Selamlar,
Oracle, Ekim 2026 Critical Patch Update'ini (CPU) yayımladı. Bu çeyreklik toplu yama, onlarca ürün genelinde 1.295 yeni düzeltme getiriyor. SecurityWeek'in Tenable analizine dayandırdığı habere göre bunlar 1.209 benzersiz CVE'yi kapsıyor ve 95'i kritik seviyede. Bu kadar geniş bir yama setinde "neyi önce yamalamalı" sorusu kritik hale geliyor. Burada dağılımı ve önceliklendirme mantığını ele alıyorum.
Konuda anlatılacaklar
- Rakamlarla CPU
- En çok yama alan ürünler
- eMudhra için ayrı Java uyarısı
- Yama önceliklendirme mantığı
- Sonraki tarihler
1. Rakamlarla CPU
Kod:
Toplam yeni yama : 1.295
Benzersiz CVE : 1.209
Kritik : 952. En çok yama alan ürünler
Kod:
Fusion Middleware : 206 (134'ü kimlik doğrulamasız uzaktan sömürülebilir)
E-Business Suite : 194
Siebel CRM : 122
Communications : 110
PeopleSoft : 109
JD Edwards : 102
MySQL : 98
Java SE : 553. eMudhra için ayrı Java uyarısı
Oracle, CPU'dan bir gün sonra Java'nın (ve Oracle'ın) eMudhra zayıf anahtar olayına yanıtını içeren CVE-2026-91403 için ayrı bir uyarı ve güvenlik alarmı yayımladı. eMudhra olayını daha önce forumda ele almıştık; CI ve Java trust store'larınızın güncel olmasına dikkat edin.
4. Yama önceliklendirme mantığı
1.295 yamayı aynı anda uygulamak çoğu kurum için imkansız. Pratik bir sıralama:
- İnternete dönük + kimlik doğrulamasız + kritik olanlar önce. Fusion Middleware'deki 134 CVE bu kategoride.
- CVSS yanında EPSS'e bakın. Sömürü olasılığı yüksek olanları öne alın.
- Veri kritikliğine göre veritabanı (MySQL) ve kimlik sistemlerini önceliklendirin.
- Varlık envanterinizle eşleşen CVE'leri filtreleyin; kullanmadığınız ürünlerin yamalarını sona bırakın.
Kod:
curl -s "https://api.first.org/data/v1/epss?cve=CVE-XXXX,CVE-YYYY" | python3 -m json.tool5. Sonraki tarihler
Oracle, 17 Kasım ve 15 Aralık'ta Critical Security Patch Update (CSPU) yayınlayacak; bunlar her ayın üçüncü Salısı çıkıyor. Bir sonraki çeyreklik CPU ise 19 Ocak 2027'de.
Sonuç
Dev CPU'larda asıl mesele yama sayısı değil, doğru sıralama. Varlık envanteri, maruziyet ve EPSS üçlüsüne bakarak kritik birkaç yüz yamayı öne alan ekipler, kaynaklarını en iyi kullanır. Siz Oracle yamalarını hangi ölçüte göre sıralıyorsunuz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar