26 Ekim–1 Kasım 2026 haftası: Bu sayıda Ubuntu’nun nginx ve Brotli güvenlik duyuruları, Kubernetes image tedarik zinciri doğrulaması ve yeni Workload Conformance çalışma grubu öne çıkıyor. Teknik okuma bölümünde Docker yönetim yüzeyi ile PostgreSQL WAL arşivinin operasyonel sınırlarını hatırlatıyoruz. Aşağıdaki öneriler genel değerlendirmedir; Narweb müşteri sunucularında bu işlemlerin yapıldığı veya bir açık bulunduğu iddiası değildir.
Bu haftanın kısa özeti
- Ubuntu’nun 26 Ekim tarihli nginx duyurusu için kullanılan dağıtım, paket kaynağı ve etkin yapılandırma birlikte kontrol edilmeli.
- Brotli güncellemesi yalnız komut satırı aracını değil, ilgili kütüphane bağımlılıklarını da envantere alma gereğini hatırlatıyor.
- registry.k8s.io doğrulama özetlerinde imza, doğrulayıcı kimliği ve beklenen güvence seviyesi ayrı ayrı değerlendirilmeli.
- Kubernetes Workload Conformance henüz geliştirilmekte olan bir standart çalışması; mevcut uygulama kabul testlerinin yerine geçmiş bir sertifika değil.
- Haftalık teknik okuma: Docker daemon erişimi ve PostgreSQL için kesintisiz WAL arşivi/geri dönüş zinciri.
Öne çıkan teknik gelişmeler
1. Ubuntu nginx güvenlik duyurusu: paket ve konfigürasyon birlikte incelenmeli
Ubuntu, 26 Ekim’de yayımladığı USN-8955-1 duyurusunda nginx için birden fazla güvenlik düzeltmesi bildiriyor. Duyuru Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS ve 26.10 sürümlerini listeliyor. Etki; kullanılan özellik, yapılandırma ve dağıtıma göre değişebildiğinden tüm nginx kurulumlarını aynı derecede etkilenmiş saymak doğru değil.
Neden önemli? Web/proxy katmanı çok sayıda uygulamanın ortak giriş noktasıdır. Yalnız upstream sürüm numarasına bakmak, dağıtımın backport ettiği düzeltmeleri kaçırabilir. Narweb ilgisi: VDS, cloud ve konteyner ingress/reverse proxy katmanlarında gerçek paket kaynağının belirlenmesi gerekir. Plesk/cPanel tarafından yönetilen nginx sürümünü işletim sistemi paketiyle aynı kabul etmeyin.
Önerilen aksiyon: Dağıtım sürümünü, yüklü nginx paketini, paket deposunu ve etkin modülleri çıkarın. İlgili resmî düzeltme sürümüyle karşılaştırın; bakım öncesi konfigürasyon yedeği alın. Paket güncellemesi sonrasında yapılandırma testi, kontrollü servis işlemi ve dışarıdan HTTP/TLS sağlık kontrolü yapın. Kaynak: Ubuntu USN-8955-1 — 26 Ekim 2026.
2. Brotli: görünmeyen kütüphane bağımlılıklarını unutmayın
26 Ekim tarihli USN-8956-1, belirli sıkıştırılmış akışların işlenmesinde hizmet engelleme veya kod yürütme riski doğurabilecek bir Brotli sorununu bildiriyor. Duyuru, ilgili Ubuntu sürümleri için brotli, libbrotli1 ve python3-brotli paketlerinin düzeltme sürümlerini listeliyor.
Neden önemli? Bir kütüphane doğrudan görünür bir servis olmasa da web uygulamaları ve yardımcı işlemler tarafından kullanılabilir. Narweb ilgisi: Hosting uygulamalarının bağımlılık ve konteyner imajı envanteri işletim sistemi yama listesinden ayrı izlenmelidir. Önerilen aksiyon: İlgili paketleri ve bunları kullanan servisleri belirleyin. Konteyner içinde taşınan kopyalar varsa image yenileme ihtiyacını değerlendirin; host güncellemesinin image içini değiştirmediğini unutmayın. Gerekli servis yeniden başlatmalarını bakım planına ekleyin. Kaynak: Ubuntu USN-8956-1 — 26 Ekim 2026.
3. Kubernetes image doğrulamasında imza tek başına yeterli değil
Kubernetes topluluğunun 28 Ekim yazısı, image promoter’ın Ekim 2026’dan itibaren yayımladığı imzalı SLSA doğrulama özetlerini anlatıyor. Image imzası, image’ın resmî promotion sürecinden geçtiği sorusunu yanıtlarken; provenance ve doğrulama özeti, build kaynağı ve uygulanan politikaya ilişkin ek kanıt sunuyor.
Neden önemli? Bir özette PASSED görülmesi, her image’ın aynı güvence seviyesinde olduğunu göstermez. İmzalayan kimlik, doğrulayıcı ve beklenen seviye de kontrol edilmelidir. Narweb ilgisi: Kubernetes ve DevOps süreçlerinde tedarik zinciri kabul kriterleri image digest’iyle birlikte tanımlanabilir. Önerilen aksiyon: Önce envanter ve loglama modunda değerlendirme yapın. Ekim öncesi pek çok image’da özet bulunmadığı için yeni zorunlu kuralı doğrudan tüm üretime uygulamayın; toplu workload reddi yaratabilirsiniz. Kaynak: Kubernetes Contributors — SLSA Verification Summaries, 28 Ekim.
4. Workload Conformance: kümenin sağlığı uygulama dayanıklılığı değildir
27 Ekim’de duyurulan Workload Conformance çalışma grubu, Kubernetes üzerinde çalışan uygulamaların çalışma zamanı davranışı için ortak ve test edilebilir bir temel hazırlamayı amaçlıyor. Güvenlik, kesintiye dayanıklılık, kaynak kullanımı, ağ, storage ve gözlemlenebilirlik kapsam alanları arasında. Duyuru, somut gerekliliklerin ve testlerin henüz kararlaştırılmadığını açıkça belirtiyor.
Neden önemli? Sertifikalı bir Kubernetes kümesi, uygulamanın node drain veya API değişikliklerine hazır olduğunu tek başına kanıtlamaz. Narweb ilgisi: Cluster bakımında uygulama ekibinin kabul testleri ayrı iş kalemidir. Önerilen aksiyon: Bugünden workload sahipliği, gereksiz yetkiler, kaynak talepleri ve kesinti toleransı için ölçülebilir kontrol listesi oluşturun. Henüz yayımlanmamış bir standarda uyumluluk iddiasında bulunmayın. Kaynak: Kubernetes Contributors — Workload Conformance WG, 27 Ekim.
Haftanın teknik okuması: yeni sürüm haberi değil, operasyon pratiği
Docker yönetim yüzeyi. Docker’ın resmî güvenlik dokümanı, daemon kontrolünün yüksek ayrıcalıklı etkilerini ve socket erişiminin önemini açıklıyor. Neden önemli? Konteyner izolasyonu, Docker yönetim socket’ini uygulamaya vermenin riskini ortadan kaldırmaz. Narweb ilgisi: Otomasyon ve CI/CD sunucularında deploy kimlikleri ayrıca değerlendirilmelidir. Önerilen aksiyon: Socket mount’larını, daemon erişebilen hesapları ve yönetim ağı sınırını inceleyin. Bu bölüm yeni bir haftalık CVE duyurusu değildir. Kaynak: Docker Engine security.
PostgreSQL WAL arşivi. Sürekli arşivleme dokümanı, PITR için fiziksel temel yedek ile gerekli WAL zincirinin birlikte bulunması gerektiğini anlatıyor. Neden önemli? Replikasyon veya otomatik failover, yanlış silme sonrasında geri dönebildiğinizin kanıtı değildir; pg_dump da WAL replay’e temel olan fiziksel yedeğin yerine geçmez. Narweb ilgisi: PostgreSQL HA ile yedek/PITR kapsamı ayrı netleştirilmelidir. Önerilen aksiyon: RPO, RTO, saklama süresi ve arşiv kesintisi alarmını yazın; izole ortamda restore kanıtı alın. Bu bölüm yeni sürüm haberi değil, kalıcı teknik kaynaktır. Kaynak: PostgreSQL Continuous Archiving and PITR.
Narweb müşterileri için pratik kontrol listesi
- Ubuntu/Debian sürümü, paket deposu ve kullanılan kernel/servis sürümleri envanterde güncel mi?
- nginx ve Brotli duyuruları gerçek paket ve kullanım durumuyla karşılaştırıldı mı?
- Plesk/cPanel bileşenleri için panel üreticisinin desteklediği güncelleme yolu belirlendi mi?
- Container image içi bağımlılıklar host güncellemelerinden ayrı kontrol ediliyor mu?
- Kubernetes image kabul politikası önce gözlem modunda değerlendirildi mi?
- Docker yönetim socket’i ve deploy hesapları yalnız gerekli erişime sahip mi?
- PostgreSQL için HA, yedek ve PITR sorumlulukları ayrı tanımlı mı?
- Bakım sonrasında web, mail/DNS/SSL ve uygulama uçları dışarıdan kontrol ediliyor mu?
Narweb notu
Bu haftaki aksiyonların ortak noktası yalnız güncellemek değil, doğru bileşeni güncellemek ve sonucu doğrulamaktır. DevOps hizmeti, Kubernetes Cluster Hosting ve PostgreSQL Cluster Hosting görüşmelerinde bakım, uygulama testi ve geri dönüş kapsamını ayrı tanımlayın. S3/Object Storage kullanımı da tek başına değiştirilemez yedek veya otomatik lifecycle garantisi değildir; gereken özellikler ayrıca doğrulanmalıdır.
Altyapı, bakım ve güncelleme planı için destek alın. Kullandığınız işletim sistemi, panel, uygulama ve bakım penceresini paylaşarak ihtiyaca göre değerlendirme talep edebilirsiniz.