Dört Kuşakta RCE Yaması, En Az Ayrıcalıklı SSH ve Jakarta EE 11 Güçlendirmesi: Azul Payara Ekim 2026 Sürümünün Mimari Anatomisi

JVM Katmanı İle Uygulama Sunucusunun Birleşimi: Azul Payara Ekim 2026 Döngüsü

Kurumsal Java ekosisteminde Azul Systems'in Payara'yı bünyesine katmasıyla oluşan dikey entegrasyon — yani yüksek performanslı JVM çalışma zamanı (Azul Zulu ve Azul Platform Prime) ile Jakarta EE / MicroProfile uygulama sunucusunun tek bir mühendislik çatısı altında birleşmesi — meyvelerini vermeye devam ediyor. Resmi olarak yayınlanan Azul Payara Ekim 2026 sürümü, hem açık kaynaklı Payara Community 7.2026.10 dalını hem de kurumsal Azul Payara Server & Micro 7.5.0, 6.43.0, 5.92.0 ve 4.1.2.191.60 sürümlerini kapsayan geniş çaplı bir güvenlik, kararlılık ve geliştirici deneyimi güncellemesidir.

Özellikle CISA/DHS gözetiminde resmi CVE Numbering Authority (CNA) yetkisine sahip olan Azul'un, keşfedilen kritik uzaktan kod çalıştırma (RCE) zafiyetlerini Payara 7'den Payara 4'e kadar dört ayrı nesilde sıfır kırıcı değişiklikle (zero breaking changes) aynı anda yamaması, kurumsal üretim ortamları için önemli bir referans niteliği taşımaktadır.

1. Dört Kuşağı Kapsayan Kritik Güvenlik Kalkanı: CVE-2026-2587 ve RCE Yamaları

Ekim 2026 sürümünün en acil bileşeni, tüm aktif Azul Payara dallarına (Payara 7, 6, 5 ve 4) geriye dönük (backport) olarak uygulanan üç kritik güvenlik yamasıdır:

1. Eclipse GlassFish Uzaktan Kod Çalıştırma (RCE) Zafiyeti (CVE-2026-2587 / CVE-2026-2586): Çekirdek GlassFish mirasından gelen ve kimlik doğrulaması atlanarak veya özel hazırlanmış yüklerle (payloads) sunucu sürecinde rastgele kod çalıştırılmasına yol açabilen kritik zafiyet kapatıldı.
2. JSFTemplating RCE Zafiyeti: Yönetim arayüzü ve şablon işleme katmanındaki JSFTemplating motorunda tespit edilen uzaktan kod yürütme vektörü izole edildi.
3. Yönetim Konsolu (Admin Console) Tam Yetki XSS Koruması: Yönetim konsolunda oturum çalınmasına veya tam yönetici yetkisi (full administrative takeover) elde edilmesine neden olabilecek Siteler Arası Betik Çalıştırma (XSS) açığı giderildi.

2. Payara 7.5.0 (Jakarta EE 11): EclipseLink 5.0.1, CDI DevMode ve Eşzamanlılık Onarımları

Jakarta EE 11 ve MicroProfile 7.1 standartları üzerine inşa edilen Azul Payara 7.5.0 ve Community 7.2026.10 sürümlerinde çalışma zamanı performansını ve geliştirici çevikliğini doğrudan etkileyen dört önemli mühendislik iyileştirmesi yer almaktadır:

A. EclipseLink 5.0.1 ve CDI DevMode

Kalıcılık (persistence) katmanı EclipseLink 5.0.1 sürümüne yükseltilerek Jakarta Persistence 3.2 uyumluluğu ve sorgu önbellek kararlılığı güçlendirildi. Ayrıca hem Payara 7 hem de Payara 6 serisine eklenen CDI DevMode, geliştirme aşamasında bağlam ve bağımlılık enjeksiyonu (CDI) hatalarının, fasulye (bean) çözümleme grafiklerinin ve yaşam döngüsü olaylarının anlık olarak izlenmesini sağlar.

B. SaxParserHandlerBundled Durumlu Tekil (Stateful Singleton) Hatasının Çözümü

Büyük ölçekli CI/CD boru hatlarında veya çoklu mikroservis başlangıçlarında birden fazla .war / .ear paketinin aynı anda dağıtılması (concurrent deployment) sırasında yaşanan yarış durumu (race condition) tespit edilerek çözüldü. Sorunun kök nedeni olan SaxParserHandlerBundled sınıfının durumlu bir tekil nesne (stateful singleton) gibi davranarak eşzamanlı XML ayrıştırma işlemlerini birbirine karıştırması engellendi.

C. Kapalıyken UUID Üreten Request Tracing Darboğazının Giderilmesi

Yüksek trafikli sistemlerde dikkat çekici bir performans sızıntısı da Request Tracing Service içinde yakalandı: İstek izleme servisi yapılandırmada devre dışı (enabled=false) bırakıldığında bile her gelen istek için arka planda UUID.randomUUID() çağrısı yaparak kriptografik rastgele sayı üreteci (SecureRandom) üzerinde gereksiz kilitlenme (contention) ve CPU maliyeti yaratıyordu. Ekim 2026 sürümüyle bu gereksiz UUID üretimi tamamen kesildi.

3. Altyapı Otomasyonu: En Az Ayrıcalıklı (Least-Privilege) SSH, DCOM’a Veda ve Yeni CLI Komutları

Kurumsal DevOps ve platform mühendisliği ekiplerinin uygulama sunucusu kümelerini (clusters) yönetirken karşılaştığı iki tarihsel güvenlik ve otomasyon borcu bu sürümle temizlenmiştir:

1. Uzak SSH Düğümlerinde root Zorunluluğunun Kaldırılması: Önceki sürümlerde Payara'nın uzak SSH düğümlerini (remote SSH nodes) yönetebilmesi için hedef sunucuda yükseltilmiş (root / Administrator) yetkiler talep ediliyordu. Sıfır Güven (Zero-Trust) ve En Az Ayrıcalık (Least Privilege) ilkeleri doğrultusunda artık Payara SSH hesabı yalnızca kendi çalışma dizini ve hedef süreç kapsamındaki izinlerle sorunsuz çalışmaktadır.
2. Eski DCOM Protokolünün Kaldırılması ve Windows SSH: Eski nesil Windows sunucu yönetiminde kullanılan ve modern güvenlik duvarlarında ciddi saldırı yüzeyi oluşturan DCOM (Distributed Component Object Model) desteği Payara 6, 5 ve 4 dahil tüm hatlardan kaldırılarak yerine modernize edilmiş Windows SSH sağlayıcısı getirildi.
3. Deklaratif Temizlik İçin Yeni asadmin Komutları: Otomasyon betiklerinde (Ansible, Terraform, Kubernetes Init Containers) JVM bayraklarını ve sistem özelliklerini temizlemek için uzun süredir talep edilen iki yeni komut eklendi:

# Otomasyon betiklerinde belirli bir JVM bayrağını veya sistem özelliğini güvenli şekilde silme
asadmin delete-jvm-option --target server-config "-XX:+UseParallelGC"
asadmin delete-system-properties --target cluster-config "legacy. endpoint.url"

# Güncellenmiş ZGC ve bellek bayraklarını temiz bir profil üzerine tanımlama
asadmin create-jvm-options --target server-config "-XX:+UseZGC:-Xmx4g"

Buna ek olarak, domain.xml yeniden yazımı sırasında auth-realm-name özelliğinin erken düşürülmesi nedeniyle start-domain yönetici parolası kurtarma isteminin bozulması ve alan (domain) yeniden başlatıldıktan sonra MicroProfile REST Client kullanan uygulamaların dağıtılamaması gibi kritik operasyonel hatalar da giderilmiştir.

4. Kurumsal Mimarlar İçin Geçiş ve Eylem Planı

1. Güvenlik Yamasını Bekletmeden Uygulayın: Ekim 2026 sürümü sıfır kırıcı değişiklik (no breaking changes) garantisiyle yayınlanmıştır. CVE-2026-2587 GlassFish RCE ve Admin Console XSS yamalarını almak için hangi Payara kuşağında (4, 5, 6 veya 7) olursanız olun sürüm yükseltmesini derhal CI/CD hattına alın.
2. SSH Düğüm Yetkilerini Daraltın: Uzak düğüm (node) yönetiminde kullanılan servis hesaplarının sudo/root yetkilerini kaldırarak yeni en az ayrıcalıklı SSH mimarisine geçiş yapın ve DCOM bağımlılıklarını tamamen kapatın.