---
title: "Node.js, Java ve Python: güncel güvenlik açıkları ve düzeltme kılavuzu"
description: "Şubeye özgü yama temelleri, maruz kalma koşulları, geçici azaltımlar ve üretim doğrulaması ile çalışma zamanı, çerçeve ve sertifika güncellemelerini inceleyin."
language: "tr"
url: "https://keendigit.com/tr/insights/node-java-python-security-remediation-guide"
author: "KeenDigit"
published: "2026-10-23"
---

# Node.js, Java ve Python: güncel güvenlik açıkları ve düzeltme kılavuzu

Şubeye özgü yama temelleri, maruz kalma koşulları, geçici azaltımlar ve üretim doğrulaması ile çalışma zamanı, çerçeve ve sertifika güncellemelerini inceleyin.

**Kaynaklar 23 Ekim 2026 itibarıyla kontrol edildi (UTC)** **Kapsam dönemi: 25 Temmuz-23 Ekim 2026; Eylül'den Ekim'e kadar olan yeni duyurulara ve sonraki yamalara odaklanılıyor.** **Audience: Node.js, Java, Python hizmetlerinin, konteynerlerinin bakımını yapan, ardışık düzenleri ve geliştirme ortamlarını oluşturan mühendisler ve güvenlik müdahale ekipleri.**

Bu makale, Node.js, Java ve Python çalışma zamanlarındaki, standart kitaplıklardaki ve ortak sunucu çerçeveleri ve bağımlılıklarındaki en son önemli güvenlik risklerini özetlemekte ve etki kapsamı, sabit sürümler, geçici azaltma önlemleri, yama seçimi ve doğrulama yöntemleri sağlamaktadır.

Bileşen sürümlerine, etkin özelliklere ve erişilebilir giriş noktalarına göre etkiyi değerlendirin. Güvenlik açığıyla ilgili gerçekler resmi tavsiyelerden gelir; tarihler, daha önceki bir yama sürümü açıkça belirtilmediği sürece kamuya açıklama anlamına gelir. Onaylanmamış yararlanma koşulları, CVSS puanları veya vahşi ortamda yararlanma durumları hakkında bir çıkarım yapmıyoruz. Dağıtım tavsiyesi uygulama kılavuzu olarak tanımlanır.

## TL;DR: düzeltme öncelikleri

1. **İlk olarak hizmeti barındıran çalışma zamanını güncelleyin.** İlgili Node.js dalını en az **22.23.4 / 24.22.1 / 26.12.1** olarak güncelleyin. Node 24 kullanan hizmetler, aynı ana sürüm içindeki **24.22.1'ye veya aynı düzeltmeleri içeren daha sonraki bir sürüm**'ye yükseltilebilir. [S1](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-2)
2. **Node uygulama bağımlılıklarını ayrı ayrı güncelleyin.** Next.js için, yükseltme temeli olarak **15.5.28 / 16.4.1** kullanın; React Server Components'yi bağımsız olarak kullanırken, kurulu olan gerçek `react-server-dom-*` paketini kontrol edin. Yalnızca Node ikili dosyasının güncellenmesi bu çerçeve güvenlik açıklarını kapsamaz. [S8](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-8)[S9](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-10)[S11](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-11)[S12](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-12)
3. **Java: her iki güncelleme turunu kapsar.** Hem 20 Ekim CPU hem de 21 Ekim **CVE-2026-91403** acil durum sertifika güven düzeltmesini kapsayan bir satıcı yapısı yükleyin. Oracle JDK 11-27 bant dışı sürümleri için 2.2 bölümüne bakın; diğer dağıtımları kendi güvenlik paketlerine ve tam yapı numaralarına göre doğrulayın. İlgili Tomcat dalını **9.0.123 / 10.1.61 / 11.0.27** olarak güncelleyin. [S16](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-18)[S20](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-20)[S21](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-23)
4. **Python : yorumlayıcıyı, uygulama paketlerini ve sertifika paketlerini ayrı ayrı güncelleyin.** Bölüme bakın 2.3 tercüman temelleri için; `certifi` tavsiye eder **≥ 2026.10.19** , `pip` **≥ 26.2.2** , kullanırken `uv` **≥ 0.13.4** . Mevcut her venv'in kontrol edilmesi gerekir. İçin `wrap_bio()` ilgili kodlar, doğru ve boş olmayan `server_hostname` da aktarılmalıdır. [S29](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37)
5. **Anında yükseltme mümkün değilse, ilgili giriş noktalarındaki maruziyeti azaltın.** Güvenilmeyen Brotli kod çözmeyi, etkilenen görüntü/sayfalama/arşivleme işlemlerini durdurmaya ve sorunlu LDAP veya kimlik doğrulama girişlerini yalıtmaya öncelik verin; TLS sertifikalarının ve ana bilgisayar adlarının doğrulanmasını sağlamak. Gelen WAF, kötü amaçlı sıkıştırılmış yanıtları alan uygulamalar gibi giden yolları kapsayamaz. [S3](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-3)[S11](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-11)[S25](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-25)[S27](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-27)[S30](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-30)[S32](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-32)
6. **Eski süreçleri yeniden oluşturun, değiştirin ve gerçek hizmet yolları aracılığıyla doğrulayın.** Kilit dosyasını ve görüntü özetini kaydedin, uygulamayı ve görüntüyü yeniden oluşturun, tüm çalışanlar/JVM/konteynerler için değiştirmeleri kullanıma açın; gerçek süreci, bağımlılık ağacını, güven deposunu ve iş regresyon testlerini kontrol edin. Daha yeni bir komut satırı sürümü tek başına düzeltmenin tamamlandığını göstermez.
7. **LiteLLM 1.107.0 kurulduysa veya çalıştırıldıysa, olay müdahale prosedürlerini izleyin.** Proje, sürüm güvenliğinin ihlal edildiğini 21 Ekim'de doğruladı. Etkilenen ortamları izole edin, temiz bir ortamdan araştırın, açığa çıkan kimlik bilgilerini yeniden oluşturun ve döndürün. İlk önce kontrol etmek için Python/pip'yi şüpheli bir ortamda başlatmayın. Ayrıntılar için Bölüm 9'a bakın. [S41](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-41)

## 1. Güvenlik Açığı Genel Bakış ve risk değerlendirmesi

### 1.1 Gerçek maruziyete göre iyileştirmeye öncelik verin

Aşağıdaki dağıtım öncelikleri uygulama kılavuzudur. Önem etiketleri, Apache'nin **Important** derecelendirmesi de dahil olmak üzere her satıcının ardından gelir. CVSS 3.1 ve 4.0 farklı puanlama sistemleridir; Sorunları yalnızca puana göre sıralamayın.

| Ekosistem / katman            | Temel sorunlar                                                                             | Resmi not veya doğrulanmış puan | Öncelikli dağıtım                                                                                                                                                                                                                                                                                                                                  |
| ----------------------------- | ------------------------------------------------------------------------------------------ | ------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Node.js yerel bağımlılık      | CVE-2026-111497: Brotli sınırların dışında yazılmıştır ve RCE riski vardır                 | Node：High                       | Harici istek gövdesinde veya harici yanıtta Brotli verilerinin kodunu çözün [S1](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-3)                                                                               |
| Node.js TLS / DNS             | CVE-2026-105482, 105483, 106069: Ayrıştırma ve kimlik doğrulama tutarsız                   | High                            | URL tarama, proxy, Webhook, dinamik hedef adresi [S1](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-6)              |
| Node.js HTTP/2                | CVE-2026-56846, 56848: Bellek tükendi ve UAF                                               | High                            | Node, güvenilmeyen HTTP/2 trafiğini doğrudan yönetir [S7](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-7)                                                                                                                                                                                                  |
| React / Next.js               | RSC / `use cache` typed arrays RCE                                                         | Critical；CVSS 4.0 9.5           | Sunucu RSC, ilgili önbellek bileşenleri ve veri yolu [S9](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-10)                                                                                                    |
| Next.js Görüntü optimizasyonu | CVE-2026-96889: SVG Görüntü işleme RCE                                                     | Critical；CVSS 4.0 9.5           | glibc Linux üzerinde güvenilmeyen görüntüleri işleyebilen örnekler [S11](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-11)                                                                                                                                                                                  |
| Next.js Server Actions        | Özel olarak hazırlanmış istek CPU'nin tükenmesine neden oluyor                             | High；CVSS 4.0 8.2               | App Router ve en az bir Server Action [S12](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-12)                                                                                                                                                                                                               |
| Java TLS Güven                | CVE-2026-91403: Etkilenen ara ürün CA'ye güvenmeye devam edin                              | CVSS 3.1 9.1                    | Etkilenen güven zincirini kullanan TLS/API Senaryosu [S17](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-17)                                                                                                                                                                                                |
| Tomcat                        | JNDIRealm kimlik doğrulama atlama, HTTP/2 çapraz istek karışıklıkları, AJP yanıt sızıntısı | Important                       | Realm / Connector / async Servlet yoluna karşılık gelir [S21](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-23) |
| Spring for GraphQL            | CVE-2026-59285: Çağrı seri durumdan çıkarma RCE                                            | High                            | Jackson 2 + Connection Çağrı + Kullanılabilir Sınıf Yolu [S25](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-25)                                                                                                                                                                                            |
| Spring Security               | CVE-2026-59270: Gömülü LDAP bilinen yönetim kimliği açığa çıktı                            | Critical                        | Yerleşik LDAP etkinleştirildi ve dinleme bağlantı noktası, saldırgan [S27](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-27) tarafından erişilebilir durumda                                                                                                                                                |
| CPython `ssl`                 | CVE-2026-19445: SNI anahtarlama bağlamı UAF ile sonuçlanır                                 | Critical                        | Python, TLS'yi kendi kendine sonlandırır ve [S29](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-29) bağlam yaşam döngüsü koşulunu karşılar                                                                                                                                                                  |
| CPython `ssl`                 | CVE-2026-19553: Ana makine adı eksik olduğunda doğrulamayı atla                            | High                            | `wrap_bio()` / İlgili eşzamansız çağrıda beklenen ana bilgisayar adı eksik [S30](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-30)                                                                                                                                                                          |
| CPython `tarfile`             | CVE-2026-82049: Sabit bağlantı ve sembolik bağlantı kombinasyonunu atlama                  | High                            | Güvenilmeyen katran arşivini otomatik olarak çıkarın [S32](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-32)                                                                                                                                                                                                |
| Django / GeoDjango            | CVE-2026-15307: Uzamsal sorgu yazma dosyası, SSRF, RCE koşulu altında                      | High                            | Güvenilmeyen girişi kabul eden uzamsal sorgular veya ilgili yönetim arayüzleri [S38](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-38)                                                                                                                                                                      |
| Python sertifika bağımlılığı  | certifi: emSign ile ilgili sertifika güvensizliği                                          | Critical; GHSA, bilinmiyor CVE  | TLS istemci ve paket yönetimi aracı [S36](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37) hâlâ etkilenen CA bundle kullanıyor                                                                               |

Kısaltmalar: RCE, uzaktan kod yürütme anlamına gelir; UAF, ücretsiz kullanım sonrası kullanım anlamına gelir ve SSRF, sunucu tarafı istek sahteciliği anlamına gelir. RCE'nin doğrudan izinleri genellikle uygulamayı barındıran işlemin izinleridir ve otomatik olarak kök izinlerine eşdeğer olamaz.

**Önerilen sıra:** ilk olarak dışarıdan erişilebilen ve koşulları, kimlik doğrulama atlama, kullanıcılar arası veri sızıntısı ve sertifika kimlik doğrulama sorunlarını karşılayan RCE'yi işler; aynı zamanda halka açık DoS giriş noktası için güncellemeleri planlayın. İstismar edilebilirliğini kanıtlamak için üretimde saldırı yüklerini çalıştırmaya gerek yok. Bağımlılıklar mevcut, kod yollarına ulaşılabilir ve saldırı koşulları karşılanıyor. Bunlar ayrı ayrı kontrol edilmesi gereken üç konudur.

### 1.2 Kolayca karıştırılabilen üç sınır

- **Çalışma zamanlarını ve bağımlılıkları ayrı ayrı yükseltin.** Node, JDK, CPython için güvenlik güncellemeleri, Next.js, Spring, Django'nin bağımsız kurulumlarını otomatik olarak onarmaz, certifi veya yerel uzantılar.
- **düzeltme eşiği, mevcut dağıtım temelinden ayrıdır.** Ağustos ayındaki bir güvenlik açığına yönelik ilk yamanın Eylül'den Ekim'e kadar olan yeni sorunları kapsayacağı garanti edilmez; Bölüm 2, uygulama hedefi olarak doğrulanmış sonraki güncellemeleri kullanır.
- **Güvenlik açığını gerçek bir tedarik zinciri ihlalinden ayırın.** Yaygın güvenlik açıkları için yamalar gelecekteki saldırı yollarını ortadan kaldırır; Kötü amaçlı paketler çalıştırıldığında kimlik bilgilerinin ve kalıcılığın etkisinin araştırılması gerekir. Bölüm 9'un LiteLLM'si resmi olarak onaylanmış bir etkinliktir. [S41](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-41)

Vahşi doğada onaylanmış sömürü olup olmadığı resmi açıklamalara dayanmalıdır. Satıcı, istismar faaliyetlerinden bahsetmedi ve herhangi bir saldırının olmadığını kanıtlayamıyor; Gerçek saldırı yüzeyine göre iyileştirme yapılmalıdır.

## 2. Sabit sürümün ve dağıtım temel çizgisinin hızlı kontrolü

### Kaynak: 2.1 Node.js、React、Next.js

| bileşen/dal                                   | Önerilen sürüm temeli                  | Kullanım talimatları                                                                                                                                                                                                                                               |
| --------------------------------------------- | -------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Node.js 22.x                                  | **22.23.4**                            | Güvenlik sürümü [S1](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-2), 21 Ekim'de                                               |
| Node.js 24.x                                  | **24.22.1**                            | 24.x şubesi için geçerlidir; 24.22.0, 21 Ekim güvenlik yamasını içermiyor [S1](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-2) |
| Node.js 26.x                                  | **26.12.1**                            | Aynı grupta güvenlik sürümü [S1](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-2)                                               |
| Node.js 20 ve önceki yukarı akış şubeleri     | Desteklenen bir şubeye geçiş yapın     | Node 20 bu yukarı yönlü düzeltmeyi kabul etmez; satıcının genişletilmiş desteği ayrıca doğrulanmalıdır [S3](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-3)                                                                |
| Next.js 15.x                                  | **15.5.28**                            | 14 Ekim'de güncellendi [S8](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-8)                                                                                                                                                |
| Next.js 16.x                                  | **16.4.1**                             | Yukarıdakiyle aynı [S8](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-8)                                                                                                                                                    |
| Bağımsız RSC 19.0 / 19.1 / 19.2 / 19.3 şubesi | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | Üç `react-server-dom-*` paketini ayrı ayrı kontrol edin; sadece üst katmana bakmakla kalmayın `react` [S10](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-10)                                                               |
| Next aslında `sharp`'yi yükledi               | **≥0.35.5**                            | SVG güvenlik açığına yönelik resmi geçici düzeltme koşulları; diğer Next.js yamalarının yerine geçmez [S11](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-11)                                                               |

Node, Ekim ayındaki güvenlik açığı için etkilenen bakım dallarını resmi olarak listeliyor, ancak başlangıçta tanıtılan yama sürümünü madde madde sunmuyor, bu nedenle her bir güvenlik açığının kesin başlangıç sürümü, yalnızca bakım dalı aralığına göre belirlenemiyor. Dağıtım sırasında aynı dalın yukarıdaki sürümünü veya aynı düzeltmeleri içerdiği onaylanmış sonraki sürümünü kullanmaya öncelik verin.

### 2.2 Java: Ekim CPU artı bant dışı sertifika güncellemesi

Bu tablo **Oracle JDK** için geçerlidir. İkinci sütun yalnızca 20 Ekim CPU'yi kapsar; üçüncüsü 21 Ekim'deki bant dışı yayını içeriyor. CPU sürümleri tek başına burada tartışılan tüm Java risklerini kapsamaz. [S16](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-18)

| şube | 20 Ekim CPU | Oracle, 21 Ekim'de banttan çıktı                                                                                                                                           |
| ---- | ----------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 11   | 11.0.33     | **11.0.33.0.2**                                                                                                                                                            |
| 17   | 17.0.21     | **17.0.21.0.2**                                                                                                                                                            |
| 21   | 21.0.13     | **21.0.13.0.2**                                                                                                                                                            |
| 25   | 25.0.5      | **25.0.5.0.2**                                                                                                                                                             |
| 27   | 27.0.1      | **27.0.1.0.2**                                                                                                                                                             |
| 8    | 8u511       | Genel sürüm tablosu hala **8u511**'yi gösteriyor; Belirli güvenlik yapısı ve güven zinciri onarımı kontrol edilmelidir ve yalnızca kısa sürüm numarasına göre belirlenemez |

\*\*Java 8'nin tam derleme bilgilerine göre kontrol edilmesi gerekiyor:\*\*Oracle Uyarı, etkilenen sürüm olarak 8u511'i listeler ve sürüm listesi, aynı kısa adla sonraki güncellemeleri listeler. Yama durumu yalnızca "8u511" kısa sürüm numarasına göre ayırt edilemez. Belirli güvenlik yapısını ve güven zinciri düzeltmelerini onaylamanız gerekir. [S17](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-18)

**Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , sürüm sürümü OpenJDK vb. ilgili duyurulara ve tam paket/yapı numaralarına göre kontrol edin.** Örneğin, resmi yayın kaydı Adoptium eklemek için ilgili yapının yeniden paketlendiğini belirtir. eMudhra düzeltmek; yukarı akış sürümünün adının aynı olması paket içeriğinin aynı olduğu anlamına gelmez. `.0.2` için sonek kuralları Oracle diğer yayıncılara mekanik olarak uygulanamaz. [S20](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-20)

| Java uygulama bileşenleri             | Önerilen sürüm temeli                 | Açıklamalar                                                                                                                                                                                                                                                                                                                                    |
| ------------------------------------- | ------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Tomcat 9 / 10.1 / 11                  | **9.0.123 / 10.1.61 / 11.0.27**       | Şube şube kontrol edin; Tomcat 10.0 bakımı durdurdu [S21](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-23) |
| Spring for GraphQL 2.0.x              | **2.0.5（OSS）**                        | Ticari destek aynı zamanda 2.0.4.1 [S25](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-25)'dir                                                                                                                                                                                                          |
| Spring Security 7.1 / 7.0             | **7.1.1 / 7.0.7（OSS）**                | Ağustos ayında açıklanan minimum düzeltme sürümüne karşılık gelir; dağıtımdan önce sonraki güvenlik bülteni [S27](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-28)'yi kontrol etmeniz gerekir            |
| Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | Duyuru, ticari destek düzeltmesi olarak listeleniyor; geçiş, karşılık gelen bir destek olmadığında değerlendirilir ve Maven Central'nin ücretsiz olarak mevcut olduğu varsayılamaz [S27](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-27)                                                              |

Spring yükseltmeleri projenin Spring Boot BOM, Java minimum sürümüne ve uyumluluk hatlarına uygun olmalıdır. Sadece bir yama almak için tüm Spring modüllerini doğrudan aynı numaraya zorlamayın.

### 2.3 CPython, Django ve sertifika bağımlılıkları

Aşağıdaki tablonun ikinci sütunu Eylül ayında açıklanan TLS ihracına odaklanmaktadır; `tarfile`'ye ilişkin dal farklılıkları 5.3. bölümünde gösterilmektedir. 21 Ekim sürümleri aynı zamanda güncelleştirilmiş paket sertifika araçlarını da yayınlamaktadır, dolayısıyla son sütun daha sonraki dağıtım temellerini içerir. [S29](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-35)

| CPython şubesi | Eylül güvenlik toplu minimum sürümü                                                                                                                                                                                                                    | Önerilen dağıtım temeli                                                                                                                                                                  |
| -------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 3.10           | 3.10.22                                                                                                                                                                                                                                                | Yukarı yöndeki son sürüm, EOL; geçişi düzenleyin veya sürüm uzantısı desteğini doğrulayın [S34](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-34) |
| 3.11           | **3.11.17**                                                                                                                                                                                                                                            | 3.11.17 ve pip/certifi'yi her ortamda ayrı ayrı güncelleyin                                                                                                                              |
| 3.12           | **3.12.15**                                                                                                                                                                                                                                            | 3.12.15 ve pip/certifi'yi her ortamda ayrı ayrı güncelleyin                                                                                                                              |
| 3.13           | 3.13.16                                                                                                                                                                                                                                                | **3.13.17**                                                                                                                                                                              |
| 3.14           | 3.14.8                                                                                                                                                                                                                                                 | **3.14.9**                                                                                                                                                                               |
| 3.15           | Son 3.15.0 sürümü hem TLS düzeltmelerini hem de [S31](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-47)'yi içerir | **3.15.1**                                                                                                                                                                               |

3.11 ve 3.12'nin yukarı akış güvenlik sürümleri yalnızca kaynak kodunda yayınlanabilir; işletim sistemi paketini kullanırken, satıcının destek önerisini ve tam paket sürümünü kontrol edin; Python sistemini kendi kendine derlenmiş bir sürümle zorla değiştirmeye gerek yoktur. [S33](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-34)

| bağımsız bağımlılık    | Önerilen sürüm temeli      | Açıklama                                                                                                                                                                                                                                                                                            |
| ---------------------- | -------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | Sonraki düzeltmeyi [S38](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-39)'yi 6 Ekim'e ekleyin                                                                 |
| certifi                | **≥2026.10.19**            | GHSA başlangıç yaması 0,18'dir; PSF, etkilenmeyen sertifikalarla uyumluluğu korumak için 0,19'u önerir [S36](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37) |
| pip                    | **≥26.2.2**                | certifi'nin yerleşik kopyasının ayrıca güncellenmesi gerekiyor [S35](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37)                                         |
| uv (kullanılıyorsa)    | **≥0.13.4**                | [S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37)'yi gerçek kurulum yöntemine göre güncelleyin                                                                                                                                                         |

**Bu temel çizgiler, listelenen düzeltmeleri kapsamaktadır.** `tar_filter`'deki başka bir orta önem dereceli sorun 22 Ekim'de açıklanmıştır. 23 Ekim 2026 itibarıyla, bu düzeltmeyi içeren resmi bir bakım sürümü henüz onaylanmamıştır; bu nedenle 3.13.17 / 3.14.9 / 3.15.1'nin tüm tar dosyası sorunlarını kapsadığı düşünülemez. Bkz. Bölüm 5.4. [S40](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-40)

### 2.4 Dağıtım desteklerinin doğrulanması

Ubuntu, Debian, RHEL ve diğer yazılım paketleri için geçerli uygulama ilkeleri:

1. İşletim sistemi sürümünü, veri havuzu kaynağını, tam paket sürümünü ve satıcı güvenlik bülten numarasını kaydedin.
2. Önerinin belirli CVE'yi kapsadığını ve ilgili dağıtım sürümü için sabit bir paket tanımladığını doğrulayın.
3. Yalnızca yukarı akış kısa sürümünü değil, gerçek çalışan işlem tarafından yüklenen ikili dosyaları/kütüphaneleri karşılaştırın.
4. Satıcı yamasının kanıtı olmadığında, bunu "onaylanmaya" bırakın ve bunu sürüm numarasının eski veya yeni göründüğüne dair tek sonuç olarak almayın.

Farklı dağıtımların apt/RPM paket versiyonlarında ve destek stratejilerinde farklılıklar vardır. Her dağıtımın güvenlik bülteni ve tam paket sürümü geçerli olmalıdır.

## 3. Node.js / JavaScript ekosistemi: Nedenlerin Analizi ve iyileştirme

### 3.1 CVE-2026-111497: Brotli yerel kod çözücünün sınırların dışında yazma

**Açıklama: 2026-10-21; Node resmi sınıf: High.** Node 22.x, 24.x, 26.x'in etkilenen yapıları 2.1 yama bölümünün yüklenmesini gerektirir. Node Duyuruda sayısal bir CVSS puanı listelenmiyor. [S1](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-1)

Sorun, yerel kod çözme mantığında, hatalı biçimlendirilmiş Brotli sıkıştırılmış akışı işlenirken ortaya çıkıyor ve bu da sınırların dışında yazmalara yol açabiliyor. Vercel'nin resmi açıklaması, araştırma gösteriminin süreç belleği sızıntılarını ve komut yürütmeyi içerdiğini doğrulamaktadır. Bir saldırganın kod çözücüye ulaşıp ulaşamayacağı, uygulamanın veya bağımlılığın kontrol ettiği verilerin kodunu gerçekten çözüp çözmediğine bağlıdır. [S3](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-3)

Her iki yönün de aynı anda kontrol edilmesi gerekir:

- **inbound:** çerçevesi veya ara yazılımı, kullanıcı tarafından gönderilen Brotli istek gövdesinin sıkıştırmasını otomatik olarak açar.
- \*\*outbound:\*\*HTTP İstemciler, görüntü yakalayıcılar vb. saldırgan tarafından kontrol edilebilen kaynaklara erişir ve döndürülen içeriğin sıkıştırmasını otomatik olarak açar.

Tarayıcılara gönderilen yanıtların Brotli sıkıştırılmasını devre dışı bırakmak, kod çözme giriş noktasını kaldırmaz. Gelen WAF koruması ayrıca harici yanıtları alan ve kodlarını çözen uygulamaları kapsamaz. [S3](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-3)

\*\*Yama yönü:\*\*Node Brotli yukarı akış düzeltmesini yerel bağımlılığa taşıyın ve yasa dışı kod çözme durumu denetimini ve hata yayılımını tamamlayın. Kendi kendine derlenen bir sürümü korurken, resmi güvenlik sürümünü veya eşleşen dalın tam yamasını kullanmalısınız. JavaScript paketinin sürüm bildirimini öylece değiştiremezsiniz. [S4](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-4)

**Geçici uygulama önerileri:** gereksiz güvenilmeyen Brotli kod çözmeyi durdurun; ara yazılımın ve HTTP istemcisinin otomatik sıkıştırmayı açma davranışını kontrol edin; işletmenin bu formatı kabul etmesi gerekiyorsa, işlemi en kısa sürede yamalı ortamda tamamlayın. `Accept-Encoding`'nin ayarlanması yalnızca bir müzakere eylemidir ve kötü niyetli bir yanıtın engellendiğine dair tek başına kanıt olarak görülmemelidir.

### 3.2 TLS / DNS üç High: Doğrulama nesnesi gerçek hedefle tutarsız

Üçü de 21 Ekim'de 2.1. [S1](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-1) bölümünde belirtilen resmi yükseltme eşiğiyle açıklandı.

| Tanımlayıcı     | Sorun onaylandı                                                                                           | Etkilenen şubeler  |
| --------------- | --------------------------------------------------------------------------------------------------------- | ------------------ |
| CVE-2026-105482 | `dns.resolve` NUL içeren adların kısaltılması                                                             | 22.x / 24.x / 26.x |
| CVE-2026-105483 | Tam genişlikte sayısal biçimdeki IP, sertifika ana bilgisayar adı doğrulamasının atlanmasına neden oluyor | 24.x / 26.x        |
| CVE-2026-106069 | Genel olarak IP olarak yorumlanabilecek ana bilgisayar adı, TLS doğrulamasının atlanmasına neden olur     | 22.x / 24.x / 26.x |

DNS Sorunun özü, üst katman tarafından kontrol edilen dizenin, alt katman tarafından ayrıştırılan addan farklı olmasıdır. Resmi yama, ayrıştırma girişinde NUL'yi reddediyor ve regresyon kapsamını ekliyor. [S6](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-6)

TLS İki öğe ad normalleştirmesini, IP yorumunun tutarlılığını ve sertifika eşleştirmeyi içerir. Gerçek IP uç noktasının sertifika etki alanı kimliğiyle karıştırılmasını önlemek için standart olmayan IP girişinin reddedilmesini veya doğru şekilde işlenmesini sağlayacak şekilde yama yapın. [S5](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-5)

**için gerçek sorun giderme önerileri:**, alıcı kullanıcının URL kodunun, dinamik proxy hedefinin veya Webhook adresinin kontrol edilmesine öncelik verir; birleşik standardizasyon ve izin verilenler listesi kararı, NUL/kontrol karakterlerini reddeder, yasal IPv4, IPv6 ve uluslararasılaştırılmış alan adlarının hala çalıştığını onaylar. SSRF'nin daha da oluşturulup oluşturulamayacağı, doğrudan CVE isminden çıkarılamayan bağlantı kanıtlarının uygulanmasını gerektirir.

Yükseltme sonrası sağlama toplamı hatalarını ortadan kaldırmak için `NODE_TLS_REJECT_UNAUTHORIZED=0` veya `rejectUnauthorized: false` kullanmayın. Adres, sertifika ve işletme yapılandırması düzeltilmelidir.

### 3.3 Temmuz HTTP/2 High-risk ve izin modeli sorunları

Temmuz ayında açıklanan aşağıdaki konuların hâlâ soruşturmaya dahil edilmesi gerekiyor. Dağıtım sırasında doğrudan Bölüm 2.1'deki Ekim güvenlik sürümü temel çizgisinin kullanılması önerilir. [S7](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-7)

| CVE            | Sebepler ve etkiler                                                                                                             | İlk sabit versiyon                 |
| -------------- | ------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------- |
| CVE-2026-56846 | Tutulan HTTP/2 header bloğu, `maxSessionMemory` bütçesine düzgün şekilde dahil edilmez ve belleği tüketebilir; Etki 22.x / 24.x | 22.23.2 / 24.18.1                  |
| CVE-2026-56848 | HTTP/2, paket toplama sırasında gönderme yoluna yeniden girerek UAF yığınına neden olur; darbe 22.x / 24.x / 26.x               | 22.23.2 / 24.18.1 / 26.5.1         |
| CVE-2026-58043 | `--permission` Yol öneki sınır eşleşmesi çok geniş ve izin verilenler listesinin dışındaki dosyalara erişilebilir.              | Yukarıdaki üç bakım satırıyla aynı |

Üçü de resmi olarak High'dir. İlk iki öğe, HTTP/2'nin Node tarafından işlenip işlenmediğinin kontrol edilmesine öncelik verir; üçüncü öğe yalnızca izin modeli kullanıldığında ve bu sınıra dayanıldığında karşılık gelen bir anlama sahiptir. İzin modeli öğelerinin tümü, kimlik doğrulama gerektirmeyen RCE ağı olarak tanımlanamaz. [S7](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-7)

HTTP/2'nin ayrı, güncellenmiş bir proxy üzerinde geçici olarak sonlandırılması ve arka uç kaynaklarının sınırlandırılması, riski azaltmak için bir dağıtım seçeneğidir; kaynak kotaları yalnızca kaynak tükenmesinin sonuçlarını kontrol edebilir ve UAF'ye yama uygulayamaz.

### 3.4 Ekim React / Next.js: iki öğe RCE ve bir öğe DoS

#### A. RSC /'deki RCE `use cache`, yazılan dizileri döndüren işlevler

**Genel tarih: 2026-10-14; Critical, CVSS 4.0 9.5.** Resmi öneri tanımlayıcıları:

- React：**GHSA-xqc2-xf4c-x3h3**。
- Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-10)

React yukarı akış sorunu, RSC yanıtındaki saldırganın kontrol edebileceği değerlerle birleştirilmiş birden fazla türde diziyi içeriyor. Etkilenen üç `react-server-dom-*` paket sürümü şunlardır: **19.0.0—19.0.8, 19.1.0—19.1.9, 19.2.0—19.2.8, 19.3.0**; bkz. bölüm Bölüm 2.1. Saf tarayıcı tarafı React veya RSC'yi destekleyen çerçeveleri/eklentileri hiç kullanmayan uygulamalar bu öğenin kapsamına girmez. [S10](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-10)

Next.js alt duyuru listeleri **16.0.0—16.4.0**, **16.4.1**'de revize edilmiştir; senaryo, birden fazla yazılan diziyi döndüren App Router, Cache Components ve `use cache` işlevleridir. Resmi, güvenilir bir genel çözüm yoktur ve etkilenen sürümlerin kullanıcılarının zamanında yükseltme yapması gerekir. İşlemi sonlandırmak için yalnızca "bu işlev mevcut görünmüyor" şeklinde manuel aramalara güvenmek uygun değildir. [S9](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-9)

#### Kaynak: B. SVG Image Optimization RCE

**CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5.** sorunu, görüntü optimizasyonu için kullanılan yukarı akış yerel kitaplığında ortaya çıkıyor. Yetkililer, **glibc Linux** senaryosunda RCE riskinin mevcut olduğuna dikkat çekti. [S11](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-11)

Resmi sürüm alanları şunlardır:

- `>=10.0.0 <=15.5.27`；
- `>16.0.0 <=16.4.0`。

Yetkili, 16.x dalı için `>16.0.0`'nin katı bir alt sınırını kullanıyor ancak bu aralık beyanı, 16.0.0'nin güvenli olduğunu kanıtlamak için yeterli değil. Gerçek yükseltme hedefi eşit olarak **15.5.28 / 16.4.1**'dir. [S11](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-11)

Resmi geçici çözüm, **Next'nin gerçekten keskin ≥0.35.5** yüklemesini sağlamaktır. Kilit dosyaları, iç içe bağımlılıklar ve dağıtım görüntüleri hala eski örnekleri barındırabilir; bu nedenle `sharp` bağımlılığının yeni bir sürümünün en üst düzeye eklenmesi yeterli değildir; son bağımlılık ağacının kontrol edilmesi ve yeniden oluşturulması gerekir. [S11](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-11)

#### C. Server Actions CPU tükendi

\*\*GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.\*\*Next, **13.0.0—15.5.27'yi etkiler, 16.0.0—16.4.0**, **15.5.28 /16.4.1**'yi düzeltir. Koşullar App Router ve en az bir Server Action'dir; kötü niyetli istekler CPU'yi uzun süre meşgul edebilir ve aynı süreçte sonraki istekleri engelleyebilir. Pages Router içeren veya Server Actions olmayan uygulamalar bundan etkilenmez. [S12](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-12)

Yükseltmenin yerini alabilecek resmi bir geçici çözüm yoktur. Hız sınırları, eşzamanlılık sınırları ve kaynak kotaları hasarı azaltabilir ancak yama doğrulaması için bir sonuç olarak kullanılamaz.

### 3.5 Önceki Next.js aynı pencerede Ciddi sorun

Aşağıdaki öğeler, hâlâ Ağustos-Eylül öncesi sürümlerde takılı kalan eksik dağıtımları önlemeye yöneliktir; Artık tablodaki eski düzeltme eşiklerine geçmeniz önerilmez.

| Tarih      | Tanımlayıcı / senaryo                                                                                                                                                                                  | İlk düzeltme; mevcut eylem                                                                                                                                                                            |
| ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 2026-08-25 | GHSA-2xp9-vwfh-vxw4: AVIF görüntü optimizasyonu yerel kitaplığı RCE, Critical                                                                                                                          | 15.5.24 / 16.3.3; şimdi 15.5.28 / 16.4.1 [S13](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-13)                                                               |
| 2026-08-25 | CVE-2026-75604: RCE, Critical, Pages Router ve App Router, Windows üzerinde aynı anda kullanıldığında ve Cache Components etkinleştirilmediğinde; `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` versiyonları | 15.5.24 / 16.3.3; Linux/macOS bu özel Windows sorunundan etkilenmez [S14](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-14)                                    |
| 2026-09-22 | GHSA-vcvr-r3jv-pc5j: `next/og`'deki Node görüntü oluşturma yolu, güvenilmeyen SVG, Critical'yi işler; 16.2.0—16.3.5                                                                                    | 16.3.6; Edge uygulaması bu sorunun kapsamı dışındadır ve 15.x, bu RCE [S15](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-15) için etkilenen bir dal değildir. |

## 4. Java ekosistemi: Çalışma zamanı güveni, kapsayıcılar ve çerçeveler ayrı ayrı ele alınır

### 4.1 JDK: Normal CPU ve CVE-2026-91403 iki katmanlı güncellemelerdir

20 Ekim'deki Oracle CPU için Java SE risk matrisi, **55 yeni güvenlik düzeltme ekini listeliyor; bunların 49'u kimlik doğrulama olmadan ağ üzerinden yararlanılabilir olarak işaretlendi**. Bu, 55 Critical olduğu anlamına gelmediği gibi, her Java web hizmeti için doğrudan yararlanılabilir 49 RCE yolu olduğu anlamına da gelmez; matristeki bileşenler, API'ler, kullanıcı etkileşimleri ve dağıtım koşullarıyla birlikte anlaşılmalıdır. [S16](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-16)

Ertesi günün **CVE-2026-91403 (CVSS 3.1 9.1)**'si başka bir risk türüyle ilgilenir: artık güvenilmeyen eMudhra olayıyla ilgili bir dizi ara CA. TLS eş kimlik doğrulamasını ve iletişim gizliliğini/bütünlüğünü etkiler ve JVM bellek bozulması güvenlik açığı olarak tanımlanamaz. [S17](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-17)

Oracle uyarı belgesinde 20 Ekim'de yayımlanan sürüm etkilenmiş olarak listeleniyor; dolayısıyla 21 Ekim'deki bant dışı güncellemenin de yüklenmesi gerekiyor. Belirli bir sürüm için 2.2 bölümüne bakın. GraalVM'nin ayrıca ilgili etkilenen ürünleri vardır ve sabit sürüm, kendi özel güvenlik bültenine tabi olmalıdır. [S17](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-18)

**Geçici resmi önlemler:** Önce yedekleyin ve ardından belirtilen kök sertifikayı gerçekte kullanılan her güven deposundan kaldırın:

- `emSign ECC Root CA - G3`, Oracle diğer adı `emsigneccrootcag3 [jdk]`.
- `AAA Certificate Services`, Oracle diğer adı `comodoaaaca [jdk]`. [S19](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-19)

JDK 11 ve üzeri resmi örnek:

```bash
keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"
```

Bu komutlar için hedef JDK\*\*'den\*\*keytool'u kullanın ve bunların uygulamanın gerçek güven deposunda çalıştıklarını doğrulayın. Java 8, `jre/lib/security/cacerts`'ye karşılık gelen yolu kullanır; güvenilir mağazanın özelleştirilmesi ayrı olarak ele alınmalıdır ve diğer yayıncıların farklı takma adları olabilir. Kök sertifikanın kaldırılması, reddetme kapsamını genişletecek ve meşru hizmet sertifikası zincirlerinde regresyon testi yapacaktır. [S19](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-19)

Yetkili ayrıca iptal kontrolünü etkinleştirme seçeneğini de sunar ancak bunun etkisi, gerçek TLS uygulamasına, iptal hizmetinin erişilebilirliğine ve başarısızlık stratejisine bağlıdır. Genel dağıtımlar için, iki JVM anahtarının tüm TLS kitaplıklarının düzeltildiğinin kanıtı olarak değerlendirilmesini önlemek için tam satıcı güncellemelerini yüklemeye öncelik verin.

### 4.2 Tomcat: Kimlik doğrulama atlama ve çapraz kullanıcı isteği izolasyonu

Aşağıdaki üç öğe **2026-10-20**'de yayınlandı; onarılan sürüm girişi **Ekim 12** tarihlidir. Apache'nin resmi notu **Important**'dir. [S21](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-23)

| CVE             | Onaylanan etkilenen sürümler                         | Gerekli senaryolar/sonuçlar                                                                                                                                                              |
| --------------- | ---------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm GSSAPI dışı SASL kimlik doğrulama mekanizmasını yapılandırır, kimlik bilgisi doğrulaması eksik ve yanlış şifreler de geçebilir                                                 |
| CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26      | HTTP/2'nin eşzamansız Servlet hatası işlemesi, nesneleri hatalı bir şekilde geri dönüştürüyor/yeniden kullanıyor ve kullanıcılar arasında istek veya yanıtların karışmasına neden oluyor |
| CVE-2026-103119 | Yalnızca **11.0.0-M25—11.0.26**'yi onaylayın         | Büyük AJP engellemesiz yazma işlemleri, arabelleğin yetersiz okunmasına neden olarak önceki yanıt verilerinin sonraki isteklerde açığa çıkmasına neden olabilir.                         |

İlgili düzeltme **9.0.123 / 10.1.61 / 11.0.27**'dir; AJP, duyuruya göre yalnızca Tomcat 11 olarak listeleniyor ve aynı soruna sahip üç şubeye genişletilemez. [S21](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-23)

JNDIRealm yaması, gerçek kimlik doğrulama sürecindeki doğrulama yerine "uygulama oturum açma arayüzünün normal göründüğü" bir doğrulama boşluğunu giderir. Hizmetin gerçek yapılandırması için Realm, SASL mekanizmaları kontrol edilmeli ve yanlış şifreler için testler başarısız olmalıdır. [S24](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-24)

**Geçici uygulama önerileri:** etkilenen kimlik doğrulama yolunu izole edin; iş izin verdiğinde HTTP/2'nin Tomcat işlenmesini askıya alın; işe yaramaz AJP'yi kapatın. Yalnızca AJP bağlantı noktasına doğrudan erişimi kısıtlamak, yasal ön proxy üzerinden giren trafiğin etkilenmeyeceğini kanıtlayamaz. Resmi güncellemeden sonra, iki bağımsız kullanıcıdan gelen asenkron eşzamanlı talepler, kimlikler ve yanıtlar arasında çapraz konuşma olmadığını doğrulamak için test edilmelidir.

### Kaynak: 4.3 Spring for GraphQL：CVE-2026-59285

**Genel tarih: 2026-08-20; High.** etkilendi **2.0.0—2.0.4**, onarıldı **2.0.5 (OSS)** veya **2.0.4.1 (ticari destek)**. [S25](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-25)

Bu, sayfalama sorgularında güvenli olmayan bir seri durumdan çıkarma riskidir. Resmi gereklilik, aşağıdaki koşulların aynı anda karşılanmasıdır:

1. Spring for GraphQL'yi kullanın.
2. Jackson 2.x'i kullanarak JSON'u seri durumdan çıkarın.
3. Dış dünyaya Bağlantı çağrı alanı sağlayın.
4. Sınıf yolu, örnekleme veya seri durumdan çıkarma sırasında beklenmeyen mantığı gerçekleştirebilen belirli sınıfları içerir.

Kötü amaçlı bir GraphQL isteği, koşullar karşılandığında RCE'ye neden olabilir. "Jackson kullanan tüm Java programlarından yararlanılabilir" şeklinde indirgenemez. [S25](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-25)

**2.0.4 neden yetersiz:** Haziran ayında CVE-2026-41699, 2.0.4 gibi yama temelleri vermişti ve Ağustos ayında yapılan duyuru açıkça 2.0.4'yi yeni etki kapsamına dahil etti. Bu nedenle onarım kaydının daha sonraki duyurulara göre güncellenmesi gerekir ve eski CVE'nin minimum sürümü kullanılamaz. [S26](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-26)

Yükseltme geçici olarak kullanılamadığında, güvenilmeyen arayanların erişebildiği etkilenen sayfalandırma alanları askıya alınabilir; Seri durumdan çıkarılabilen türleri ve sınıf yollarını daraltmak derinlemesine bir önlemdir. Regresyonlar yasal imleçleri, sayfalandırılmış sonuçları ve istisna girişi reddini kapsamalı ve son uygulama JAR'ındaki gerçek bileşen sürümlerini kontrol etmelidir.

### 4.4 Spring Security: CVE-2026-59270 ve ilgili kimlik doğrulama riskleri

**CVE-2026-59270, 2026-08-20, Critical.** yerleşik `UnboundIdContainer`, varsayılan olarak bilinen yönetici kimlik bilgilerini kaydeder ve tüm ağ arayüzlerini dinler. Bileşen etkinleştirildiğinde ve bağlantı noktasına erişilebilir olduğunda, saldırgan dizin verilerini okuyabilir veya değiştirebilir; Genel olarak Spring Security'yi tanıtan projeler, LDAP'yi otomatik olarak kullanıma sunmayacaktır. [S27](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-27)

Etkilenen alan:

| şube      | etkilenen                 | İlk düzeltme/edinme kanalı       |
| --------- | ------------------------- | -------------------------------- |
| 7.1       | 7.1.0                     | 7.1.1 OSS; ayrıca ticari 7.1.0.1 |
| 7.0       | 7.0.0—7.0.6               | 7.0.7 OSS; ayrıca ticari 7.0.6.1 |
| 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19, ticari            |
| 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26, ticari            |

Kaynak: [S27](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-27). `spring.ldap.embedded.*` otomatik yapılandırma ve doğrudan örnekleme koduyla ilgili sorunları giderin; üretim için gerekli olmadığında bileşeni kapatın ve gerçek dinleme adresini kontrol edin. İşletmenin buna gerçekten ihtiyacı olduğunda, önce çağrı kaynaklarını sınırlayın ve ardından bileşen yükseltmesini tamamlayın.

\*\*İlgili kimlik doğrulama sorunu: CVE-2026-47841 (High).\*\*WebAuthn Kullanıcı kimlik doğrulaması `REQUIRED` olarak ayarlanmıştır ve HTTP oturumu dağıtılmış depolama tarafından serileştirildikten sonra, yanlış nesne kimliği karşılaştırması kimlik doğrulama gereksinimini geçersiz kılabilir. Saldırı aynı zamanda saldırganın, bir cihaz olmadan rastgele uzaktan oturum açmayı değil, kullanıcı kimlik doğrulama cihazına sahip olmasını gerektirir. İlgili etkilenen 7.1, 7.0, 6.5 ve 6.4 sürümleri için yama temeli, yukarıdaki tabloda yer alan bu dallarla tutarlıdır; doğrulama, düğümler arası oturumları kapsamalı ve yine de PIN/biyometrik doğrulama gerektirmelidir. [S28](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-28)

## 5. Python ekosistemi: yorumlayıcı, standart kitaplık, çerçeve ve sertifikalar

### 5.1 CVE-2026-19445: SNI geri aramasında SSLContext UAF

**Yayın tarihi: 2026-09-30; PSF Düzey: Critical.** Python sunucusu TLS'de, `sni_callback`, bağlantıyı başka bir `SSLContext` ile değiştirir ve orijinal bağlamın hayatta kalan başka referansı olmadığında, kimliği doğrulanmamış olan TLS istemcisi hizmeti çökertebilir veya serbest bırakılan bir nesnedeki bir işaretçiyi çağırabilir. [S29](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-29)

Temel nokta, Python nesnesinin temeldeki TLS geri çağırma yaşam döngüsüyle tutarsız olmasıdır. Orijinal bağlam yayımlandı ve temeldeki katman hâlâ geri çağırma için gereken durumu tutuyor olabilir; referans yaşam döngüsünü düzeltmek için yorumlayıcı yerel yamasının kullanılması gerekir. [S47](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-47)

**Kapsamı:** Yalnızca TLS istemcisi olarak işlev gören Python kodu bu öğeden etkilenmez; Orijinal bağlamı uzun süre tutan dinleme soketinin normal modu, duyuruda açıklanan spesifik arıza yoluna girmiyor. Nginx, TLS'yi sonlandırdıktan sonra yalnızca yerel HTTP'yi Python'ye devreder ve Python, SNI'yi doğrudan kendi başına yönetir, bu da farklı bir saldırı yüzeyidir. [S29](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-29)

3.10—3.14 sabit versiyonuna karşılık gelir, bkz. bölüm 2.3. 3.15'nin resmi sürümü onarılmıştır ve 3.15.1 gerçekten seçilebilir. Yalnızca pip bağımlılığının güncellenmesi, yorumlayıcının `_ssl` uygulamasının yerini alamaz. [S33](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-47)

**Resmi geçici azaltma:**, SNI geri çağrısını sunucu yaşam döngüsünün sonuna kadar ayarlayan tüm SSLContext'ye güçlü referansları tutar. Bunun gerçek dinamik oluşturma ve geçiş yollarını kapsaması gerekir; özel OpenSSL 1.1.1 yapısı aynı zamanda resmi sorun kaydıyla birlikte yeniden müzakere koşullarını da kontrol etmeli ve güncellemelerin tamamlanmasına öncelik vermelidir. [S29](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-47)

### 5.2 CVE-2026-19553: Ana makine adı bayrağı açık, ancak arama sırasında ana bilgisayar adı eksik

**Genel tarih: 2026-09-30; High.**`SSLContext.check_hostname=True` olduğunda, `wrap_bio()` `server_hostname`'de aktarılmazsa, orijinal uygulama ana bilgisayar adı doğrulamasını sessizce atlayabilir. Başarılı sertifika zinciri doğrulaması, hedef alan adının da eşleştiği anlamına gelmez. [S30](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-30)

Düzeltme her iki adımı da gerektirir:

- 2.3. bölümünde listelenen tercüman güvenlik sürümünü yükleyin
- `wrap_bio()` ve ilgili `asyncio.create_connection()` / `loop.start_tls()` yollarını kontrol edin, beklenen ve boş olmayan ana bilgisayar adını açıkça iletin ve sertifika doğrulamasını açık tutun. [S30](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-30)

\*\*İhmal edilemeyecek uyumluluk farklılıkları:\*\*3.10, 3.11, 3.12 uyumluluk içindir, ana bilgisayar adının eksik olduğu bazı durumlar için yalnızca `DeprecationWarning` verilir; 3.13 ve daha sonra `ValueError`'yi yükseltin. 3.12 destek portu ayrıca `None`'yi boş dizelerden açıkça ayırır: `None` için yeni bir uyarı eklenir ve boş dizeler için hala bir hata bildirilir. Bu nedenle, düşük şube kullanıcıları, başlangıçta eksik olan alan adı doğrulamasının yalnızca yükseltme yoluyla otomatik olarak geri yüklendiğini varsayamaz. [S31](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-33)

Bir test ortamında, eşleşmeyen ana bilgisayar adına sahip bir güvenilir zincir sertifikası kullanın ve gerçek uygulama TLS istemcisinin bunu reddettiğini doğrulayın. Yalnızca `check_hostname` Boolean değerinin okunması tam kabul anlamına gelmez.

### 5.3 CVE-2026-82049: Tarfile filtresinde bağlantı kombinasyonu bypass'ı

**Genel tarih: 2026-09-14; High.** CPython 3.13 ve önceki ilgili uygulamalarda, güvenilmeyen tar'daki sabit bağlantılar ve sembolik bağlantıların birleşimi, `data` / `tar` çıkarma filtresini atlayabilir, dosyaların içeriğini paketten çıkarma ağacındaki paketten çıkarma dizini dışında açığa çıkarabilir veya izinleri ve değişiklik süreleri. [S32](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-32)

Bu güvenlik açığının doğrulanan etkileri arasında dosya içeriğinin açığa çıkması ve meta verilerde değişiklik yapılması; bu etkiler tek başına harici dosya içeriğinin keyfi olarak üzerine yazıldığını veya RCE'nin koşulsuz olarak uygulandığını göstermek için yeterli değildir.

3.10—3.13'nin ilgili yama taban çizgileri için bkz. Bölüm 2.3. **Python 3.14, `os.link()`'nin o zamandan bu yana davranış değişiklikleri nedeniyle bu özel sorundan muaf tutulmuştur. 3.14.0b1**, dolayısıyla yukarıdaki 3.10—3.13 dalının etkilenen kapsamı geçerli değildir. [S33](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-33)

**Geçici ve ayrıntılı önlemler:** güvenilmeyen arşivlerin otomatik olarak çıkarılmasını askıya alır; İşin işlenmesi gerektiğinde izole edilmiş düşük ayrıcalıklı çalışan süreçlerini ve yeni özel dizinleri kullanın, sembolik bağlantıları, sabit bağlantıları ve cihaz girişlerini işe göre reddedin ve dosya ve sıkıştırmayı açma kaynaklarının sayısını sınırlayın. Bunlar dağıtım önerileridir.

`filter="data"`, genel güvenilmeyen arşivler için tam güven stratejisinden daha uygundur, ancak eski sürümdeki filtrenin kendisi de bu güvenlik açığına sahiptir ve bu parametrenin tek başına eklenmesi güncellemenin yerini alamaz. Filtre ayrıca tam bir dosya sistemi sanal alanı değildir. [S32](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-45)

### 5.4 Ek risk: CVE-2026-114583 (Medium) ve yama yayın durumu

PSF, **2026-10-22**'de, `tarfile.tar_filter`'nin belirli bağlantı adlarını işlemesinin atlanabileceğini, böylece sonraki üyelerin paket açma dizini dışına bir düzeyde yazmalarına olanak tanınabileceğini açıkladı. **Medium**. Resmi düzeltme PR o gün birleştirildi; 23 Ekim 2026 itibarıyla bu taahhüdü içeren hiçbir resmi bakım sürümü onaylanmadı. [S40](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-40)

Bu nedenle:

- Bu öğe Medium olarak ayrı olarak listelenmiştir.
- 21 Ekim'de yayımlanan yorumlayıcı sürümlerinin bu düzeltmeyi içerdiği düşünülemez.
- Güvenilmeyen arşivleri işlemek için hala `filter="tar"` kullanan süreç, sürüm arka raporunu izlemelidir; bu işleme yolunu kısa bir süre için izole edin veya askıya alın. `data`'ye geçiş yaparken ve bağlantıları reddederken, bunun iş gereksinimlerini karşıladığını da onaylamanız gerekir ve filtreyi değiştirmek, koşulsuz bir korumalı alan olarak tanımlanamaz.

### 5.5 GeoDjango: CVE-2026-15307 ve Ekim ayındaki sonraki düzeltmeler

**2026-08-04, Django resmi High.** uzamsal sorgu, belirli dizeleri/sözlükleri dolaylı olarak `GDALRaster`'ye iletir ve sürücü, dosyalar yazabilir veya ağ isteklerini başlatabilir; RCE, belirli yollar ve sonraki yürütme koşulları olduğunda oluşturulabilir. Uzamsal alan modeli görüntüleme izinlerine sahip personel de bu yola yönetici değişiklik listesi aracılığıyla erişebilir. [S38](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-38)

İlk düzeltme, mekansal aramalar tarafından kabul edilen giriş türlerini kısıtlayan **5.2.17 / 6.0.8**'dir. Bu değişiklik, taramayı ifade etmek için dize/sözlük kullanmanın orijinal işini etkileyebilir; güvenilmeyen girdiyi GDALRaster'a sarmak, onu doğrulamak anlamına gelmez. [S38](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-38)

6 Ekim'de **CVE-2026-87890 (Orta)** onarıldı: Bayt cinsinden ifade edilen VRT, harici kaynaklara başvurabilir ve yine de ağ isteklerini tetikler; Aynı gün CVE-2026-15830'nin yuvalanmış geometrisi DoS koruması da güçlendirildi. Son ikisi, yeni yüksek riskli RCE'yi tanımlayacak şekilde yükseltilemez, ancak dağıtım temel çizgisinin **5.2.18 / 6.0.9 / 6.1.2** olması gerektiğini belirtir. [S39](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-39)

Uygulama, API ve yönetim arayüzünün iki giriş noktasını kontrol eder, güvenilmeyen mekansal aramayı, dosya yazma izinlerini ve giden erişimi kısıtlar; Güncellemeden sonra, geçerli mekansal sorguları regresyon testiyle test edin ve yasaklı girişin reddedilmesini sağlayın. GeoDjango kullanmayan sıradan Django uygulamaları bu RCE sonucunu doğrudan uygulamamalıdır.

### 5.6 certifi / pip: Sertifika güveni her kopyayı kapsamalıdır

**GHSA-6q48-6c7w-9gw2, 2026-10-20, Critical, biliniyor CVE listelenmiyor.** Bu, eMudhra ara CA olayının neden olduğu sertifika güvensizliği güncellemesidir. HTTPS'nin kriptografi mekanizması ya da tüm kök sertifikaların kırılmış olması şeklinde özetlenemez. [S36](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-36)

certifi tavsiye belgesi orijinal olarak **2026.10.18**'yi bir yama olarak listeledi; PSF daha sonra etkilenmeyen kök sertifikalarla uyumluluğu korumak için **2026.10.19**'yi açıkça önerdi. Operasyonel taban çizgisi 0,19'dur. [S36](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37)

Ayırt etmek gerekiyor:

| Malzeme konumuna güvenin                                   | Neden ayrıca kontrol etmeniz gerekiyor?                                                      |
| ---------------------------------------------------------- | -------------------------------------------------------------------------------------------- |
| İşletim sistemi CA paketi                                  | Görüntü veya ana bilgisayar için sistem güven malzemesi                                      |
| Venv'de certifi                                            | CA bundle gerçekte uygulamalar veya İstekler vb. tarafından kullanılır.                      |
| pip yerleşik certifi                                       | Harici olarak kurulan certifi'den farklı bir kopyadır                                        |
| uv / Diğer paketleme araçları                              | Aracın kendi güncellemelerini ve güvenilir kaynaklarını takip edin                           |
| Özelleştirilmiş CA dosyaları, paketlenmiş anlık görüntüler | Sistemler veya paketler için varsayılan güvenilen kaynakları geçersiz kılmaya devam edebilir |

Yukarıdaki, farklı paketleme konumlarına dayalı bir kontrol listesidir. PSF, ilgili araçların, mevcut sanal ortamların güncellenmesini ve görüntünün yeniden oluşturulmasını gerektirir; yalnızca CA ana bilgisayarının güncellenmesi veya yorumlayıcının yeniden yüklenmesi tüm kopyaların yenilendiğini kanıtlayamaz. [S35](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37)

Eski pip güvenli önyüklemeden yükseltme yapılırken, PSF, **sabit tekerlek ve SHA-256** komutlarını sağlar; bkz. ek S37. Sertifika sorunlarını atlamak için TLS doğrulamasını kapatmayın veya `--trusted-host` eklemeyin.

## 6. Resmi iyileştirme süreci

Aşağıdaki komutlar onaylanmış güvenilir ortamlar içindir. Yürütme sırasında, çakışan kilit dosyaları oluşturmak amacıyla npm/pnpm/yarn veya pip/uv/Poetry'nin karıştırılmasını önlemek için projenin mevcut paket yöneticisi, kilit dosyası ve dağıtım süreci birleştirilmelidir.

**Önce bir istisnayı ele alın:** Ortamın Bölüm 9'da güvenliği ihlal edilmiş paketi çalıştırdığından şüpheleniyorsanız, önce paketi yalıtın ve temiz bir ortamdan diski, kilit dosyasını ve görüntü kaydını kontrol edin; önce aşağıdaki Python/pip komutunu çalıştırmayın. [S41](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-41)

### 6.1 Gerçek trafiğe karşılık gelebilecek bir defter oluşturun

Her hizmet en azından şunları kaydeder:

- Harici giriş noktası, ters proxy, kaynak siteye doğrudan bağlantı yolu ve arka planda kuyruk/zamanlanmış görevler.
- Gerçek başlangıç komutu, çalışan hesap, ikili yol, işlem veya kapsayıcı kimliği.
- Çalışma zamanı tam sürümü, yayıncı/depo, paket tam sürümü veya görüntü özeti.
- Çerçeve ve geçişli bağımlılıklar, kilit dosyaları, yerel kitaplıklar ve güven deposu yolları.
- Güvenlik açığı durumunun mevcut olup olmadığına, yama hedefine, yeniden başlatma kapsamına, sorumlu kişiye ve doğrulama sonucuna karşılık gelir.

Geliştirme makineleri, CI çalıştırıcıları, derleme kapsayıcıları ve arka plan görevleri de güvenilmeyen içeriğe giden yollara göre kontrol edilmelidir; yalnızca halka açık web kapsayıcısını güncellemeyin.

### 6.2 Node.js: Önce çalışma zamanını belirleyin, ardından uygulama bağımlılıklarını güncelleyin

Gerçek hizmet ortamında kontrol edin:

```bash
node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev
```

`node -p`, hizmetin gerçek yürütülebilir dosyası kullanılarak veya gerçek bir kapsayıcı içinde yürütülmelidir; yeni başlatılan süreçleri kontrol eder ve eski çalışanın değiştirildiğini kendisi kanıtlamaz. Node, orijinal kitaplık sürüm dizesini korurken yamayı yerleşik Brotli'ye ekleyebilir. Bu nedenle, onarılıp onarılmadığını belirlemek için yalnızca `process.versions.brotli`'ye güvenmeyin. Bunu Node güvenlik sürümüyle veya satıcının destek kanıtıyla birleştirmelisiniz. [S2](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-4)

`npm ls` gerçek bağımlılık ağacını görmek için kullanılır; eksik paketler veya eş çakışmaları da sıfırdan farklı çıkış kodları üretebilir, bu nedenle ilgili çıktıyı okumalısınız. `npm audit`, bağımlılık denetimi yardımcısı olarak kullanılır ve Node ikili ve yerel kitaplık denetiminin yerini alamaz.

Aşağıdaki şekilde güncellenebilen Node 24**ortamını yönetmek için**mise'ı kullanın:

```bash
mise use -g node@24.22.1
mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath'
```

`mise use -g` genel sürümü yapılandırır; projenin yerel konfigürasyonunun yine de ayrı olarak kontrol edilmesi gerekiyor. Hizmet, farklı bir hesabın eski mutlak yolunu, kapsayıcı temel görüntüsünü veya ortamını düzelttiyse ilgili yapılandırmanın güncellenmesi ve hizmetin yeniden başlatılması gerekir. Komutun kendisi eski çalışan bir işlemin yerini almaz. [S43](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-43)

Next projesinde seçilen dala göre ilgili komutu yürütün. Next 15 için:

```bash
# Next 15 分支
npm install --save-exact next@15.5.28
```

Next 16 için:

```bash
# Next 16 分支
npm install --save-exact next@16.4.1
```

React/RSC uyumlu bağımlılıkları, kilit dosyalarını ve son keskin örneği kontrol edin ve ardından proje sürecine göre oluşturun. Tekrarlanabilir kurulum için CI'daki güncellenmiş kilit dosyasını kullanın ve oluşturma sonrasında çalışan görüntüdeki sürümü kontrol edin. Bu acil durum için varsayılan çözüm olarak ana sürümlerde kontrolsüz otomatik onarımı kullanmayın.

### 6.3 Java: Yayıncıyı, gerçek JVM'yi ve yerleşik bileşenleri doğrulayın

Ön envanter:

```bash
java -XshowSettings:properties -version
```

Çıktıdaki `java.home`, `java.runtime.version` ve yayıncı, hizmet tarafından fiilen kullanılan JVM ile uyumlu olmalıdır. Ekleme iznine sahip JVM için, JDK'nin `jcmd`'si yalnızca oturum açma kabuğunu değil, hedef süreci kontrol etmek için kullanılabilir.

Güvenilir projelerdeki bağımlılıkları kontrol edin ve gerçek derleme araçlarına göre seçim yapın:

```bash
./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath
```

Bu derleme komutları, eklentileri çalıştırabilir ve bağımlılıkları çevrimiçi olarak çözebilir ve yalnızca güvenilir projelerde çalışabilir. Görüntüdeki son JAR/WAR'ı veya gerçek JAR'ı kontrol edin ve son yapı yerine derleme dosyası bildirimlerini kullanmayın. Spring Önyükleme yerleşik Tomcat, uygulamanın yeniden oluşturulmasını gerektirir; Sistemdeki ayrı bir Tomcat kurulumunun güncellenmesi, uygulama paketindeki kopyayı değiştirmeyecektir.

Çalışma zamanı güncellendikten sonra, özelleştirilmiş `javax.net.ssl.trustStore`'yi, uygulamanın kendi kendine yüklediği KeyStore'u, jlink çalışma zamanını, GraalVM/yerel görüntüyü ve diğer teslimat formlarını öğeye göre kontrol edin. Zaten özelleştirilmiş güven materyallerine sahip olan uygulamalar, JDK dizini yeni olduğu için kontrolü sonlandıramaz.

### 6.4 Python: Tercüman bazında tercüman ve sanal ortam işleme

Güvenilir olduğu onaylanan gerçek venv/konteyner içinde:

```bash
python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check
```

Bu komut dosyası yalnızca bilgi toplar ve sürüm niteliği belirleme işlemini gerçekleştirmez. `ssl.get_default_verify_paths()`, varsayılan yol bilgisidir ve tüm üçüncü taraf istemcilerin aynı güven deposunu kullandığını kanıtlayamaz; uygulama yapılandırmasına göre onaylanmalıdır.

S37 ekinin güvenilir pip önyükleme yükseltmesini tamamladıktan sonra, sertifika bağımlılıklarını proje kısıtlamalarına göre güncelleyin, örneğin:

```bash
python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check
```

Projenin gereksinimler/kilit dosyasının da aynı anda güncellenmesi gerekir, aksi takdirde bir sonraki dağıtım eski sürüme dönebilir. uv, Şiir veya kurumsal paket deposunu kullanırken mevcut kilitleme ve yayınlama süreçlerini kullanın; Yalnızca bir üretim kapsayıcısının içindeki paketleri manuel olarak değiştirmeyin.

Projenin mevcut `pip-audit` iş akışı, güvenilir bir ortamda bilinen bağımlılık güvenlik açıklarını kontrol etmek için kullanılabilir; kötü amaçlı bir kod tarayıcısı değildir ve tüm yorumlayıcı, sistem kitaplığı ve güven deposu risklerini kapsamaz. [S44](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-44)

**`/usr/bin/python3` sisteminin yeni bir derlenmiş sürümü işaret etmeye zorlanması önerilmez.** Python sistemine dayanan yönetim araçlarının bozulmasından kaçınmak için yayın güvenliği güncellemelerini veya proje izolasyon çalışma zamanlarını kullanın. Bu bir uygulama tercihidir ve bu güvenlik açığına yönelik ek bir düzeltme gereksinimi değildir.

### 6.5 Çalışan örneği yeniden oluşturun ve değiştirin

Tam bir değişiklik olarak aşağıdaki adımların atılması önerilir:

1. Yamayı orijinal güvenilir kaynaktan alın ve sürüm/karma ve bağımlılık kilidini kaydedin.
2. Üretime yakın bir ortamda temel işlevleri döndürün ve yerel uzantıların JVM/framework ile uyumlu olduğunu doğrulayın.
3. Çalışma zamanını, uygulama bağımlılıklarını ve gerçek güven deposunu güncelleyin; kapsayıcı için temel görüntüyü ve sistem CA'yi yenileyin; yalnızca eski katmanı yeniden kullanmayın.
4. Uygulamaları ve görüntüleri yeniden oluşturun ve hizmet, çalışan, kuyruk tüketicisi ve zamanlanmış görev örneklerini sürekli olarak değiştirin.
5. Yeni çalışan örnekteki sürümü ve yapılandırmayı yeniden kontrol edin ve tüm eski kopyalardan çıkıldığını doğrulayın.
6. Hata oranlarını, gecikmeyi, CPU/belleği, TLS el sıkışma hatalarını ve işlem çökmelerini gözlemleyin.

Geri alma, güvenli çalışma zamanını ve yama bağımlılıklarını korumaya ve uygulama yapılandırmasını veya iş değişikliklerini geri almaya öncelik vermelidir. Güvenlik açıkları bulunan eski bir ürüne geri dönmek zorunda kalırsanız, ilgili giriş kısıtlamaları eş zamanlı olarak geri getirilmeli, sorumlu kişi ve minimum iyileşme süresi açıkça tanımlanmalıdır.

## 7. Geçici Azaltma ve Yama Seçimi

### 7.1 Geçici önlemlerin kapsam sınırı

Aşağıda açıklanan kullanım koşullarına göre uygulama önerileri yer almaktadır. Resmi plan belirtilmediği sürece satıcı tüm varyantların tamamen bloke edilebileceğini garanti etmez.

| risk                             | Alınabilecek geçici önlemler                                                                                                        | Buna göre tamamlanmış sayılmayacak kısım                                                                                                                                                                                                                                                                                                                      |
| -------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Brotli kod çözme                 | Güvenilmeyen giriş kod çözmeyi durdurun; gelen ve giden otomatik dekompresyonu kontrol edin                                         | Gelen WAF veya yanıt sıkıştırmasının kapatılması, [S3](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-3) kod çözme girişlerinin tamamını kapsamaz                                                                                                                                                                       |
| Next.js typed arrays RCE         | Hemen yükseltin; gerekirse etkilenen hizmetleri geçici olarak izole edin                                                            | [S9](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-9) resmi, güvenilir ve evrensel bir geçici çözüm yoktur.                                                                                                                                                                                                            |
| Next.js SVG RCE                  | Resmi plan: Gerçek keskinliğin ≥0.35.5 olmasını sağlayın; İşletme izin verdiğinde ilgili optimizasyon giriş noktalarını askıya alın | Diğer Next/RSC [S11](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-11) sorunlarını kapsamaz                                                                                                                                                                                                                            |
| Tomcat Bölgesi / HTTP/2 / AJP    | İlgili yolu ayırın ve gereksiz bağlayıcıları kapatın                                                                                | Yine de ilgili şube onarım paketine ihtiyacınız var [S21](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-23)                |
| GraphQL Seri durumdan çıkarma    | Etkilenen Bağlantı alanlarını askıya alın; güvenilmeyen arayanları kısıtla                                                          | Yalnızca istek uzunluğu sınırı, tür/seri durumdan çıkarma sorununu çözemez [S25](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-25)                                                                                                                                                                                     |
| Spring embedded LDAP             | Gerekmediğinde devre dışı bırakın; gerçek dinleme bağlantı noktasının erişimini sınırlayın                                          | Varsayılan yönetici kimliğinin ve dizin bütünlüğünün yine de kontrol edilmesi gerekiyor [S27](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-27)                                                                                                                                                                        |
| CPython SNI UAF                  | Resmi plan: İlgili SSLContext güçlü referansını hizmetin sonuna kadar saklayın                                                      | Tüm oluşturma/geçiş yolları kapsanmalıdır [S29](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-29)                                                                                                                                                                                                                      |
| Python ana bilgisayar adı atlama | Resmi çözüm: Beklenen sunucu\_ana bilgisayar adını doğru şekilde iletin                                                             | Sadece check\_hostname bayrağı kontrol edilemiyor veya [S30](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-31) uyarısı göz ardı edilemiyor                                                                               |
| Güvenilmez katran                | Çıkartmayı devre dışı bırakın/karantinaya alın, gerekli olmayan bağlantıları ve cihaz girişlerini reddedin                          | Ne filtreler ne de kaynak kotaları evrensel sanal alanlar değildir [S32](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-45) |
| Sertifika güven olayı            | Doğru CA materyalini güncelleyin; Java güveni resmi azaltım kurallarına göre kısıtlanabilir                                         | TLS doğrulamasının devre dışı bırakılması riski artırır [S19](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37)                                                                                                          |

### 7.2 Teslimat yöntemine göre yamayı seçin

| Teslimat yöntemi                              | Onarım yöntemlerine öncelik verin                                                                 | Saklanması gereken deliller                                                        |
| --------------------------------------------- | ------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------- |
| Dağıtım tarafından yönetilen çalışma zamanı   | Üreticinin ilgili güvenlik güncellemeleri                                                         | Tam paket sürümü, duyuru, veri havuzu kaynağı                                      |
| Resmi İkili Program/Çalışma Zamanı Yöneticisi | Aynı şubeden resmi güvenlik açıklaması                                                            | Sürüm, kaynak ve özet, gerçek yürütme yolu                                         |
| Kendi kendine derlenen Node / CPython         | Eşleşen şubenin resmi kaynak sürümü veya satıcının tam yama seti                                  | Kaydetme kümesi, derleme parametreleri, bağımlı kitaplıklar ve regresyon sonuçları |
| Spring / Next / Django                        | Şube içi güncellemeler, bağımlılık kilitlerinin yeniden oluşturulması ve son uygulamalarla uyumlu | Son bağımlılık ağacı, JAR/paket/görüntüdeki gerçek sürüm                           |
| Özel güven mağazası                           | Geri çekilmeyi onaylayan resmi para çekme planı veya satıcı güncellemesi                          | Gerçek kullanım yolu, malzeme değişikliği, TLS başarı ve ret testleri              |
| Tehlikeli bir ortam                           | Temiz ve güvenilir ürünlerden yeniden oluşturun ve ayrı olay incelemesi yapın                     | Tarihsel paket/görüntü özeti, kurulum kaydı, kimlik bilgisi rotasyon kaydı         |

### 7.3 Anahtar yama mekanizması ve inceleme odağı

- **Brotli:**, yapıya girmeden önce yerel kod çözme durumunun sınır kontrolünün ve hata dönüşünün tamamlanıp tamamlanmadığına dikkat eder; yalnızca JavaScript paketini değiştirmek, statik olarak Node olarak derlenen kodu değiştiremez. [S4](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-4)
- **Node DNS/TLS:**, giriş reddi, adres normalleştirme, IP SAN ve DNS kimlikleri arasındaki ayrım ve DNS geri arama/Söz konusuna odaklanır. ayrıştırma yolu ve TLS ana bilgisayar adı eşleşme testi. [S5](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-6)
- **Tomcat JNDIRealm:**, yalnızca bir dizin bağlamı elde etmek yerine kimlik doğrulama işleminin gerçekten kimlik bilgilerini doğrulayıp doğrulamadığına odaklanır; Resmi sürüme öncelik vermek ve tek bir kaynak dosya değişimini tam bir ikili yama olarak ele almamak. [S24](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-24)
- **CPython ssl:**, Python referans sahipliğine ve temel SSLContext'nin yaşam döngüsüne odaklanır; `wrap_bio()`, şube uyumluluğu farklılıklarına sahipken desteklenir ve kullanılan dalın gerçek uygulamasını okumalısınız. [S31](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-47)
- **Sertifika güvensizliği:** Bu tür güncellemeler, bariz API değişiklikleri yerine güvenilir malzeme veya reddedilenler listesi değişiklikleri olarak görünebilir. Aynı Node serisi aynı zamanda etkilenen ara ürün CA'nin reddetme mekanizmasını da içerir; Java ve Python'nin ilgili güven kaynaklarının yine de ayrı ayrı doğrulanması gerekir. [S19](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-46)

\*\*Bağımsız Brotli bağlama da kontrol edilmelidir.\*\*Google yukarı akış, düzeltmek için aynı gün **1.0.10 / 1.1.1 / 1.2.1**'yi yayınladı CVE-2026-111497. Aynı etkilenen C uygulamasını içeren Python yerel uzantıların veya JNI yapıtlarının bağımsız olarak güncellenmesi/yeniden oluşturulması gerekir; bundan tüm saf Java kod çözücülerin etkilendiği sonucu çıkarılamaz veya Node yükseltmesinin otomatik olarak diğer dillerdeki kopyaların yerini alacağı varsayılamaz. [S42](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-42)

## 8. Doğrulama ve takip kontrolleri

### 8.1 Minimum doğrulama kontrol listesi

| Öğeleri kontrol et               | Kanıt gerekli                                                                                                                                                                                                                                                                       |
| -------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| çalışma zamanı                   | Gerçek süreçte/konteynerde doğru olan tam sürüm veya satıcı destek kanıtı                                                                                                                                                                                                           |
| uygulama bağımlılıkları          | Next/RSC/sharp, Tomcat/Spring ve Django/certifi son dağıtım ürünlerinde ilgili eşiğe ulaştı                                                                                                                                                                                         |
| Değiştirme aralığı               | Tüm işçi/JVM/konteyner kopyaları ve arka plan görevleri yenileriyle değiştirildi ve eski örneklerden çıkıldı.                                                                                                                                                                       |
| TLS                              | Geçerli etki alanı sertifikaları başarılıdır; eşleşmeyen ana bilgisayar adları ve geçersiz zincirler politikaya göre başarısız oluyor; özel güven mağazaları dahildir                                                                                                               |
| eMudhra güvensizlik              | Etkilenen ara ürün CA tarafından oluşturulan sertifika zinciri, gerçek çalışma süresi sırasında reddedildi veya belirli satıcının güvenlik yapısının/ilgili ret listesinin dağıtıldığına dair kanıt var; kasa genel TLS testine veya Java 8 kısa sürüm numarasına göre kapatılamaz. |
| Node kod çözme ve görüntüler     | Normal sıkıştırılmış yanıt, yükleme, görüntü optimizasyonu ve RSC işlevleri mevcuttur; güvenilmeyen kaynak politikası yürürlükte                                                                                                                                                    |
| Java Kimlik Doğrulama ve Yalıtım | Yanlış şifre reddedildi; kimlik/yanıt karışımı olmadan bağımsız kullanıcı eş zamanlı asenkron istekler; LDAP beklendiği gibi dinliyor                                                                                                                                               |
| Python SNI / Arşiv               | Normal çoklu alan adı TLS işi stabildir; arşivleme, yol geçişini ve izin verilmeyen bağlantıları reddeder ve dizin dışındaki dosyalar değiştirilmez                                                                                                                                 |
| Veri ve fonksiyonel regresyon    | Sayfalama, konumsal sorgulama, izin kontrolü ve arka plan görevleri projenin mevcut testlerini geçti                                                                                                                                                                                |
| Kaynaklar ve Gözlemler           | CPU, bellek, hata oranı, gecikme ve TLS hatalarında anormal bir artış yoktur.                                                                                                                                                                                                       |
| İzlenebilirlik                   | Yükseltme süresinden, paket/görüntü özetinden, yapılandırma değişikliklerinden, doğrulama sonuçlarından ve çözümlenmemiş öğelerden tasarruf edin                                                                                                                                    |

Bunlar uygulama kabul önerileridir ve her CVE için bir saldırı komut dosyasının üretilmesini gerektirmez. Kilitlenmeleri, kaynak tükenmesini ve arşiv sınırlarının dışına çıkmayı içeren doğrulama, yukarı akış regresyon testini veya izole bir ortamda proje kontrollü test verilerini kullanmalıdır.

### 8.2 Yama uygulama ve izinsiz giriş incelemesi farklı görevlerdir

Olağandışı kod çözme hataları, çalışan/JVM çökmeleri, şüpheli dosya yazma işlemleri, dizin verileri değişiklikleri, kimlik doğrulama istisnaları, giden istekler ve kimlik bilgisi kullanım kayıtları için mevcut günlükleri kontrol edin. Bu işaretlerin bağlam içinde değerlendirilmesi gerekir: bir kaza veya OOM, başarılı bir kullanımın kanıtı değildir; uyarıların olmaması sistemin etkilenmediğini kanıtlamaz.

Yetkisiz değişiklikler, güvenliği ihlal edilmiş kimlik bilgileri veya onaylanmış kötü amaçlı bağımlılıklar keşfedildiğinde, kanıtlar korunmalı, ilgili örnekler izole edilmeli, etkilenen kimlik bilgileri güvenilir bir ortamdan değiştirilmeli ve sistem yeniden oluşturulmalıdır. Yama, saldırganın ele geçirdiği jetonları iptal etmeyecek veya değiştirilen verileri geri yüklemeyecektir.

## 9. Tedarik zinciri güvenliği olayı: LiteLLM 1.107.0 uzlaşması

\*\*Resmi onay tarihi: 2026-10-21.\*\*LiteLLM, sürüm hattının tehlikeye atıldığını bildirdi. PyPI'nin **litellm==1.107.0** ve aynı döneme ait bazı Docker/GHCR ürünleri gizli çalma ve uzaktan kontrol amaçlı kötü amaçlı kod içeriyordu ve ilgili ürünler geri çekildi. [S41](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-41)

Etkiyi belirlemek için geçmiş kurulum kayıtlarını ve görsel özetini kontrol etmelisiniz; `latest`, `main-latest` ve `main-stable` gibi etiketler artık temiz görüntülere işaret ediyor; bu da olay anında çekilen ürünlerin temiz olduğunu kanıtlamıyor. O zamanki resmi öneri **1.106.2**'yi geçici olarak sabitlemekti; bu öneri bu olaya dayanmaktadır ve dağıtım sırasında diğer güvenlik duyurularının hâlâ kontrol edilmesi gerekmektedir. [S41](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-41)

İlgili ürünlerin kurulduğu veya çalıştırıldığı ortamlar için:

1. Kurulum kayıtlarını, görüntüleri ve günlükleri izole edip koruyun ve bunları temiz bir ortamda inceleyin.
2. **Python/pip**'yi öncelikle şüpheli bir ortamda başlatmayın; kötü amaçlı `.pth` / `sitecustomize.py`, başlatma sonrasında yeniden yürütülebilir.
3. Güvenilir kaynaklardan ana bilgisayarları, venv'leri/konteynerleri yeniden oluşturun; paketleri kaldıramaz veya düşüremez.
4. Gerçek erişilebilirliğe göre bulut kimlik bilgilerini, LLM sağlayıcı anahtarlarını, LiteLLM anahtarlarını ve veritabanı kimlik bilgilerini iptal edin/döndürün ve anormal kullanımı inceleyin. [S41](https://keendigit.com/tr/insights/node-java-python-security-remediation-guide#source-41)

Bu, onaylanmış bir tedarik zinciri olayıdır ve bu durumla uğraşırken kötü amaçlı kod yürütme, kimlik bilgisi sızıntısı ve kalıcılık risklerinin dikkate alınmasını gerektirir. 23 Ekim 2026 itibarıyla yetkililer hâlâ ilk izinsiz girişi araştırıyordu.

## Ek: Alıntılanan kaynaklar ve bağlantılar

Aşağıdaki kaynak doğrulama tarihi, projenin resmi güvenlik duyurusu, resmi kod deposu ve satıcı talimatlarını içeren **2026-10-23**'dir. \[Sx] ana metni bu eke karşılık gelir; Güncellemeleri yaparken tedarikçinin daha sonraki revizyonları yayınlayıp yayınlamadığını kontrol etmelisiniz.

### S1 — Node.js: 2026-10-21 Güvenlik Bildirimi

- Amaç: Şubeleri etkileyen dört çalışma zamanı High, Ekim ayı güvenlik sürümü.
- Kaynak: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)

### S2 — Node.js: Üç bakım hattı için resmi sürüm talimatları

- Amaç: 22.23.4, 24.22.1, 26.12.1 ve gerçek birleştirilmiş yamaları kontrol edin.
- Kaynak: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/)
- Kaynak: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/)
- Kaynak: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/)

### S3 — Vercel: Node.js Brotli RCE güvenlik danışmanlığı

- Amaç: Gelen/giden kod çözme koşulları, WAF kapsama sınırı, Node 20 durumu.
- Kaynak: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory)

### S4 — Node.js: Brotli resmi yama gönderimi

- Amaç: Yerel kod çözme denetimi ve hata yayılımının uygulama temeli.
- Kaynak: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a)

### S5 — Node.js: TLS adres normalleştirme yaması

- Amaç: Tam genişlikli numaraların ve standart dışı IP'nin sertifika kimliğinin doğrulanması.
- Kaynak: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342)
- Kaynak: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2)

### S6 — Node.js: DNS NUL doğrulama yaması

- Amaç: Giriş reddi ve regresyon kapsamı.
- Kaynak: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc)

### S7 — Node.js: 2026-07-29 Güvenlik Bildirimi

- Amaç: HTTP/2 bellek tükenmesi, UAF ve izin modeli güvenlik açıkları.
- Kaynak: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases)

### S8 — Next.js: 2026-10-14 güvenlik güncellemesi

- Amaç: Yükseltme temel çizgisini ve üç temel riski birleştirin.
- Kaynak: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026)

### Kaynak: S9 — Next.js：typed arrays / use cache RCE

- Amaç: GHSA-673q-mjm6-r5xr; aralığı, koşulu, puanı ve geçici çözüm durumunu etkiler.
- Kaynak: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr)

### Kaynak: S10 — React：React Server Components RCE

- Amaç: GHSA-xqc2-xf4c-x3h3; Üç RSC paketinin etkilenen ve düzeltilen sürümleri.
- Kaynak: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3)

### Kaynak: S11 — Next.js：SVG Image Optimization RCE

- Amaç: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, keskin ve orijinal sürüm sınırları.
- Kaynak: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw)

### Kaynak: S12 — Next.js：Server Actions DoS

- Amaç: GHSA-p3m5-59mp-jv5r; koşulları, versiyonları ve derecelendirmeleri etkiler.
- Kaynak: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r)

### S13 — Next.js: AVIF Görüntü optimizasyonu RCE

- Amaç: 2026-08-25, GHSA-2xp9-vwfh-vxw4.
- Kaynak: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4)

### Kaynak: S14 — Next.js：Windows RCE

- Amaç: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36.
- Kaynak: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36)

### Kaynak: S15 — Next.js：next/og ImageResponse RCE

- Amaç: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Node ve Edge arasındaki fark.
- Kaynak: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j)
- Kaynak: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026)

### Kaynak: S16 — Oracle: October 2026 CPU

- Amaç: Java SE risk matrisi, yama miktarı ve geçerli koşullar.
- Kaynak: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html)
- Kaynak: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm)

### S17 — Oracle: CVE-2026-91403 bant dışı alarmı

- Amaç: 2026-10-21, JSSE sertifikası güven riski, etkilenen ürünler ve CVSS 3.1 9.1.
- Kaynak: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html)

### S18 — Oracle: JDK resmi sürüm ve indirme

- Amaç: 20 Ekim'deki CPU ile 21 Ekim'deki bant dışı sürüm arasında ayrım yapın; Java 8'nin kısa versiyonunun sınırlamalarını ayırt edin.
- Kaynak: [JDK release list](https://ops.java/releases/)
- Kaynak: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/)

### S19 — Oracle: eMudhra geçici para çekme planı

- Amaç: Güncelleme: 2026-10-22; iki kök sertifika, anahtar aracı, özel güven deposu ve iptal denetimi.
- Kaynak: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra)

### S20 — Eclipse Adoptium: Sürüm oluşturma kaydı

- Amaç: Temurin, sertifika olayı nedeniyle yeniden paketlendi; Oracle sürüm son eki mekanik olarak uygulanamaz.
- Kaynak: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards)

### S21 — Apache Tomcat 9 Güvenlik Bildirimi

- Amaç: 9.0.123 düzeltmesi ile 9 dallı tam etkilenen aralık.
- Kaynak: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html)

### S22 — Apache Tomcat 10 Güvenlik Bildirimi

- Amaç: 10.1 dallanma hassas aralığı ve 10.1.61 onarımı; 10.0 EOL.
- Kaynak: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html)

### S23 — Apache Tomcat 11 Güvenlik Bildirimi

- Amaç: Üç öğe Important, 11.0.27, AJP geçerli kapsam ve açıklama/yayın tarihi.
- Kaynak: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html)

### S24 — Apache Tomcat: JNDIRealm yama işlemi

- Amaç: Sertifikasyon doğrulama boşluklarının onarılmasının resmi temeli.
- Kaynak: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1)

### Kaynak: S25 — Spring：GraphQL CVE-2026-59285

- Amaç: 2026-08-20, Gerekli, 2.0.5 OSS / 2.0.4.1 Ticari Onarım.
- Kaynak: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/)

### Kaynak: S26 — Spring：GraphQL CVE-2026-41699

- Amaç: Neden eski taban çizgisinde kalamayacağınızı açıklamak için daha erken bir düzeltme eşiği.
- Kaynak: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/)

### Kaynak: S27 — Spring Security：CVE-2026-59270

- Amaç: UnboundID LDAP'yi, bilinen yönetim kimliğini ekleyin ve OSS/ticari sürümü ayırt edin.
- Kaynak: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/)

### Kaynak: S28 — Spring Security：CVE-2026-47841

- Amaç: WebAuthn kullanıcı kimlik doğrulaması, oturum serileştirmesi ve saldırı öncülü.
- Kaynak: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/)

### S29 — PSF: CVE-2026-19445 Bağımsız Güvenlik Danışmanlığı

- Amaç: 2026-09-30, Critical, SNI SSLContext tarafından belirtilen koşullar ve geçici önlemler.
- Kaynak: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/)

### S30 — PSF: CVE-2026-19553 Bağımsız Güvenlik Danışmanlığı

- Amaç: 2026-09-30, High, eksik ana bilgisayar adı ve açık parametre azaltma.
- Kaynak: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/)

### S31 — CPython: Wrap\_bio resmi yaması ve 3.12 desteği

- Amaç: 3.10—3.12 uyarı uyumluluk ilkesi, None ile boş dize arasındaki fark.
- Kaynak: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503)
- Kaynak: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513)
- Kaynak: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511)

### S32 — PSF: CVE-2026-82049 Bağımsız Güvenlik Danışmanlığı

- Amaç: 2026-09-14, High, bağlantı kombinasyonu, meta veri değişikliği ve içerik gösterimi.
- Kaynak: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/)

### S33 — CPython: Eylül sonu/Ekim başındaki resmi güvenlik sürümü

- Amaç: Minimum düzeltme sürümü, kaynak kodu dağıtım yöntemi ve tar dosyasına özgü sorunlar için 3.14 muafiyeti.
- Kaynak: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/)
- Kaynak: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/)
- Kaynak: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/)
- Kaynak: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/)
- Kaynak: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/)

### S34 — CPython: 3.10 son güvenli sürüm

- Amaç: 3.10.22 ve yukarı akış yaşam döngüsünün sonu.
- Kaynak: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/)

### S35 — CPython: 2026-10-21 acil bakım sürümü

- Amaç: 3.13.17 / 3.14.9 / 3.15.1, yerleşik pip ve certifi güncellemeleri, mevcut venv gereksinimleri.
- Kaynak: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/)
- Kaynak: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/)
- Kaynak: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/)

### S36 — certifi: emSign sertifikası güvensizliği duyurusu

- Amaç: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, bilinen CVE yok.
- Kaynak: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2)

### S37 — PSF: eMudhra / emSign'nin Python kullanıcıları üzerindeki etkisi

- Amaç: certifi .19 önerisi, pip/uv temeli, SHA-256 ile güvenilir önyükleme yükseltme komutu.
- Kaynak: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)

pip tarafından belirtilen resmi talimatlar tarafından sağlanan önyükleme yükseltme komutu S37 aşağıdaki gibidir. Yalnızca Python güvenilir olduğu onaylanmış ortamlar; Bölüm 9'da zehirlenme şüphesi varsa öncelikle olay sürecine göre izole edin ve yeniden inşa edin. Tekerlek içeriği karmasını düzeltir ve ardından diğer bağımlılıkları proje sürecine göre günceller.

```bash
python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"
```

### S38 — Django: 2026-08-04 güvenli sürüm

- Kullanım: CVE-2026-15307, GeoDjango Kullanım koşulları, ilk düzeltmeler ve uyumluluk değişiklikleri.
- Kaynak: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/)

### S39 — Django: 2026-10-06 güvenli sürüm

- Amaç: CVE-2026-87890, mevcut seçili taban çizgisiyle DoS geometrisi sonraki takviye.
- Kaynak: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/)

### S40 — PSF / CPython: En son tar\_filter yan notu

- Amaç: 2026-10-22, CVE-2026-114583 (Medium); PR birleşmesi, resmi bakım sürümünün yayınlandığı anlamına gelmez.
- Kaynak: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/)
- Kaynak: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098)

### S41 — LiteLLM: Resmi Tedarik Zinciri Olay Raporu, 21 Ekim

- Amaç: 1.107.0 kirlenmiş ürün, tarihsel özet, izolasyonun yeniden yapılandırılması ve kimlik bilgilerinin imhası.
- Kaynak: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026)

### S42 — Google Brotli: resmi güvenli sürüm

- Amaç: Bağımsız Brotli 1.0.10 / 1.1.1 / 1.2.1 ve diller arası gömülü kopya doğrulama temeli.
- Kaynak: [Brotli releases](https://github.com/google/brotli/releases)

### S43 — mise: komutun resmi belgelerini kullanın

- Amaç: Genel konfigürasyonun araç sürümünü ve komut semantiğini belirtin.
- Kaynak: [mise use](https://mise.jdx.dev/cli/use.html)

### S44 — PyPA: pip-denetim resmi projesi

- Amaç: Python Bağımlılık güvenlik açığı denetiminin amacı ve yetenek sınırları.
- Kaynak: [pip-audit](https://github.com/pypa/pip-audit)

### S45 — Python: tarfile çıkarma filtresi belgesi

- Amaç: veri stratejisi, varsayılan davranış değişiklikleri ve korumalı alanın yerini alamayacak kısıtlamalar.
- Kaynak: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters)

### S46 — Node.js: Orta düzey CA reddetme mekanizması

- Amaç: eMudhra ile ilgili bu güven zinciri işlemi, tüm kök sertifikaların kriptografik olarak geçersiz kılınmasına eşdeğer değildir.
- Kaynak: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871)

### S47 — CPython: SNI UAF teknik notlar ve düzeltmeler

- Amaç: referans yaşam döngüsü, özel yapım koşulları ve şube geri takibi.
- Kaynak: [official issue #156293](https://github.com/python/cpython/issues/156293)
- Kaynak: [official patch PR #158504](https://github.com/python/cpython/pull/158504)
- Kaynak: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514)

## Güvenlik bakım danışmanlığı

Sertifika güveni değişikliklerinin sistemlerinizi nasıl etkileyeceğinden emin değil misiniz? Etkilenen istemcilerin değerlendirilmesine ve güvenlik güncellemelerinin planlanmasına yardımcı olabiliriz.

[Güvenlik güncellemelerini tartışın](<https://keendigit.com/tr/contact?service=security-remediation#form>)

[Orijinal sayfa](<https://keendigit.com/tr/insights/node-java-python-security-remediation-guide>) · [İçerik dizini](<https://keendigit.com/tr/llms.txt>)

KeenDigit LLC · Wyoming Dosyalama Kimliği: 2026-002106155

[Wyoming Dışişleri Bakanı ile doğrulayın](<https://wyobiz.wyo.gov/Business/filingSearch.aspx>)

© 2026 KeenDigit LLC · Sheridan, Wyoming, ABD · Tüm hakları saklıdır.