Ekim 2026 Yama Karnesi: Tek Sayfa

Kısaca: Ekim 2026'da yazılım dünyasında üst üste kritik yamalar çıktı. Bu yazı, birincil kaynaklarda doğruladığımız düzeltilmiş sürümleri tek tabloda toplar ve bir önceliklendirme sırası önerir. Önce: vahşi doğada sömürülenler ve internete açık, kimlik doğrulamasız kod çalıştırma açıkları (PHP2Shell). Sonra: CMS ve çalışma zamanı yamaları (Drupal, Node.js, Next.js). Düzenli bakım penceresinde: Microsoft'un aylık yamaları (sömürülen CVE-2026-96951 hariç, o önce). Bu bir ay sonu özetidir; durum hızla değişiyor (örneğin PHP2Shell'in gerçek sömürüsü 26 Ekim'de bildirildi). Her satırda kaynak bağlantısı var; uygulamadan önce resmî duyuruyu teyit edin. Bilgiler 26 Ekim 2026 itibarıyladır.

Son güncelleme: 26 Ekim 2026

Tek sayfada yama tablosu

Yazılım	Ne oldu?	Düzeltilmiş sürümler	Durum / öncelik	Ayrıntı
PHP	21 Ekim: iki kritik uzaktan kod çalıştırma açığı (CVE-2026-109618, -109619), gerçek sömürü bildirildi (26 Ekim); yeni yamasız CVE-2026-115560	8.5.12, 8.4.27, 8.3.36, 8.2.35	ACİL	İlk yazı, sömürü güncellemesi
Drupal	14 Ekim: Field UI kritik RCE (CVE-2026-108097) ve Entity List (CVE-2026-108099)	Çekirdek 10.6.19, 11.3.19, 11.4.10; Entity List 3.0.10	Yüksek (sömürü saatler/günler içinde mümkün denmişti)	Drupal rehberi
Node.js	21 Ekim: 10 açık (4 yüksek), Brotli çözücüde RCE (CVE-2026-111497), iki TLS ana makine adı doğrulama atlatması	26.12.1, 24.22.1, 22.23.4	Yüksek (Docker imajlarını yeniden derleyin)	Node.js yazısı
Next.js	14 Ekim: iki kritik RCE ve bir yüksek DoS	16.4.1 (16.4 hattı), 15.5.28 (15.5 hattı); `sharp` ≥ 0.35.5	Yüksek (Cache Components, SVG görsel optimizasyonu, Server Actions kullanıyorsanız)	Next.js yazısı
Microsoft (Windows/Office)	13 Ekim Patch Tuesday: rekor 1.413 açık; CVE-2026-96951 (Windows Shell) vahşi doğada sömürülüyor	Ekim kümülatif güncellemeleri	Sömürülen CVE: acil; diğerleri bakım penceresinde	Rekor yama yazısı
LiteLLM	21 Ekim: kötü amaçlı 1.107.0 sürümü PyPI/Docker'da ~2 saat yayında	Son güvenli sürüm: 1.106.2 (Datadog'a göre)	Etkilendiyseniz sırları yenileyin	LiteLLM yazısı
Sertifika güveni	eMudhra CA anahtar ihlali; Node.js CA deposunu güncelledi	Çalışma zamanı/OS güncellemeleri	CAA + CT izleme kurun	CA ihlali yazısı

Önceliklendirme: Hangi sırayla?

Sömürülen ve internete açık, kimlik doğrulamasız RCE: PHP2Shell (PHP çalıştıran her internete açık sistem). Bugün.
Vahşi doğada sömürülen istemci tarafı açıklar: Windows Shell CVE-2026-96951 (e-posta/dosya yoluyla). Bu hafta.
CMS ve çalışma zamanı kritik açıkları: Drupal Field UI, Node.js Brotli, Next.js use cache ve görsel optimizasyonu. Bu hafta içinde, test sonrası.
Desteği biten sürümlerden çıkış planları: PHP 8.1 ve eskisi, Node.js 20 ve eskisi, Drupal'ın eski hatları. Bu ay planlayın.
Aylık düzenli yamalar: Windows/Office'in geri kalanı, diğer bileşenler.
Sır yenileme: Şüpheli durumlarda (PHP2Shell sömürü olasılığı, LiteLLM).

Bu sıra bir öneridir; sektör düzenlemeleriniz ve risk iştahınıza göre ayarlayın. Önceliklendirme mantığı için Microsoft yaması yazımıza ve yama yönetimi planımıza bakın.

Yama takip tablosu şablonu

Aşağıdaki sütunlarla basit bir tablo (elektronik tablo yeterli) tutun:

Sistem	Sahibi	Yazılım/sürüm	Etkilendi mi?	Yama tarihi	Test	Sırlar yenilendi mi?	Notlar
Örn. Web sunucusu 1	Ad Soyad	PHP 8.4.26	Evet	27 Ekim	Giriş/form testi	Planlı	mod_php; PHP-FPM'e geçiş değerlendirilecek

Her satır için: kim sorumlu, hangi sürümdeyiz, ne zaman düzeltildi, nasıl test edildi? sorularının yazılı cevabı olsun.

Ay sonu 10 maddelik kontrol listesi

Tüm PHP kurulumları (canlı, staging, konteyner) yamalı sürümde mi?
Yamasız yeni PHP açığı için geçici ayar (session.upload_progress.enabled=0) değerlendirildi mi?
Drupal kullanılıyorsa 10.6.19 / 11.3.19 / 11.4.10 ve Entity List 3.0.10?
Node.js sunucuları ve Docker imajları düzeltilmiş sürümlerde mi?
Next.js 16.4.1 / 15.5.28 ve sharp ≥ 0.35.5?
Windows/Office Ekim güncellemeleri ve CVE-2026-96951 yaması uygulandı mı?
Python/AI bileşenlerinde LiteLLM 1.107.0 kullanıldı mı? Kullanıldıysa sırlar yenilendi mi?
Desteği biten sürümler listelendi ve geçiş tarihi yazıldı mı?
CAA kaydı ve sertifika şeffaflığı izleme var mı?
Her sistem için yama sorumlusu ve süre hedefi yazılı mı?

Bu ayın dersi

Ekim 2026, yama hızının bir rekabet ve güven konusu olduğunu gösterdi: açıkların bir kısmı yapay zekâ destekli keşiflerle bulundu, bir kısmı duyurudan günler sonra gerçek saldırılarda görüldü, bir kısmı da tedarik zinciri üzerinden geldi. Çözüm panik değil, envanter, öncelik, süre hedefi ve test içeren basit bir düzen.

Aktaş Digital ile bakım ve güvenlik

Sürüm envanteri, acil yama takibi, test ve sır yönetimi bakım hizmetlerimizin parçasıdır. Mevcut sistemlerinizin yama durumunu değerlendirmek için teklif formumuzu kullanabilirsiniz. İlgili hizmetlerimiz: web çözümleri.

Sık Sorulan Sorular

Hepsini aynı gün mü yamalamalıyım?

Hayır. Önceliklendirin: sömürülen ve internete açık kritik açıklar önce, diğerleri test sonrası kısa süre içinde.

Bu tablo her sistem için geçerli mi?

Yalnızca ilgili yazılımları kullanıyorsanız. Kendi envanterinizle eşleştirin; kullanmadığınız yazılımlar için işlem gerekmez.

Yamalar arasında çakışma olur mu?

Her yükseltme regresyon riski taşır. Önce test ortamında deneyin ve kritik akışları sonrasında doğrulayın.

Bu liste bir sonraki ay da güncellenecek mi?

Yeni olaylar geldikçe benzer özetler hazırlanabilir; bu özet 26 Ekim 2026 itibarıyladır.

Sonuç

Ekim ayı yamaları tek tabloda toplandı: önce sömürülen ve internete açık olanlar, sonra CMS ve çalışma zamanı, ardından düzenli bakım. İlk adım: bu tabloyu kendi envanterinizle karşılaştırıp “hangi satır bizi ilgilendiriyor ve hangi sürümdeyiz?” sorusunun cevabını yazılı hâle getirmek.