakılan bir nesnedeki bir işaretçiyi çağırabilir. S29

Temel nokta, Python nesnesinin temeldeki TLS geri çağırma yaşam döngüsüyle tutarsız olmasıdır. Orijinal bağlam yayımlandı ve temeldeki katman hâlâ geri çağırma için gereken durumu tutuyor olabilir; referans yaşam döngüsünü düzeltmek için yorumlayıcı yerel yamasının kullanılması gerekir. S47

Kapsamı: Yalnızca TLS istemcisi olarak işlev gören Python kodu bu öğeden etkilenmez; Orijinal bağlamı uzun süre tutan dinleme soketinin normal modu, duyuruda açıklanan spesifik arıza yoluna girmiyor. Nginx, TLS’yi sonlandırdıktan sonra yalnızca yerel HTTP’yi Python’ye devreder ve Python, SNI’yi doğrudan kendi başına yönetir, bu da farklı bir saldırı yüzeyidir. S29

3.10—3.14 sabit versiyonuna karşılık gelir, bkz. bölüm 2.3. 3.15’nin resmi sürümü onarılmıştır ve 3.15.1 gerçekten seçilebilir. Yalnızca pip bağımlılığının güncellenmesi, yorumlayıcının _ssl uygulamasının yerini alamaz. S33S35S47

Resmi geçici azaltma:, SNI geri çağrısını sunucu yaşam döngüsünün sonuna kadar ayarlayan tüm SSLContext’ye güçlü referansları tutar. Bunun gerçek dinamik oluşturma ve geçiş yollarını kapsaması gerekir; özel OpenSSL 1.1.1 yapısı aynı zamanda resmi sorun kaydıyla birlikte yeniden müzakere koşullarını da kontrol etmeli ve güncellemelerin tamamlanmasına öncelik vermelidir. S29S47

5.2 CVE-2026-19553: Ana makine adı bayrağı açık, ancak arama sırasında ana bilgisayar adı eksik

Genel tarih: 2026-09-30; High.SSLContext.check_hostname=True olduğunda, wrap_bio() server_hostname’de aktarılmazsa, orijinal uygulama ana bilgisayar adı doğrulamasını sessizce atlayabilir. Başarılı sertifika zinciri doğrulaması, hedef alan adının da eşleştiği anlamına gelmez. S30

Düzeltme her iki adımı da gerektirir:

• 2.3. bölümünde listelenen tercüman güvenlik sürümünü yükleyin
• wrap_bio() ve ilgili asyncio.create_connection() / loop.start_tls() yollarını kontrol edin, beklenen ve boş olmayan ana bilgisayar adını açıkça iletin ve sertifika doğrulamasını açık tutun. S30

**İhmal edilemeyecek uyumluluk farklılıkları:**3.10, 3.11, 3.12 uyumluluk içindir, ana bilgisayar adının eksik olduğu bazı durumlar için yalnızca DeprecationWarning verilir; 3.13 ve daha sonra ValueError’yi yükseltin. 3.12 destek portu ayrıca None’yi boş dizelerden açıkça ayırır: None için yeni bir uyarı eklenir ve boş dizeler için hala bir hata bildirilir. Bu nedenle, düşük şube kullanıcıları, başlangıçta eksik olan alan adı doğrulamasının yalnızca yükseltme yoluyla otomatik olarak geri yüklendiğini varsayamaz. S31S33

Bir test ortamında, eşleşmeyen ana bilgisayar adına sahip bir güvenilir zincir sertifikası kullanın ve gerçek uygulama TLS istemcisinin bunu reddettiğini doğrulayın. Yalnızca check_hostname Boolean değerinin okunması tam kabul anlamına gelmez.

5.3 CVE-2026-82049: Tarfile filtresinde bağlantı kombinasyonu bypass’ı

Genel tarih: 2026-09-14; High. CPython 3.13 ve önceki ilgili uygulamalarda, güvenilmeyen tar’daki sabit bağlantılar ve sembolik bağlantıların birleşimi, data / tar çıkarma filtresini atlayabilir, dosyaların içeriğini paketten çıkarma ağacındaki paketten çıkarma dizini dışında açığa çıkarabilir veya izinleri ve değişiklik süreleri. S32

Bu güvenlik açığının doğrulanan etkileri arasında dosya içeriğinin açığa çıkması ve meta verilerde değişiklik yapılması; bu etkiler tek başına harici dosya içeriğinin keyfi olarak üzerine yazıldığını veya RCE’nin koşulsuz olarak uygulandığını göstermek için yeterli değildir.

3.10—3.13’nin ilgili yama taban çizgileri için bkz. Bölüm 2.3. Python 3.14, os.link()’nin o zamandan bu yana davranış değişiklikleri nedeniyle bu özel sorundan muaf tutulmuştur. 3.14.0b1, dolayısıyla yukarıdaki 3.10—3.13 dalının etkilenen kapsamı geçerli değildir. S33

Geçici ve ayrıntılı önlemler: güvenilmeyen arşivlerin otomatik olarak çıkarılmasını askıya alır; İşin işlenmesi gerektiğinde izole edilmiş düşük ayrıcalıklı çalışan süreçlerini ve yeni özel dizinleri kullanın, sembolik bağlantıları, sabit bağlantıları ve cihaz girişlerini işe göre reddedin ve dosya ve sıkıştırmayı açma kaynaklarının sayısını sınırlayın. Bunlar dağıtım önerileridir.

filter="data", genel güvenilmeyen arşivler için tam güven stratejisinden daha uygundur, ancak eski sürümdeki filtrenin kendisi de bu güvenlik açığına sahiptir ve bu parametrenin tek başına eklenmesi güncellemenin yerini alamaz. Filtre ayrıca tam bir dosya sistemi sanal alanı değildir. S32S45

5.4 Ek risk: CVE-2026-114583 (Medium) ve yama yayın durumu

PSF, 2026-10-22’de, tarfile.tar_filter’nin belirli bağlantı adlarını işlemesinin atlanabileceğini, böylece sonraki üyelerin paket açma dizini dışına bir düzeyde yazmalarına olanak tanınabileceğini açıkladı. Medium. Resmi düzeltme PR o gün birleştirildi; 23 Ekim 2026 itibarıyla bu taahhüdü içeren hiçbir resmi bakım sürümü onaylanmadı. S40

Bu nedenle:

• Bu öğe Medium olarak ayrı olarak listelenmiştir.
• 21 Ekim’de yayımlanan yorumlayıcı sürümlerinin bu düzeltmeyi içerdiği düşünülemez.
• Güvenilmeyen arşivleri işlemek için hala filter="tar" kullanan süreç, sürüm arka raporunu izlemelidir; bu işleme yolunu kısa bir süre için izole edin veya askıya alın. data’ye geçiş yaparken ve bağlantıları reddederken, bunun iş gereksinimlerini karşıladığını da onaylamanız gerekir ve filtreyi değiştirmek, koşulsuz bir korumalı alan olarak tanımlanamaz.

5.5 GeoDjango: CVE-2026-15307 ve Ekim ayındaki sonraki düzeltmeler

2026-08-04, Django resmi High. uzamsal sorgu, belirli dizeleri/sözlükleri dolaylı olarak GDALRaster’ye iletir ve sürücü, dosyalar yazabilir veya ağ isteklerini başlatabilir; RCE, belirli yollar ve sonraki yürütme koşulları olduğunda oluşturulabilir. Uzamsal alan modeli görüntüleme izinlerine sahip personel de bu yola yönetici değişiklik listesi aracılığıyla erişebilir. S38

İlk düzeltme, mekansal aramalar tarafından kabul edilen giriş türlerini kısıtlayan 5.2.17 / 6.0.8’dir. Bu değişiklik, taramayı ifade etmek için dize/sözlük kullanmanın orijinal işini etkileyebilir; güvenilmeyen girdiyi GDALRaster’a sarmak, onu doğrulamak anlamına gelmez. S38

6 Ekim’de CVE-2026-87890 (Orta) onarıldı: Bayt cinsinden ifade edilen VRT, harici kaynaklara başvurabilir ve yine de ağ isteklerini tetikler; Aynı gün CVE-2026-15830’nin yuvalanmış geometrisi DoS koruması da güçlendirildi. Son ikisi, yeni yüksek riskli RCE’yi tanımlayacak şekilde yükseltilemez, ancak dağıtım temel çizgisinin 5.2.18 / 6.0.9 / 6.1.2 olması gerektiğini belirtir. S39

Uygulama, API ve yönetim arayüzünün iki giriş noktasını kontrol eder, güvenilmeyen mekansal aramayı, dosya yazma izinlerini ve giden erişimi kısıtlar; Güncellemeden sonra, geçerli mekansal sorguları regresyon testiyle test edin ve yasaklı girişin reddedilmesini sağlayın. GeoDjango kullanmayan sıradan Django uygulamaları bu RCE sonucunu doğrudan uygulamamalıdır.

5.6 certifi / pip: Sertifika güveni her kopyayı kapsamalıdır

GHSA-6q48-6c7w-9gw2, 2026-10-20, Critical, biliniyor CVE listelenmiyor. Bu, eMudhra ara CA olayının neden olduğu sertifika güvensizliği güncellemesidir. HTTPS’nin kriptografi mekanizması ya da tüm kök sertifikaların kırılmış olması şeklinde özetlenemez. S36

certifi tavsiye belgesi orijinal olarak 2026.10.18’yi bir yama olarak listeledi; PSF daha sonra etkilenmeyen kök sertifikalarla uyumluluğu korumak için 2026.10.19’yi açıkça önerdi. Operasyonel taban çizgisi 0,19’dur. S36S37

Ayırt etmek gerekiyor:

Malzeme konumuna güvenin	Neden ayrıca kontrol etmeniz gerekiyor?
İşletim sistemi CA paketi	Görüntü veya ana bilgisayar için sistem güven malzemesi
Venv’de certifi	CA bundle gerçekte uygulamalar veya İstekler vb. tarafından kullanılır.
pip yerleşik certifi	Harici olarak kurulan certifi’den farklı bir kopyadır
uv / Diğer paketleme araçları	Aracın kendi güncellemelerini ve güvenilir kaynaklarını takip edin
Özelleştirilmiş CA dosyaları, paketlenmiş anlık görüntüler	Sistemler veya paketler için varsayılan güvenilen kaynakları geçersiz kılmaya devam edebilir

Yukarıdaki, farklı paketleme konumlarına dayalı bir kontrol listesidir. PSF, ilgili araçların, mevcut sanal ortamların güncellenmesini ve görüntünün yeniden oluşturulmasını gerektirir; yalnızca CA ana bilgisayarının güncellenmesi veya yorumlayıcının yeniden yüklenmesi tüm kopyaların yenilendiğini kanıtlayamaz. S35S37

Eski pip güvenli önyüklemeden yükseltme yapılırken, PSF, sabit tekerlek ve SHA-256 komutlarını sağlar; bkz. ek S37. Sertifika sorunlarını atlamak için TLS doğrulamasını kapatmayın veya --trusted-host eklemeyin.

6. Resmi iyileştirme süreci

Aşağıdaki komutlar onaylanmış güvenilir ortamlar içindir. Yürütme sırasında, çakışan kilit dosyaları oluşturmak amacıyla npm/pnpm/yarn veya pip/uv/Poetry’nin karıştırılmasını önlemek için projenin mevcut paket yöneticisi, kilit dosyası ve dağıtım süreci birleştirilmelidir.

Önce bir istisnayı ele alın: Ortamın Bölüm 9’da güvenliği ihlal edilmiş paketi çalıştırdığından şüpheleniyorsanız, önce paketi yalıtın ve temiz bir ortamdan diski, kilit dosyasını ve görüntü kaydını kontrol edin; önce aşağıdaki Python/pip komutunu çalıştırmayın. S41

6.1 Gerçek trafiğe karşılık gelebilecek bir defter oluşturun

Her hizmet en azından şunları kaydeder:

• Harici giriş noktası, ters proxy, kaynak siteye doğrudan bağlantı yolu ve arka planda kuyruk/zamanlanmış görevler.
• Gerçek başlangıç komutu, çalışan hesap, ikili yol, işlem veya kapsayıcı kimliği.
• Çalışma zamanı tam sürümü, yayıncı/depo, paket tam sürümü veya görüntü özeti.
• Çerçeve ve geçişli bağımlılıklar, kilit dosyaları, yerel kitaplıklar ve güven deposu yolları.
• Güvenlik açığı durumunun mevcut olup olmadığına, yama hedefine, yeniden başlatma kapsamına, sorumlu kişiye ve doğrulama sonucuna karşılık gelir.

Geliştirme makineleri, CI çalıştırıcıları, derleme kapsayıcıları ve arka plan görevleri de güvenilmeyen içeriğe giden yollara göre kontrol edilmelidir; yalnızca halka açık web kapsayıcısını güncellemeyin.

6.2 Node.js: Önce çalışma zamanını belirleyin, ardından uygulama bağımlılıklarını güncelleyin

Gerçek hizmet ortamında kontrol edin:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p, hizmetin gerçek yürütülebilir dosyası kullanılarak veya gerçek bir kapsayıcı içinde yürütülmelidir; yeni başlatılan süreçleri kontrol eder ve eski çalışanın değiştirildiğini kendisi kanıtlamaz. Node, orijinal kitaplık sürüm dizesini korurken yamayı yerleşik Brotli’ye ekleyebilir. Bu nedenle, onarılıp onarılmadığını belirlemek için yalnızca process.versions.brotli’ye güvenmeyin. Bunu Node güvenlik sürümüyle veya satıcının destek kanıtıyla birleştirmelisiniz. S2S4

npm ls gerçek bağımlılık ağacını görmek için kullanılır; eksik paketler veya eş çakışmaları da sıfırdan farklı çıkış kodları üretebilir, bu nedenle ilgili çıktıyı okumalısınız. npm audit, bağımlılık denetimi yardımcısı olarak kullanılır ve Node ikili ve yerel kitaplık denetiminin yerini alamaz.

Aşağıdaki şekilde güncellenebilen Node 24ortamını yönetmek içinmise’ı kullanın:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g genel sürümü yapılandırır; projenin yerel konfigürasyonunun yine de ayrı olarak kontrol edilmesi gerekiyor. Hizmet, farklı bir hesabın eski mutlak yolunu, kapsayıcı temel görüntüsünü veya ortamını düzelttiyse ilgili yapılandırmanın güncellenmesi ve hizmetin yeniden başlatılması gerekir. Komutun kendisi eski çalışan bir işlemin yerini almaz. S43

Next projesinde seçilen dala göre ilgili komutu yürütün. Next 15 için:

# Next 15 分支
npm install --save-exact [email protected]

Next 16 için:

# Next 16 分支
npm install --save-exact [email protected]

React/RSC uyumlu bağımlılıkları, kilit dosyalarını ve son keskin örneği kontrol edin ve ardından proje sürecine göre oluşturun. Tekrarlanabilir kurulum için CI’daki güncellenmiş kilit dosyasını kullanın ve oluşturma sonrasında çalışan görüntüdeki sürümü kontrol edin. Bu acil durum için varsayılan çözüm olarak ana sürümlerde kontrolsüz otomatik onarımı kullanmayın.

6.3 Java: Yayıncıyı, gerçek JVM’yi ve yerleşik bileşenleri doğrulayın

Ön envanter:

java -XshowSettings:properties -version

Çıktıdaki java.home, java.runtime.version ve yayıncı, hizmet tarafından fiilen kullanılan JVM ile uyumlu olmalıdır. Ekleme iznine sahip JVM için, JDK’nin jcmd’si yalnızca oturum açma kabuğunu değil, hedef süreci kontrol etmek için kullanılabilir.

Güvenilir projelerdeki bağımlılıkları kontrol edin ve gerçek derleme araçlarına göre seçim yapın:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

Bu derleme komutları, eklentileri çalıştırabilir ve bağımlılıkları çevrimiçi olarak çözebilir ve yalnızca güvenilir projelerde çalışabilir. Görüntüdeki son JAR/WAR’ı veya gerçek JAR’ı kontrol edin ve son yapı yerine derleme dosyası bildirimlerini kullanmayın. Spring Önyükleme yerleşik Tomcat, uygulamanın yeniden oluşturulmasını gerektirir; Sistemdeki ayrı bir Tomcat kurulumunun güncellenmesi, uygulama paketindeki kopyayı değiştirmeyecektir.

Çalışma zamanı güncellendikten sonra, özelleştirilmiş javax.net.ssl.trustStore’yi, uygulamanın kendi kendine yüklediği KeyStore’u, jlink çalışma zamanını, GraalVM/yerel görüntüyü ve diğer teslimat formlarını öğeye göre kontrol edin. Zaten özelleştirilmiş güven materyallerine sahip olan uygulamalar, JDK dizini yeni olduğu için kontrolü sonlandıramaz.

6.4 Python: Tercüman bazında tercüman ve sanal ortam işleme

Güvenilir olduğu onaylanan gerçek venv/konteyner içinde:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

Bu komut dosyası yalnızca bilgi toplar ve sürüm niteliği belirleme işlemini gerçekleştirmez. ssl.get_default_verify_paths(), varsayılan yol bilgisidir ve tüm üçüncü taraf istemcilerin aynı güven deposunu kullandığını kanıtlayamaz; uygulama yapılandırmasına göre onaylanmalıdır.

S37 ekinin güvenilir pip önyükleme yükseltmesini tamamladıktan sonra, sertifika bağımlılıklarını proje kısıtlamalarına göre güncelleyin, örneğin:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

Projenin gereksinimler/kilit dosyasının da aynı anda güncellenmesi gerekir, aksi takdirde bir sonraki dağıtım eski sürüme dönebilir. uv, Şiir veya kurumsal paket deposunu kullanırken mevcut kilitleme ve yayınlama süreçlerini kullanın; Yalnızca bir üretim kapsayıcısının içindeki paketleri manuel olarak değiştirmeyin.

Projenin mevcut pip-audit iş akışı, güvenilir bir ortamda bilinen bağımlılık güvenlik açıklarını kontrol etmek için kullanılabilir; kötü amaçlı bir kod tarayıcısı değildir ve tüm yorumlayıcı, sistem kitaplığı ve güven deposu risklerini kapsamaz. S44

/usr/bin/python3 sisteminin yeni bir derlenmiş sürümü işaret etmeye zorlanması önerilmez. Python sistemine dayanan yönetim araçlarının bozulmasından kaçınmak için yayın güvenliği güncellemelerini veya proje izolasyon çalışma zamanlarını kullanın. Bu bir uygulama tercihidir ve bu güvenlik açığına yönelik ek bir düzeltme gereksinimi değildir.

6.5 Çalışan örneği yeniden oluşturun ve değiştirin

Tam bir değişiklik olarak aşağıdaki adımların atılması önerilir:

1. Yamayı orijinal güvenilir kaynaktan alın ve sürüm/karma ve bağımlılık kilidini kaydedin.
2. Üretime yakın bir ortamda temel işlevleri döndürün ve yerel uzantıların JVM/framework ile uyumlu olduğunu doğrulayın.
3. Çalışma zamanını, uygulama bağımlılıklarını ve gerçek güven deposunu güncelleyin; kapsayıcı için temel görüntüyü ve sistem CA’yi yenileyin; yalnızca eski katmanı yeniden kullanmayın.
4. Uygulamaları ve görüntüleri yeniden oluşturun ve hizmet, çalışan, kuyruk tüketicisi ve zamanlanmış görev örneklerini sürekli olarak değiştirin.
5. Yeni çalışan örnekteki sürümü ve yapılandırmayı yeniden kontrol edin ve tüm eski kopyalardan çıkıldığını doğrulayın.
6. Hata oranlarını, gecikmeyi, CPU/belleği, TLS el sıkışma hatalarını ve işlem çökmelerini gözlemleyin.

Geri alma, güvenli çalışma zamanını ve yama bağımlılıklarını korumaya ve uygulama yapılandırmasını veya iş değişikliklerini geri almaya öncelik vermelidir. Güvenlik açıkları bulunan eski bir ürüne geri dönmek zorunda kalırsanız, ilgili giriş kısıtlamaları eş zamanlı olarak geri getirilmeli, sorumlu kişi ve minimum iyileşme süresi açıkça tanımlanmalıdır.

7. Geçici Azaltma ve Yama Seçimi

7.1 Geçici önlemlerin kapsam sınırı

Aşağıda açıklanan kullanım koşullarına göre uygulama önerileri yer almaktadır. Resmi plan belirtilmediği sürece satıcı tüm varyantların tamamen bloke edilebileceğini garanti etmez.

risk	Alınabilecek geçici önlemler	Buna göre tamamlanmış sayılmayacak kısım
Brotli kod çözme	Güvenilmeyen giriş kod çözmeyi durdurun; gelen ve giden otomatik dekompresyonu kontrol edin	Gelen WAF veya yanıt sıkıştırmasının kapatılması, S3 kod çözme girişlerinin tamamını kapsamaz
Next.js typed arrays RCE	Hemen yükseltin; gerekirse etkilenen hizmetleri geçici olarak izole edin	S9 resmi, güvenilir ve evrensel bir geçici çözüm yoktur.
Next.js SVG RCE	Resmi plan: Gerçek keskinliğin ≥0.35.5 olmasını sağlayın; İşletme izin verdiğinde ilgili optimizasyon giriş noktalarını askıya alın	Diğer Next/RSC S11 sorunlarını kapsamaz
Tomcat Bölgesi / HTTP/2 / AJP	İlgili yolu ayırın ve gereksiz bağlayıcıları kapatın	Yine de ilgili şube onarım paketine ihtiyacınız var S21S22S23
GraphQL Seri durumdan çıkarma	Etkilenen Bağlantı alanlarını askıya alın; güvenilmeyen arayanları kısıtla	Yalnızca istek uzunluğu sınırı, tür/seri durumdan çıkarma sorununu çözemez S25
Spring embedded LDAP	Gerekmediğinde devre dışı bırakın; gerçek dinleme bağlantı noktasının erişimini sınırlayın	Varsayılan yönetici kimliğinin ve dizin bütünlüğünün yine de kontrol edilmesi gerekiyor S27
CPython SNI UAF	Resmi plan: İlgili SSLContext güçlü referansını hizmetin sonuna kadar saklayın	Tüm oluşturma/geçiş yolları kapsanmalıdır S29
Python ana bilgisayar adı atlama	Resmi çözüm: Beklenen sunucu_ana bilgisayar adını doğru şekilde iletin	Sadece check_hostname bayrağı kontrol edilemiyor veya S30S31 uyarısı göz ardı edilemiyor
Güvenilmez katran	Çıkartmayı devre dışı bırakın/karantinaya alın, gerekli olmayan bağlantıları ve cihaz girişlerini reddedin	Ne filtreler ne de kaynak kotaları evrensel sanal alanlar değildir S32S40S45
Sertifika güven olayı	Doğru CA materyalini güncelleyin; Java güveni resmi azaltım kurallarına göre kısıtlanabilir	TLS doğrulamasının devre dışı bırakılması riski artırır S19S37

7.2 Teslimat yöntemine göre yamayı seçin

Teslimat yöntemi	Onarım yöntemlerine öncelik verin	Saklanması gereken deliller
Dağıtım tarafından yönetilen çalışma zamanı	Üreticinin ilgili güvenlik güncellemeleri	Tam paket sürümü, duyuru, veri havuzu kaynağı
Resmi İkili Program/Çalışma Zamanı Yöneticisi	Aynı şubeden resmi güvenlik açıklaması	Sürüm, kaynak ve özet, gerçek yürütme yolu
Kendi kendine derlenen Node / CPython	Eşleşen şubenin resmi kaynak sürümü veya satıcının tam yama seti	Kaydetme kümesi, derleme parametreleri, bağımlı kitaplıklar ve regresyon sonuçları
Spring / Next / Django	Şube içi güncellemeler, bağımlılık kilitlerinin yeniden oluşturulması ve son uygulamalarla uyumlu	Son bağımlılık ağacı, JAR/paket/görüntüdeki gerçek sürüm
Özel güven mağazası	Geri çekilmeyi onaylayan resmi para çekme planı veya satıcı güncellemesi	Gerçek kullanım yolu, malzeme değişikliği, TLS başarı ve ret testleri
Tehlikeli bir ortam	Temiz ve güvenilir ürünlerden yeniden oluşturun ve ayrı olay incelemesi yapın	Tarihsel paket/görüntü özeti, kurulum kaydı, kimlik bilgisi rotasyon kaydı

7.3 Anahtar yama mekanizması ve inceleme odağı

• Brotli:, yapıya girmeden önce yerel kod çözme durumunun sınır kontrolünün ve hata dönüşünün tamamlanıp tamamlanmadığına dikkat eder; yalnızca JavaScript paketini değiştirmek, statik olarak Node olarak derlenen kodu değiştiremez. S4
• Node DNS/TLS:, giriş reddi, adres normalleştirme, IP SAN ve DNS kimlikleri arasındaki ayrım ve DNS geri arama/Söz konusuna odaklanır. ayrıştırma yolu ve TLS ana bilgisayar adı eşleşme testi. S5S6
• Tomcat JNDIRealm:, yalnızca bir dizin bağlamı elde etmek yerine kimlik doğrulama işleminin gerçekten kimlik bilgilerini doğrulayıp doğrulamadığına odaklanır; Resmi sürüme öncelik vermek ve tek bir kaynak dosya değişimini tam bir ikili yama olarak ele almamak. S24
• CPython ssl:, Python referans sahipliğine ve temel SSLContext’nin yaşam döngüsüne odaklanır; wrap_bio(), şube uyumluluğu farklılıklarına sahipken desteklenir ve kullanılan dalın gerçek uygulamasını okumalısınız. S31S47
• Sertifika güvensizliği: Bu tür güncellemeler, bariz API değişiklikleri yerine güvenilir malzeme veya reddedilenler listesi değişiklikleri olarak görünebilir. Aynı Node serisi aynı zamanda etkilenen ara ürün CA’nin reddetme mekanizmasını da içerir; Java ve Python’nin ilgili güven kaynaklarının yine de ayrı ayrı doğrulanması gerekir. S19S37S46

**Bağımsız Brotli bağlama da kontrol edilmelidir.**Google yukarı akış, düzeltmek için aynı gün 1.0.10 / 1.1.1 / 1.2.1’yi yayınladı CVE-2026-111497. Aynı etkilenen C uygulamasını içeren Python yerel uzantıların veya JNI yapıtlarının bağımsız olarak güncellenmesi/yeniden oluşturulması gerekir; bundan tüm saf Java kod çözücülerin etkilendiği sonucu çıkarılamaz veya Node yükseltmesinin otomatik olarak diğer dillerdeki kopyaların yerini alacağı varsayılamaz. S42

8. Doğrulama ve takip kontrolleri

8.1 Minimum doğrulama kontrol listesi

Öğeleri kontrol et	Kanıt gerekli
çalışma zamanı	Gerçek süreçte/konteynerde doğru olan tam sürüm veya satıcı destek kanıtı
uygulama bağımlılıkları	Next/RSC/sharp, Tomcat/Spring ve Django/certifi son dağıtım ürünlerinde ilgili eşiğe ulaştı
Değiştirme aralığı	Tüm işçi/JVM/konteyner kopyaları ve arka plan görevleri yenileriyle değiştirildi ve eski örneklerden çıkıldı.
TLS	Geçerli etki alanı sertifikaları başarılıdır; eşleşmeyen ana bilgisayar adları ve geçersiz zincirler politikaya göre başarısız oluyor; özel güven mağazaları dahildir
eMudhra güvensizlik	Etkilenen ara ürün CA tarafından oluşturulan sertifika zinciri, gerçek çalışma süresi sırasında reddedildi veya belirli satıcının güvenlik yapısının/ilgili ret listesinin dağıtıldığına dair kanıt var; kasa genel TLS testine veya Java 8 kısa sürüm numarasına göre kapatılamaz.
Node kod çözme ve görüntüler	Normal sıkıştırılmış yanıt, yükleme, görüntü optimizasyonu ve RSC işlevleri mevcuttur; güvenilmeyen kaynak politikası yürürlükte
Java Kimlik Doğrulama ve Yalıtım	Yanlış şifre reddedildi; kimlik/yanıt karışımı olmadan bağımsız kullanıcı eş zamanlı asenkron istekler; LDAP beklendiği gibi dinliyor
Python SNI / Arşiv	Normal çoklu alan adı TLS işi stabildir; arşivleme, yol geçişini ve izin verilmeyen bağlantıları reddeder ve dizin dışındaki dosyalar değiştirilmez
Veri ve fonksiyonel regresyon	Sayfalama, konumsal sorgulama, izin kontrolü ve arka plan görevleri projenin mevcut testlerini geçti
Kaynaklar ve Gözlemler	CPU, bellek, hata oranı, gecikme ve TLS hatalarında anormal bir artış yoktur.
İzlenebilirlik	Yükseltme süresinden, paket/görüntü özetinden, yapılandırma değişikliklerinden, doğrulama sonuçlarından ve çözümlenmemiş öğelerden tasarruf edin

Bunlar uygulama kabul önerileridir ve her CVE için bir saldırı komut dosyasının üretilmesini gerektirmez. Kilitlenmeleri, kaynak tükenmesini ve arşiv sınırlarının dışına çıkmayı içeren doğrulama, yukarı akış regresyon testini veya izole bir ortamda proje kontrollü test verilerini kullanmalıdır.

8.2 Yama uygulama ve izinsiz giriş incelemesi farklı görevlerdir

Olağandışı kod çözme hataları, çalışan/JVM çökmeleri, şüpheli dosya yazma işlemleri, dizin verileri değişiklikleri, kimlik doğrulama istisnaları, giden istekler ve kimlik bilgisi kullanım kayıtları için mevcut günlükleri kontrol edin. Bu işaretlerin bağlam içinde değerlendirilmesi gerekir: bir kaza veya OOM, başarılı bir kullanımın kanıtı değildir; uyarıların olmaması sistemin etkilenmediğini kanıtlamaz.

Yetkisiz değişiklikler, güvenliği ihlal edilmiş kimlik bilgileri veya onaylanmış kötü amaçlı bağımlılıklar keşfedildiğinde, kanıtlar korunmalı, ilgili örnekler izole edilmeli, etkilenen kimlik bilgileri güvenilir bir ortamdan değiştirilmeli ve sistem yeniden oluşturulmalıdır. Yama, saldırganın ele geçirdiği jetonları iptal etmeyecek veya değiştirilen verileri geri yüklemeyecektir.

9. Tedarik zinciri güvenliği olayı: LiteLLM 1.107.0 uzlaşması

**Resmi onay tarihi: 2026-10-21.**LiteLLM, sürüm hattının tehlikeye atıldığını bildirdi. PyPI’nin litellm==1.107.0 ve aynı döneme ait bazı Docker/GHCR ürünleri gizli çalma ve uzaktan kontrol amaçlı kötü amaçlı kod içeriyordu ve ilgili ürünler geri çekildi. S41

Etkiyi belirlemek için geçmiş kurulum kayıtlarını ve görsel özetini kontrol etmelisiniz; latest, main-latest ve main-stable gibi etiketler artık temiz görüntülere işaret ediyor; bu da olay anında çekilen ürünlerin temiz olduğunu kanıtlamıyor. O zamanki resmi öneri 1.106.2’yi geçici olarak sabitlemekti; bu öneri bu olaya dayanmaktadır ve dağıtım sırasında diğer güvenlik duyurularının hâlâ kontrol edilmesi gerekmektedir. S41

İlgili ürünlerin kurulduğu veya çalıştırıldığı ortamlar için:

1. Kurulum kayıtlarını, görüntüleri ve günlükleri izole edip koruyun ve bunları temiz bir ortamda inceleyin.
2. Python/pip’yi öncelikle şüpheli bir ortamda başlatmayın; kötü amaçlı .pth / sitecustomize.py, başlatma sonrasında yeniden yürütülebilir.
3. Güvenilir kaynaklardan ana bilgisayarları, venv’leri/konteynerleri yeniden oluşturun; paketleri kaldıramaz veya düşüremez.
4. Gerçek erişilebilirliğe göre bulut kimlik bilgilerini, LLM sağlayıcı anahtarlarını, LiteLLM anahtarlarını ve veritabanı kimlik bilgilerini iptal edin/döndürün ve anormal kullanımı inceleyin. S41

Bu, onaylanmış bir tedarik zinciri olayıdır ve bu durumla uğraşırken kötü amaçlı kod yürütme, kimlik bilgisi sızıntısı ve kalıcılık risklerinin dikkate alınmasını gerektirir. 23 Ekim 2026 itibarıyla yetkililer hâlâ ilk izinsiz girişi araştırıyordu.

Ek: Alıntılanan kaynaklar ve bağlantılar

Aşağıdaki kaynak doğrulama tarihi, projenin resmi güvenlik duyurusu, resmi kod deposu ve satıcı talimatlarını içeren 2026-10-23’dir. [Sx] ana metni bu eke karşılık gelir; Güncellemeleri yaparken tedarikçinin daha sonraki revizyonları yayınlayıp yayınlamadığını kontrol etmelisiniz.

S1 — Node.js: 2026-10-21 Güvenlik Bildirimi

• Amaç: Şubeleri etkileyen dört çalışma zamanı High, Ekim ayı güvenlik sürümü.
• Kaynak: Official Security Bulletin

S2 — Node.js: Üç bakım hattı için resmi sürüm talimatları

• Amaç: 22.23.4, 24.22.1, 26.12.1 ve gerçek birleştirilmiş yamaları kontrol edin.
• Kaynak: Node.js 22.23.4
• Kaynak: Node.js 24.22.1
• Kaynak: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE güvenlik danışmanlığı

• Amaç: Gelen/giden kod çözme koşulları, WAF kapsama sınırı, Node 20 durumu.
• Kaynak: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli resmi yama gönderimi

• Amaç: Yerel kod çözme denetimi ve hata yayılımının uygulama temeli.
• Kaynak: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS adres normalleştirme yaması

• Amaç: Tam genişlikli numaraların ve standart dışı IP’nin sertifika kimliğinin doğrulanması.
• Kaynak: IP normalization regression Patch
• Kaynak: rejects the patching of non-standard IP address

S6 — Node.js: DNS NUL doğrulama yaması

• Amaç: Giriş reddi ve regresyon kapsamı.
• Kaynak: dns.resolve Input verification patch

S7 — Node.js: 2026-07-29 Güvenlik Bildirimi

• Amaç: HTTP/2 bellek tükenmesi, UAF ve izin modeli güvenlik açıkları.
• Kaynak: July 2026 Security Releases

S8 — Next.js: 2026-10-14 güvenlik güncellemesi

• Amaç: Yükseltme temel çizgisini ve üç temel riski birleştirin.
• Kaynak: Next.js Security Update for Upstream Vulnerabilities

Kaynak: S9 — Next.js：typed arrays / use cache RCE

• Amaç: GHSA-673q-mjm6-r5xr; aralığı, koşulu, puanı ve geçici çözüm durumunu etkiler.
• Kaynak: Next.js Official Security Bulletin

Kaynak: S10 — React：React Server Components RCE

• Amaç: GHSA-xqc2-xf4c-x3h3; Üç RSC paketinin etkilenen ve düzeltilen sürümleri.
• Kaynak: React Official Security Bulletin

Kaynak: S11 — Next.js：SVG Image Optimization RCE

• Amaç: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, keskin ve orijinal sürüm sınırları.
• Kaynak: SVG Image Optimization Official Security Bulletin

Kaynak: S12 — Next.js：Server Actions DoS

• Amaç: GHSA-p3m5-59mp-jv5r; koşulları, versiyonları ve derecelendirmeleri etkiler.
• Kaynak: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF Görüntü optimizasyonu RCE

• Amaç: 2026-08-25, GHSA-2xp9-vwfh-vxw4.
• Kaynak: AVIF Official Security Bulletin

Kaynak: S14 — Next.js：Windows RCE

• Amaç: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36.
• Kaynak: Windows RCE Official Security Bulletin

Kaynak: S15 — Next.js：next/og ImageResponse RCE

• Amaç: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Node ve Edge arasındaki fark.
• Kaynak: ImageResponse Official Security Bulletin
• Kaynak: September 22 release notes

Kaynak: S16 — Oracle: October 2026 CPU

• Amaç: Java SE risk matrisi, yama miktarı ve geçerli koşullar.
• Kaynak: Oracle Critical Patch Update – October 2026
• Kaynak: Oracle Java SE CPU Version list

S17 — Oracle: CVE-2026-91403 bant dışı alarmı

• Amaç: 2026-10-21, JSSE sertifikası güven riski, etkilenen ürünler ve CVSS 3.1 9.1.
• Kaynak: Oracle Security Alert

S18 — Oracle: JDK resmi sürüm ve indirme

• Amaç: 20 Ekim’deki CPU ile 21 Ekim’deki bant dışı sürüm arasında ayrım yapın; Java 8’nin kısa versiyonunun sınırlamalarını ayırt edin.
• Kaynak: JDK release list
• Kaynak: Oracle Java Download page

S19 — Oracle: eMudhra geçici para çekme planı

• Amaç: Güncelleme: 2026-10-22; iki kök sertifika, anahtar aracı, özel güven deposu ve iptal denetimi.
• Kaynak: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: Sürüm oluşturma kaydı

• Amaç: Temurin, sertifika olayı nedeniyle yeniden paketlendi; Oracle sürüm son eki mekanik olarak uygulanamaz.
• Kaynak: Adoptium Release Scorecards

S21 — Apache Tomcat 9 Güvenlik Bildirimi

• Amaç: 9.0.123 düzeltmesi ile 9 dallı tam etkilenen aralık.
• Kaynak: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 Güvenlik Bildirimi

• Amaç: 10.1 dallanma hassas aralığı ve 10.1.61 onarımı; 10.0 EOL.
• Kaynak: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 Güvenlik Bildirimi

• Amaç: Üç öğe Important, 11.0.27, AJP geçerli kapsam ve açıklama/yayın tarihi.
• Kaynak: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm yama işlemi

• Amaç: Sertifikasyon doğrulama boşluklarının onarılmasının resmi temeli.
• Kaynak: JNDIRealm Patch commit

Kaynak: S25 — Spring：GraphQL CVE-2026-59285

• Amaç: 2026-08-20, Gerekli, 2.0.5 OSS / 2.0.4.1 Ticari Onarım.
• Kaynak: Spring for GraphQL Unsafe Deserialization

Kaynak: S26 — Spring：GraphQL CVE-2026-41699

• Amaç: Neden eski taban çizgisinde kalamayacağınızı açıklamak için daha erken bir düzeltme eşiği.
• Kaynak: 6 Month GraphQL Security Bulletin

Kaynak: S27 — Spring Security：CVE-2026-59270

• Amaç: UnboundID LDAP’yi, bilinen yönetim kimliğini ekleyin ve OSS/ticari sürümü ayırt edin.
• Kaynak: Spring embedded LDAP Security Bulletin

Kaynak: S28 — Spring Security：CVE-2026-47841

• Amaç: WebAuthn kullanıcı kimlik doğrulaması, oturum serileştirmesi ve saldırı öncülü.
• Kaynak: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 Bağımsız Güvenlik Danışmanlığı

• Amaç: 2026-09-30, Critical, SNI SSLContext tarafından belirtilen koşullar ve geçici önlemler.
• Kaynak: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 Bağımsız Güvenlik Danışmanlığı

• Amaç: 2026-09-30, High, eksik ana bilgisayar adı ve açık parametre azaltma.
• Kaynak: wrap_bio Official announcement of hostname verification

S31 — CPython: Wrap_bio resmi yaması ve 3.12 desteği

• Amaç: 3.10—3.12 uyarı uyumluluk ilkesi, None ile boş dize arasındaki fark.
• Kaynak: Main Patch PR #158503
• Kaynak: 3.12 Backfill PR #158513
• Kaynak: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 Bağımsız Güvenlik Danışmanlığı

• Amaç: 2026-09-14, High, bağlantı kombinasyonu, meta veri değişikliği ve içerik gösterimi.
• Kaynak: tarfile link bypasses the official announcement

S33 — CPython: Eylül sonu/Ekim başındaki resmi güvenlik sürümü

• Amaç: Minimum düzeltme sürümü, kaynak kodu dağıtım yöntemi ve tar dosyasına özgü sorunlar için 3.14 muafiyeti.
• Kaynak: Python Cross-branch security release instructions
• Kaynak: Python 3.11.17
• Kaynak: Python 3.12.15
• Kaynak: Python 3.13.16
• Kaynak: Python 3.14.8

S34 — CPython: 3.10 son güvenli sürüm

• Amaç: 3.10.22 ve yukarı akış yaşam döngüsünün sonu.
• Kaynak: Python 3.10.22

S35 — CPython: 2026-10-21 acil bakım sürümü

• Amaç: 3.13.17 / 3.14.9 / 3.15.1, yerleşik pip ve certifi güncellemeleri, mevcut venv gereksinimleri.
• Kaynak: Python 3.13.17
• Kaynak: Python 3.14.9
• Kaynak: Python 3.15.1

S36 — certifi: emSign sertifikası güvensizliği duyurusu

• Amaç: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, bilinen CVE yok.
• Kaynak: certifi Official Security Bulletin

S37 — PSF: eMudhra / emSign’nin Python kullanıcıları üzerindeki etkisi

• Amaç: certifi .19 önerisi, pip/uv temeli, SHA-256 ile güvenilir önyükleme yükseltme komutu.
• Kaynak: PSF Official event and upgrade instructions

pip tarafından belirtilen resmi talimatlar tarafından sağlanan önyükleme yükseltme komutu S37 aşağıdaki gibidir. Yalnızca Python güvenilir olduğu onaylanmış ortamlar; Bölüm 9’da zehirlenme şüphesi varsa öncelikle olay sürecine göre izole edin ve yeniden inşa edin. Tekerlek içeriği karmasını düzeltir ve ardından diğer bağımlılıkları proje sürecine göre günceller.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 güvenli sürüm

• Kullanım: CVE-2026-15307, GeoDjango Kullanım koşulları, ilk düzeltmeler ve uyumluluk değişiklikleri.
• Kaynak: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 güvenli sürüm

• Amaç: CVE-2026-87890, mevcut seçili taban çizgisiyle DoS geometrisi sonraki takviye.
• Kaynak: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: En son tar_filter yan notu

• Amaç: 2026-10-22, CVE-2026-114583 (Medium); PR birleşmesi, resmi bakım sürümünün yayınlandığı anlamına gelmez.
• Kaynak: PSF Independent Announcement
• Kaynak: CPython Patch PR #160098

S41 — LiteLLM: Resmi Tedarik Zinciri Olay Raporu, 21 Ekim

• Amaç: 1.107.0 kirlenmiş ürün, tarihsel özet, izolasyonun yeniden yapılandırılması ve kimlik bilgilerinin imhası.
• Kaynak: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: resmi güvenli sürüm

• Amaç: Bağımsız Brotli 1.0.10 / 1.1.1 / 1.2.1 ve diller arası gömülü kopya doğrulama temeli.
• Kaynak: Brotli releases

S43 — mise: komutun resmi belgelerini kullanın

• Amaç: Genel konfigürasyonun araç sürümünü ve komut semantiğini belirtin.
• Kaynak: mise use

S44 — PyPA: pip-denetim resmi projesi

• Amaç: Python Bağımlılık güvenlik açığı denetiminin amacı ve yetenek sınırları.
• Kaynak: pip-audit

S45 — Python: tarfile çıkarma filtresi belgesi

• Amaç: veri stratejisi, varsayılan davranış değişiklikleri ve korumalı alanın yerini alamayacak kısıtlamalar.
• Kaynak: tarfile extraction filters

S46 — Node.js: Orta düzey CA reddetme mekanizması

• Amaç: eMudhra ile ilgili bu güven zinciri işlemi, tüm kök sertifikaların kriptografik olarak geçersiz kılınmasına eşdeğer değildir.
• Kaynak: Node.js PR #66871

S47 — CPython: SNI UAF teknik notlar ve düzeltmeler

• Amaç: referans yaşam döngüsü, özel yapım koşulları ve şube geri takibi.
• Kaynak: official issue #156293
• Kaynak: official patch PR #158504
• Kaynak: 3.15 Backfill PR #158514