Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-327

CVE-2026-114820

Oracle Java SE JSSE bileşeninde kriptografik zafiyet (kimlik doğrulamasız saldırı)

Oracle Corporation Oracle GraalVM Enterprise EditionOracle Corporation Oracle GraalVM for JDKOracle Corporation Oracle Java SE

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
25 Eki 2026
Açık yaşı
3 gün
Kaydı açan
oracle

Yönetici özeti

Bu açık, şirketinizin kullandığı Java tabanlı yazılımların güvenli iletişim katmanını hedef almaktadır ve kimlik doğrulaması gerektirmeden uzaktan istismar edilebilir. Başarılı bir saldırı, müşteri ve şirket verilerinin ele geçirilmesine veya değiştirilmesine yol açabilir. Bu nedenle etkilenen sistemlerin hızlı tespit edilip güncellenmesi önceliklidir.

ÖzetTürkçe

Oracle Java SE, Oracle GraalVM for JDK ve Oracle GraalVM Enterprise Edition ürünlerinin JSSE (Java Secure Socket Extension) bileşeninde, zayıf veya riskli bir kriptografik algoritmaya bağlı bir zafiyet bulunmaktadır (CWE-327). Zafiyet, listelenen eski ve yeni Java sürümlerini etkilemektedir. Saldırgan kimlik doğrulaması olmadan ağ üzerinden, birden fazla protokol aracılığıyla saldırabilir. Java uygulamalarını ve bu bileşeni kullanan web servislerini barındıran sistemler ile güvenilmeyen kodu çalıştıran Java istemcileri risk altındadır.

Saldırgan ne yapabilir?

Başarılı bir saldırıda saldırgan, etkilenen Java ortamındaki kritik verileri yetkisiz olarak okuyabilir, oluşturabilir, değiştirebilir veya silebilir. Bu durum veri bütünlüğü ve gizliliği açısından ciddi sonuçlar doğurabilir.

Kaynaktaki açıklama (İngilizce)

Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: JSSE). Supported versions that are affected are Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2; Oracle GraalVM for JDK: 17.0.21.0.2 and 21.0.13.0.2; Oracle GraalVM Enterprise Edition: 21.3.20.0.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition accessible data as well as unauthorized access to critical data or complete access to all Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition accessible data. Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. CVSS 3.1 Base Score 9.1 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N).

Ne yapmalı?

  1. Ortamınızda kullanılan Oracle Java SE, Oracle GraalVM for JDK veya GraalVM Enterprise Edition sürümlerini belirleyin ve etkilenen sürüm listesiyle karşılaştırın. Genel öneri
  2. Oracle'ın ilgili güvenlik bülteninde belirtilen düzeltilmiş sürümü veya yama güncellemesini esas alarak etkilenen tüm Java kurulumlarını güncelleyin. Bu veri içinde açık bir düzeltme sürümü belirtilmediğinden, güncel bilgi için resmi Oracle kaynağına başvurulmalıdır. Genel öneri
  3. Güncelleme yapılamayan sistemlerde, JSSE bileşenini kullanan servislere yalnızca güvenilir ağlardan erişimi kısıtlayın ve dış erişimi mümkün olduğunca engelleyin. Genel öneri
  4. Güncelleme sonrasında Java sürümünün artık etkilenen listede yer almadığını doğrulayın ve gerekli uygulamaların yeniden başlatıldığından emin olun. Genel öneri

Ek önlemler

  • Java uygulamalarınızda kullanılan sürümleri envanter olarak tutun ve yeni güvenlik yamalarını düzenli takip edin. Genel öneri
  • Ağ trafiğini ve Java servislerine gelen olağandışı bağlantı denemelerini izleyin, şüpheli etkinlikleri günlük kayıtlarından inceleyin. Genel öneri
  • Güvenilmeyen kaynaklardan gelen Java uygulamalarını veya applet/Web Start çalıştırmalarını sınırlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler3 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Corporation Oracle GraalVM Enterprise Edition 21.3.20.0.2 –
Oracle Corporation Oracle GraalVM for JDK 17.0.21.0.2 –
21.0.13.0.2 –
Oracle Corporation Oracle Java SE 8u511-b32 –
8u511-perf-b32 –
11.0.33.0.2 –
17.0.21.0.2 –
21.0.13.0.2 –
25.0.5.0.2 –
27.0.1.0.2 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.