.NET 8 ve .NET 9 Desteği 10 Kasım 2026’da Bitiyor: Son Yama CVE-2026-111497, .NET 10’a Geçiş Rehberi

Destek tarihleri (.NET support lifecycle)

.NET 9'un .NET 8 ile aynı gün desteğinin bitmesi, Microsoft'un STS sürümlerin destek süresini 24 aya çıkarmasından kaynaklanıyor. Microsoft'un destek politikasına göre her sürümün son 6 ayı bakım dönemidir ve bu dönemde yalnız güvenlik düzeltmesi yayımlanır.

Destek sonu ne anlama geliyor? (End of support)

10 Kasım'dan sonra uygulamalarınız çalışmaya devam eder; çalışma zamanı kendiliğinden kaldırılmaz. Değişen şey, yeni bulunan açıkların bu sürümler için kapatılmamasıdır. Kasım sonrasında çıkacak her .NET güvenlik bülteni yalnız .NET 10 ve sonrasını kapsayacak. Ayrıca Microsoft'un resmî konteyner imajları güncellenmeyecek ve teknik destek talepleri karşılanmayacak.

Kurumsal tarafta bu durum denetimlerde de sorun çıkarır: desteklenmeyen yazılım çalıştırmak, ISO 27001 ve benzeri çerçevelerde ve siber sigorta poliçelerinde çoğu zaman bulgu olarak yazılır.

Son yama: CVE-2026-111497 (Brotli buffer overflow)

Microsoft 25–26 Ekim'de olağan takvim dışında .NET, Visual Studio ve PowerShell güncellemesi yayımladı. Ana açık CVE-2026-111497: Google'ın Brotli sıkıştırma kitaplığının çözücüsünde bir arabellek taşması. Açığı OpenAI Codex Security ekibi bildirdi; Google açığa 10 üzerinden 9,2 puan verdi. Microsoft açığı .NET ve Visual Studio için kritik, PowerShell için önemli olarak sınıflandırdı. Kimliği doğrulanmamış bir saldırgan süreç belleğini okuyabilir ya da bozabilir; sonuç bilgi sızıntısı, hizmet kesintisi veya yetki yükseltme olabilir.

Bazı ayrıntılar riski azaltıyor: .NET, Brotli çözmeyi varsayılan olarak açmıyor ve .NET Framework etkilenmiyor. Aynı açık Node.js, Bun, Envoy, Istio ve Python Brotli paketlerini de etkiledi; bu projeler kendi düzeltmelerini yayımladı.

Aynı güncellemede CVE-2026-114148 de kapatıldı. Bu açık yalnız Linux'ta, .NET tar arşivlerindeki güvensiz sahiplik bilgisi nedeniyle yerel bir kullanıcının yetki yükseltmesine izin veriyor ve .NET 7'den 11'e kadar olan sürümleri etkiliyor. Ekim ortasındaki CVE-2026-70197 (SocketAsyncEventArgs) ve CVE-2026-102870 (Blazor WebAssembly hata ayıklayıcı) düzeltmeleri de yeniden yayımlandı.

Kısacası .NET 8 ya da 9 ile çalışan bir uygulama en azından 8.0.33 veya 9.0.22'ye güncellenmeli. Bu, geçişe kadar geçen sürede son korumadır.

Hangi sürümü kullandığınızı bulmak (Check installed runtimes)

# Kurulu çalışma zamanları
dotnet --list-runtimes

# Kurulu SDK'lar
dotnet --list-sdks

# Projenin hedef çerçevesi
grep -R "<TargetFramework" --include=*.csproj .

Çıktıda Microsoft.NETCore.App 8.0.x ya da 9.0.x görüyorsanız ve proje dosyalarında net8.0 veya net9.0 yazıyorsa geçiş listenize ekleyin.

.NET 10'a geçiş adımları (Migration to .NET 10)

1. SDK'yı kurun: .NET 10 SDK'nın güncel sürümünü geliştirme makinesine ve derleme sunucusuna kurun.
2. Hedef çerçeveyi değiştirin: <TargetFramework>net10.0</TargetFramework>. Varsa global.json dosyasındaki SDK sürümünü güncelleyin.
3. Paketleri güncelleyin: Microsoft.*, Entity Framework Core ve ASP.NET Core paketlerini 10.x sürümlerine çekin; dotnet list package --outdated listeyi verir.
4. Kırıcı değişiklikleri okuyun: Microsoft'un ".NET 10 breaking changes" sayfası ASP.NET Core, EF Core ve çalışma zamanı değişikliklerini ayrı listeler. .NET 8'den gelen projeler .NET 9 sayfasını da okumalı.
5. Testleri çalıştırın: Özellikle serileştirme, kimlik doğrulama ve veritabanı sorguları.
6. Yayın ortamını güncelleyin: Sunucudaki çalışma zamanını ve CI/CD görüntülerini 10.0'a geçirin.

Yeni dil özellikleri için .NET 11 RC2 ve C# 15 yazımıza bakabilirsiniz. .NET 11 bir STS sürümüdür; uzun süreli kurumsal projeler için .NET 10 daha güvenli bir hedeftir.

Konteyner ve sunucu tarafı (Containers and servers)

• mcr.microsoft.com/dotnet/aspnet:8.0 ve :9.0 imajları 10 Kasım'dan sonra yeni yama almayacak. Dockerfile'larda :10.0 etiketine geçin.
• Linux sunucularda paket yöneticisiyle kurulan .NET'i dotnet-runtime-10.0 ve aspnetcore-runtime-10.0 paketleriyle değiştirin.
• Windows'ta IIS ile çalışan uygulamalar için .NET 10 Hosting Bundle kurulmalı.
• Güncellemeden sonra çalışan servisleri yeniden başlatın; eski süreç eski kodla çalışmaya devam eder.

Alesta WEB olarak web yazılım projelerinde çerçeve sürümlerini destek takvimine göre planlamayı öneriyoruz: LTS sürüm çıktığında geçiş planı yapılır, destek sonundan en az üç ay önce tamamlanır.

Sık sorulan sorular

10 Kasım'dan sonra uygulamam çalışmayı durdurur mu?

Hayır. Uygulama çalışmaya devam eder, ancak yeni güvenlik açıkları için yama gelmez.

.NET 8 LTS değil miydi, neden bu kadar erken bitiyor?

LTS sürümler 3 yıl desteklenir. .NET 8 Kasım 2023'te çıktı, 3 yıllık süresi Kasım 2026'da doluyor.

.NET Framework 4.8 de etkileniyor mu?

Hayır. .NET Framework 4.8 ve 4.8.1, Windows'un yaşam döngüsüne bağlı ayrı bir destek politikasına tabidir ve bu tarihten etkilenmez.

Doğrudan .NET 11'e geçmeli miyim?

.NET 11 bir STS sürümüdür ve 24 ay desteklenir. Sık güncelleme yapabilen ekipler için uygundur; seyrek güncellenen projeler için .NET 10 LTS önerilir.

İlgili sayfalar: Web yazılım hizmetleri · Web hosting · Visual Studio 18.11 · İletişim

Kapak fotoğrafı: Tyler Lahti / Wikimedia Commons (CC BY-SA 4.0)