.NET Haziran 2026 Servis Güncellemesi: 3 CVE ve Bilmeniz Gerekenler
Aylık.NET servis güncellemeleri benim için, dürüst olayım, eskiden biraz “sonra bakarız” diye kenara atılan şeylerdi. Açıp kontrol eder, “tamam patch gelmiş, bunu da pazartesi konuşuruz” deyip kapatırdım. Ama son birkaç yılda tablo değişti. Hele bir de CVE duyuruları daha sıkı çıkmaya başlayınca ve etkilenen sürüm listesi uzadıkça, bu küçük görünen güncellemeler üretim ortamında en hayatı bakım pencerelerinden biri öldü (şaşırtıcı ama gerçek)
- DevOps mühendisinin yaklaşık 4-8 saatlik mesaisi (envanter + uygulama + smoke test)
- Staging ortamının çalışma süresi (Azure’da ek VM/App Service maliyeti)
- Olası rollback ve incident response süresi
Bunun toplamı kabaca aylık 15-30 bin TL bandında bir kurumsal yük yaratabiliyor.
Azure Update Manager ya da GitHub Actions tabanlı otomasyonla bunu yarıya çekmek mümkün olabilir ama önce süreç düzgün kurulmalı; otomasyon ondan sonra geliyor, tersine değil.
mcr.microsoft.com/dotnet/aspnet:8_0` gibi sabit etiketler yerine,
GitHub Actions'da haftalık çalışan bir scheduled workflow kurun ve `docker pull` + `docker image inspect` ile imaj SHA'sını kontrol edin.
Değişiklik varsa pipeline'ı tetikleyin.
Container Imajları ve Linux Paketleri
Bu ay container imajları da yenilenmiş durumda.
`mcr.microsoft.com/dotnet/aspnet`, `runtime`, `sdk`. `runtime-deps` imajlarının hepsi yeni patch’leri içeriyor.
Kubernetes üzerinde çalışıyorsanız ki Türkiye’de AKS kullanımı son iki yılda gerçekten hızlandı,`imagePullPolicy: Always` ayarınıza ya da deployment’lardaki tag stratejinize yeniden bakmanız iyi olur.
Neyse uzatmayayım.
Linux paketleri tarafında `apt` ve `yum` repolarındaki paketler de
9 Haziran itibariyle taze.
Ubuntu
22_04** and **24_04**, RHEL **9**, Azure Linux **3_0** —
hepsi destekleniyor.
Küçük ama önemli not:
`dotnet-runtime-8_0` ile ``aspnetcore-runtime-8_0` paketleri ayrı ayrı geliyor;
ikisini de güncellemek gerekiyor.
Hep aynı hata yapılıyor:
insanlar sadece runtime’ı yeniliyor,
ASP.NET Core runtime eski kalıyor.
Tam da öyle.
Kişisel Görüşüm: Bu Ay Acil mi?
Vallahi, Açık konuşayım,
bu ayki CVE’lerin CVSS skorları henüz tam yayımlanmadı ama Microsoft’un tonuna bakınca “Critical RCE” seviyesinde bir şey olmadığını hissediyorum.
Yine de düşük risk demek değil;
üç CVE’nın aynı pakette gelmesi bana orta-yüksek bantta bir durum olduğunu düşünduruyor.
Peki neden?
Çünkü böyle toplu gelen yamalar genelde tek başına önemsiz olmaz.
Şimdi gelelim işin can alıcı noktasına.
Küçük bir detay: Bence bu ay işi iki hafta içinde kapatın.
Aceleye getirmeyin. Bekletmeyin de.
Mesela internete açık bir API host ediyorsanız (mesela ASP.NET Core Web API tabanlı bir backend), bunu öne alın.
Sadece intranet içinde çalışan bir Windows servisi varsa normal patch döngünüze koymanız yeterli olur.
Basit aslında (yanlış duymadınız)
Bak şimdi, Bir de şunu unutmayın:
Copilot Autofix Azure DevOps’ta: Alert Yığını Bitiyor mu?
yazımda anlattığım gibi dependency scanning’i pipeline’a bağladıysanız bu CVE’ler. Görünür hâle gelir.
Dependabot ya da GitHub Advanced Security kullanıyorsanız önümüzdeki birkaç gün içinde PR’ların düşmeye başladığını görebilirsiniz.
Şey… buna hazırlıklı olun derim.
Sıkça Sorulan Sorular
.NET 9.0.17 son patch mi olacak?
Büyük ihtimalle hayır. Yanı, 9.0’ın resmî destek süresi Mayıs 2026’da bitmişti aslında, ama güvenlik odaklı patch’ler hani biraz daha sürüyor (ben de ilk duyduğumda şaşırmıştım). Bence yine de 9.0’da takılı kalmayın — 10.0 LTS’e geçiş planınızı şimdiden hazırlayın. Önümüzdeki birkaç ay içinde son patch’i alırsınız.
.NET Framework 4.8.1’i hâlâ kullanıyorum, ne yapmalıyım?
Panik yapmayın, 4.8.1 desteklenmeye devam ediyor. Ama açıkçası uzun vadeli yol haritanızda Framework’ten çıkış büyük ihtimalle olmalı. Önce bir envanter çıkarın — hangi uygulamalar Framework’e gerçekten bağımlı, hangileri kolay taşınır, önü görün. Tecrübeme göre bazıları.NET 8’e bir haftada taşınıyor, bazılarını işe neredeyse sıfırdan yazmak gerekiyor.
Patch geçince uygulamam bozulur mu?
Majör sürüm değişikliği yapmıyorsanız, yanı mesela 8.0.x’ten 8.0.y’ye geçiyorsanız, breaking change ihtimali gerçekten çok düşük. Ama sıfır da değil. Bilhassa System.Text.Json, HttpClient, kriptografi katmanı gibi alanlarda ve bazı edge case’lerde davranış değişebiliyor. Bu yüzden bence staging testi atlamamanız gereken bir adım.
Azure App Service runtime’ını manuel güncelleyebilir mıyım?
Vallahi, Hayır, doğrudan runtime’a dokunamıyorsunuz. Ama “Stack Settings” altından sürümü değiştirebilir ya da App Service’i restart ederek Microsoft’un sağladığı en güncel patch level’a daha hızlı geçebilirsiniz. Self-contained deployment kullanıyorsanız bu kural geçerli değil aslında — o zaman kendi base image’ınızı kendiniz güncellemeniz gerekiyor.
Container imajlarını ne sıklıkla pull etmeliyim?
En az aylık, ideal olarak haftalık otomatik kontrol. Bir de şunu söyleyeyim: production deployment’larınızda :latest tag’ını asla kullanmayın, mesela :8.0.28 gibi spesifik bir versiyonla pin’leyin. Otomatik güncelleme istiyorsanız bunu CI/CD üzerinden kontrollü yapın — runtime’a bırakmayın, açıkçası bırakırsanız sürprizlerle karşılaşabilirsiniz.
Kaynaklar ve İleri Okuma
.NET ve.NET Framework Haziran 2026 Servisleme Güncellemeleri (Resmî Blog) (evet, doğru duydunuz)
.NET 10.0.9 Release Notes (en azından benim deneyimim böyle)
.NET Sürüm Politikası ve Destek Takvimi
Microsoft.NET Container Imajları (Docker Hub)
20+ yıl deneyimli Azure Solutions Architect. Microsoft sertifikalı bulut mimari ve DevOps danışmanı. Azure, yapay zekâ ve bulut teknolojileri üzerine Türkçe teknik içerikler üretiyor.
4 comments