Siber Güvenlik Başkanlığı (SGB), Oracle'ın 20 Ekim 2026'da yayımladığı Ekim 2026 toplu güvenlik güncellemesi (Critical Patch Update) için TR-26-1365 numaralı bildirimi 21 Ekim 2026'da yayımladı. Oracle bu güncellemede 1295 yeni güvenlik yaması çıkardı. Kapatılan açıklardan altısı CVSS ölçeğinde en yüksek puan olan 10,0'ı aldı. Açıkların şu ana kadar gerçek saldırılarda kullanıldığına dair bir bilgi bulunmuyor. SGB bildiriminde 893 CVE kodu listeleniyor. Oracle'ın risk tablolarına göre 590 yama, kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilecek açıkları kapatıyor.
10,0 puan alan açıklar
- E-Business Suite Workflow Notification Mailer bileşenindeki CVE-2026-101809 (12.2.3–12.2.15 sürümleri, HTTP üzerinden).
- Oracle Access Manager Authentication Engine bileşenindeki CVE-2026-87337 (12.2.1.4.0 ve 14.1.2.1.0 sürümleri, HTTP üzerinden).
- Oracle SOA Suite bünyesindeki CVE-2026-91231, CVE-2026-91216 ve CVE-2026-91221 (12.2.1.4.0 ve 14.1.2.0.0 sürümleri, HTTP ile T3/IIOP protokolleri üzerinden).
- JD Edwards EnterpriseOne Orchestrator bileşenindeki CVE-2026-91299 (9.2.0.0–9.2.26.5 sürümleri, HTTP üzerinden).
Listelenen bu açıkların tamamı kimlik doğrulaması gerekmeden uzaktan istismar edilebiliyor.
Yaygın ürünlerde durum
Oracle WebLogic Server için iki adet 9,8 puanlı açık kapatıldı. Bunlar HTTP protokolünü etkileyen CVE-2026-91323 ile T3/IIOP protokollerini etkileyen CVE-2026-83399 oldu. Etkilenen sürümler 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 ve 15.1.1.0.0 olarak açıklandı. CISA, Ağustos 2026'da kimlik doğrulaması gerektirmeyen bir WebLogic açığını aktif sömürü listesine almıştı.
E-Business Suite ailesi 194 yama aldı. Oracle Database Server toplam 14 yama aldı; en yüksek risk puanı 9,8 ile gömülü OpenSSL bileşenindeki CVE-2026-75803 açığına ait. MySQL tarafında 98 yama yayımlandı ve en yüksek puanlı açıklar gömülü curl ile OpenSSL bileşenlerinden kaynaklandı. Java SE 55 yama aldı; buradaki en yüksek puan 7,5. VirtualBox için 6 yama çıktı.
Oracle'ın bu güncellemede teşekkür ettiği araştırmacılar arasında Ankara merkezli siber güvenlik şirketi Secunnix'ten Safa S. Karakuş da var. Karakuş'un bildirdiği CVE-2026-87413, Oracle Solaris 11.4'ün dosya sistemi bileşeninde bulunuyor ve 5,5 puan aldı. Açık, sisteme oturum açabilen düşük yetkili bir saldırganın Solaris'i kilitlemesine ya da çökertmesine yol açabiliyor.
Oracle, danışmasındaki genel uyarıda daha önce yamaladığı açıklara yönelik istismar girişimleriyle ilgili rapor almaya devam ettiğini, bazı saldırıların yamalar uygulanmadığı için başarılı olduğunu yazdı. Bu uyarı Ekim güncellemesindeki açıklara özel değil. Yamalar yalnız Premier Support ya da Extended Support kapsamındaki sürümler için çıkıyor; Oracle, destek dışındaki eski sürümlerin de büyük olasılıkla etkilendiğini belirtiyor.
Kim ne yapmalı
- Kurumların BT ekipleri, kullandıkları Oracle Database, WebLogic, E-Business Suite, SOA Suite, Access Manager, JD Edwards, MySQL ve Java ürünleri için yama planlaması yapmalı.
- İnternete açık durumdaki WebLogic, E-Business Suite ve Access Manager sunucularına öncelik verilmeli.
- Yama gecikecekse T3/IIOP gibi gereksiz protokolleri dışarıya kapatmak geçici önlem olabilir. Oracle bunun uygulamaları bozabileceğini, önce test ortamında denenmesi gerektiğini belirtiyor.
- Masaüstü ortamlarda Java kullanan sistemler desteklenen güncel sürümlere yükseltilmeli.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1365 Oracle Çoklu Ürün Güvenlik Bildirimi, 21 Ekim 2026
- Oracle — Critical Patch Update Advisory - October 2026, 20 Ekim 2026
- CVE Program — CVE-2026-101809
Kapak görseli (temsili): Oracle Markham ofisi — Raysonho / Wikimedia Commons, CC0 (1200×675 düzenlendi).
