Oracle 1.295 güvenlik yaması yayımladı, Chrome 156'da 353 açık kapatıldı, Cisco Expressway'de 9.8 puanlı açık

Bu hafta, PHP ve GitLab’daki acil güncellemelerin yanında, kurumların takviminde olması gereken üç büyük güncelleme daha yayımlandı. Oracle üç ayda bir yayımladığı kritik yama paketini, Google Chrome’un yeni ana sürümünü, Cisco ise Expressway serisi için bir güvenlik güncellemesini duyurdu. Üç üretici de bu açıkların saldırılarda kullanıldığına dair bir bilgi paylaşmadı.

Oracle: 1.295 yama, giriş gerektirmeyen 9.8 puanlı açıklar

Oracle, 20 Ekim’de ekim ayı Kritik Yama Güncellemesi’ni (Critical Patch Update) yayımladı. Paket, şirketin ürün ailelerinde toplam 1.295 yeni güvenlik yaması içeriyor. En yüksek puanlı ve giriş gerektirmeyen açıklar şunlar:

• CVE-2026-75803 (CVSS 9.8), Oracle Database Server: Veritabanı sunucusunun kullandığı OpenSSL bileşeninden kaynaklanıyor ve TLS üzerinden, giriş yapmadan kullanılabiliyor. Oracle Database Server için toplam dört açığın giriş yapmadan uzaktan kullanılabileceği belirtiliyor.
• CVE-2026-101521 (CVSS 9.8), Oracle APEX: Düşük kodlu uygulama geliştirme platformu APEX’in 24.1.0-24.1.21, 24.2.0-24.2.20 ve 26.1.0-26.1.4 sürümlerini etkiliyor. CVE kaydına göre giriş yapmamış bir saldırgan HTTPS üzerinden APEX’i tamamen ele geçirebiliyor.
• CVE-2026-91665 (CVSS 9.8), Oracle Essbase: Analiz ve raporlama platformu Essbase’in 21.8.3.0.0 sürümünü etkiliyor ve ağ üzerinden, giriş yapmadan ürünün ele geçirilmesine izin veriyor.

Essbase’de 9.9 puanlı dört açık daha var, ancak bunlar için giriş yapmış olmak gerekiyor. Oracle, duyurusunda belirli bir açığın saldırılarda kullanıldığını söylemiyor. Ancak yaması yayımlanmış açıkları kullanmaya yönelik girişimlerle ilgili düzenli olarak bildirim aldığını ve güncellemeleri uygulamayan müşterilerin saldırıya uğradığı durumlar olduğunu hatırlatarak güncellemenin gecikmeden yapılmasını istiyor. Siber Güvenlik Başkanlığı da 21 Ekim’de bu güncelleme için TR-26-1365 numaralı güvenlik bildirimini yayımladı.

Chrome 156: 353 açık, altısı kritik

Google, 20 Ekim’de Chrome 156’yı masaüstü için kararlı sürüm olarak yayımladı. Yeni sürüm Windows ve macOS’ta 156.0.8078.47/48, Linux’ta 156.0.8078.47. Bu sürümde 353 güvenlik açığı kapatıldı, bunların altısı kritik olarak sınıflandırıldı:

• CVE-2026-113341: Skia grafik kütüphanesinde
• CVE-2026-113279 ve CVE-2026-113271: Erişilebilirlik (Accessibility) bileşeninde
• CVE-2026-113072: CSS bileşeninde
• CVE-2026-113280: Paint bileşeninde
• CVE-2026-113303: WebRTC bileşeninde

Kritik açıkların hepsi bellek hatası türünde. Google’ın duyurusunda bu açıkların saldırılarda kullanıldığına dair bir ifade yok. Chrome genellikle kendini otomatik güncelliyor, ancak güncellemenin uygulanması için tarayıcının yeniden başlatılması gerekiyor. Sürümünüzü Ayarlar menüsündeki “Chrome hakkında” sayfasından kontrol edebilirsiniz.

Cisco Expressway: küme yapısındaki cihazlarda root yetkisiyle komut çalıştırma

Cisco, 21 Ekim’de görüntülü görüşme altyapılarında kullanılan Expressway serisindeki CVE-2026-76466 numaralı açık için güvenlik bildirimi yayımladı. Açığın CVSS 3.1 puanı 9.8. Açık yalnızca küme (cluster) olarak yapılandırılmış Expressway-C ve Expressway-E cihazlarını, sanal ya da fiziksel sürümleriyle etkiliyor.

Cisco’nun açıklamasına göre sorun, kalıcı çerezlerin kullanılmasından ve küme için TLS doğrulama modu açıkken istemci sertifikalarının doğrulanmamasından kaynaklanıyor. Bu çerezlere sahip bir saldırgan, cihazın veritabanı servisine bağlanıp belirli komutlar göndererek işletim sisteminde root yetkisiyle komut çalıştırabiliyor. Açığı Jane Street’ten Stefan Aleksic bildirdi. Cisco açığın kullanıldığına ya da kamuya açıklandığına dair bilgisi olmadığını belirtiyor.

Düzeltme X15.5.20 sürümünde ve Cisco’nun “Expressway Series Security Hardening Release: October 2026” adlı güncellemesinde yer alıyor. X15.5.3 ve öncesini kullananların X15.5.20’ye, X14 ve öncesini kullananların düzeltilmiş bir sürüme geçmesi gerekiyor. Cisco bu açık için geçici bir önlem olmadığını söylüyor.

Önerilen önlemler

Oracle ürünleri kullanan kurumlar, özellikle internetten erişilebilen APEX kurulumlarına ve Essbase sunucularına öncelik vermeli, Oracle’ın duyurusundaki risk tablolarından kendi ürün ve sürümlerini kontrol etmeli. Chrome güncellenip yeniden başlatılmalı. Kurumlarda tarayıcı güncellemeleri merkezi olarak yönetiliyorsa 156 sürümünün dağıtıldığı doğrulanmalı. Cisco Expressway kullanan kurumlar cihazlarının küme olarak yapılandırılıp yapılandırılmadığını kontrol etmeli ve kümedeki cihazları düzeltilmiş sürüme taşımalı.