Günlük Java / Spring Ekosistem Raporu

Tarih: 13 Mayıs 2026
Tarama zamanı: 13 Mayıs 2026 09:13 TSİ
Odak: Spring Cloud Config/Function güvenlik dalgası, Spring Boot 4.1 release-train hizalanması, Spring AI 2.0 geçiş sinyalleri ve Java 26’nın integrity etkileri

Tarama notu: Bu rapor hazırlanırken zorunlu kaynaklar sistematik olarak kontrol edildi: Official Spring Blog, Spring Security Advisories, Spring Boot project/version sayfası, Spring Cloud Config proje/dokümantasyon sayfaları, Spring AI 1.0.7 / 1.1.6 / 2.0.0-M6 duyurusu, Spring Data 2026.0.0-RC1 duyurusu, Spring Authorization Server 1.5.7 duyurusu, Spring Authorization Server proje sayfası, OpenJDK JEP 500, Inside Java, Avoiding Final Field Mutation, Oracle Java Blog - The Arrival of Java 26, InfoQ Java/Spring, Baeldung Spring/Java içerikleri, Josh Long - This Week in Spring, 12 Mayıs 2026, Gunnar Morling blogu, Hardwood 1.0.0.Beta2 duyurusu ve Burak KUTBAY - API Versiyonlama ile HTTP Service Client.
Bugün tekrar üretmemek için 12 Mayıs raporundaki Gateway SSL advisory, Batch 6 ve Spring Kafka 4.1 operabilite vurgusu birincil başlık yapılmadı. Baeldung ve Burak KUTBAY kaynakları resmi Spring sinyallerini destekledi, ancak yeni release ya da yeni risk üretmedikleri için bağlamsal seviyede tutuldu.

Öne Çıkan Başlıklar

Spring Cloud Config tarafında 6 Mayıs 2026 tarihli advisory kümesi, Config Server kullanan ekipler için açıkça acil yama konusu. Dört ayrı açık aynı operasyon yüzeyini vuruyor ve OSS kullanıcıları için pratik güvenli hat 4.3.3 ile 5.0.3.
Spring Cloud Function CVE-2026-40989 küçük görünse de etkisi gerçek: routing/composition katmanında sonsuz recursion ile OOM tetiklenebiliyor. Fonksiyon kompozisyonu ve serverless adapter kullanan ekipler için doğrudan üretim riski.
Spring Boot 4.1.0-RC1 artık yalnız “erken önizleme” değil; veri erişimi, HTTP client, gRPC ve observability yüzeyine dokunan somut değişikliklerle gerçek compatibility-lane adayı.
Spring AI 1.0.7 / 1.1.6 / 2.0.0-M6 hattı, AI özellik eklemekten çok davranış semantiğini sıkılaştırıyor: explicit conversation ID zorunluluğu ve OpenAI properties hiyerarşisi değişikliği doğrudan migration etkisi yaratıyor.
JEP 500 ile Java 26, final field mutation davranışını gelecekte exception’a gidecek bir uyarı rejimine taşıdı. Bu, reflection ağırlıklı test, mocking, serialization ve bazı legacy framework kalıpları için erken alarm.

Kritik Güncellemeler

Spring Cloud Config advisory dalgası tek seferde dört yüzeyi vurdu

6 Mayıs 2026 tarihli resmi Spring advisory’leri aynı ürün üzerinde dört ayrı risk işaret ediyor:

CVE-2026-40982: spring-cloud-config-server üzerinden directory traversal
CVE-2026-40981: Google Secrets Manager backend’inde istemcinin yetkisiz proje secret’larına erişebilmesi
CVE-2026-41002: spring.cloud.config.server.git.basedir üzerinde TOCTOU saldırı penceresi
CVE-2026-41004: trace logging açıkken hassas verinin log’a düz metin düşmesi

Buradaki asıl karar noktası yalnız patch değil, hat seçimi. Resmi advisory’lerde ve dokümantasyon sayfalarında OSS fix hattı 4.3.3 ve 5.0.3 olarak görünüyor; 4.1.x ve 4.2.x için fix var ama enterprise-only. Bu, Config Server’ı hâlâ eski Spring Cloud neslinde tutan ekiplerin güvenlik borcunu doğrudan maliyetli hale getiriyor.

Spring Cloud Function routing katmanındaki bug artık güvenlik/kararlılık sorunu

CVE-2026-40989 ilk bakışta “moderate” görünüyor ama üretim açısından semantik önemli: self-routing guard function composition üzerinden by-pass edilebiliyor ve istek işleme OOM’a gidebiliyor. Geçici kaçış yolu “function kendisiyle compose edilemesin” olsa da asıl çözüm fix release’e çıkmak:

OSS: 4.3.3 veya 5.0.2
Enterprise: 4.2.6 veya 3.2.16

Bu özellikle function routing’i HTTP, stream ya da FaaS bağlamında ortak giriş noktası olarak kullanan ekiplerde yük testiyle doğrulanmalı.

Spring Authorization Server 1.5.7 yalnız patch değil, yol ayrımı sinyali

Spring Authorization Server 1.5.7 release’i CVE-2026-22752 için çıktı; fakat daha önemli mesaj proje sayfasında: Spring Authorization Server artık Spring Security 7.0’a taşındı ve 1.5.x son nesil. 1.3.x ve 1.4.x açık kaynak desteği bitti.

Bu, “authorization server’ı uygulamadan ayrı, yavaş taşırız” yaklaşımının ömrünü kısaltıyor. Auth yüzeyinde uzun süreli bakım planı olan ekiplerin artık Spring Security 7 tabanlı geleceği roadmap’e yerleştirmesi gerekiyor.

Trendler ve Sinyaller

1. En büyük saldırı yüzeyi artık business code değil, configuration plane

Config Server, Gateway, Authorization Server ve Cloud Function advisory’leri birlikte okununca ortak desen net:

saldırı yüzeyi çoğu zaman “yan servis” veya “platform bileşeni” diye görülen katmanlarda yoğunlaşıyor
güvenlik açığı doğrudan API business logic’inde değil; config dağıtımı, routing, dynamic registration veya loglama gibi operasyon yüzeylerinde çıkıyor
OSS support boundary, teknik risk kadar önemli hale geliyor

Kalıcı değer: platform servislerini uygulama servislerinden daha yavaş güncelleme alışkanlığını kırmak.
Gürültü: yalnız uygulama dependency’lerini tarayıp platform bileşenlerini “altyapı konusu” saymak.

2. Spring 7 / Boot 4 dalgası yan projeleri artık gerçekten sürüklüyor

Spring Boot 4.1.0-RC1, Spring Data 2026.0.0-RC1 ve Spring Authorization Server proje notu birlikte şu tabloyu gösteriyor:

Framework 7, Security 7 ve Data 2026.0 çevresinde release-train daha sıkı hizalanıyor
preview/RC sürümler artık sadece framework internals değil, gRPC, Redis listeners, HTTP clients, observability, database proxying gibi sahaya yakın alanlara dokunuyor
major migration maliyeti yalnız javax -> jakarta sınıfında değil; ürünler arası “hangi nesilde kalacağım?” kararına dönüşüyor

Kalıcı değer: ayrı bir boot-4.1-compatibility hattı açmak ve dependency graph’i release-train düzeyinde test etmek.
Gürültü: yalnız parent BOM sürümünü yükseltip davranış değişikliklerini transitive dependency işi sanmak.

3. Java platformu “integrity by default” yönünde kütüphane ekosistemini sıkıştırıyor

JEP 500, Inside Java’daki rehber yazı ve Oracle’ın Java 26 duyurusu aynı yöne işaret ediyor:

final field mutation artık teknik borç değil, görünür runtime uyarısı
framework ve library yazarlarına “constructor invocation’a dön, deep reflection’dan uzaklaş” mesajı veriliyor
bugünün warning’i, yarının runtime exception’ı için hazırlık

Kalıcı değer: constructor injection, record kullanımı, serialization proxy/readResolve/readObject alternatifleri.
Gürültü: testlerde veya framework internals’ta gelen warning’leri “yalnızca Java 26 gürültüsü” saymak.

4. Spring AI tarafında asıl olgunlaşma sinyali yeni model değil, state semantiği

Spring AI 2.0.0-M6 duyurusu explicit conversation ID zorunluluğu ve properties sınıfı ayrışmasıyla şunu gösteriyor: ekip, LLM demo’sundan production state yönetimine geçiyor.

Kalıcı değer: chat memory kapsamını explicit hale getirmek, config binding hack’lerinden çıkmak, 2.0’a kontrollü geçmek.
Gürültü: yalnız yeni provider sayısına veya yeni advisor sayısına bakıp state ve migration semantiğini arka plana atmak.

Araçlar ve Kütüphaneler

Spring Boot 4.1.0-RC1: Yüksek öncelik. LazyConnectionDataSourceProxy, Redis annotation-driven listeners, @GrpcAdvice, truststore certificate monitoring ve HTTP client filtreleme gibi özellikler özellikle platform ekipleri için anlamlı.
Spring AI 2.0.0-M6: Orta-yüksek öncelik. AI uygulaması yapan ekipler için gerçek migration hazırlığı gerektiriyor; sadece “yenilik deneme” sürümü değil.
Spring Authorization Server 1.5.7: Yüksek öncelik. Dynamic client registration açık olan kurulumlar için doğrudan patch release.
Hardwood 1.0.0.Beta2: Düşük öncelik. Spring Batch, data lake ya da JVM ETL işi olan ekipler için ilginç; genel Spring backend portföyü için bugünün ana sinyali değil.

Bugün genel amaçlı yeni OSS backend kütüphanesi sinyali sınırlı. Ekosistem enerjisi daha çok güvenlik patch’lerine ve 4.1 / 2.0 geçiş hatlarına akmış durumda.

Java / Spring Geliştiricileri İçin Etkiler

Config Server çalıştırıyorsanız, yalnız dependency bump değil; trace log, git.basedir, binary file serving ve GCP Secret Manager davranışı için gerçek operasyon testi gerekiyor.
Spring Cloud Function kullanan ekipler, function composition zincirlerini ve routing kurallarını “yan özellik” değil, kapasite/saldırı yüzeyi olarak ele almalı.
Boot 4.1 RC1 denemesi için artık iyi bir zaman. Özellikle Redis Pub/Sub, gRPC, observability, HTTP client ve JDBC proxying kullanan platformlar gerçek fayda görebilir.
Spring AI kullanan ekiplerde implicit conversation state’i olan tüm akışlar audit edilmeli. M6 sonrası davranış daha deterministik ama eski kod daha kolay kırılabilir.
Authorization Server ekipleri için temel soru artık “1.5.7’ye patch geçelim mi?” değil; “Security 7 tabanlı gelecek mimarisini ne zaman başlatıyoruz?”.
Java 26 pilotu yapan ekipler, test ve runtime log’larında final-field mutation warning’lerini toplamaya başlamalı. Bunlar gelecekteki JDK yükseltmelerinde sessizce patlayabilecek yerler.

Fırsatlar ve Riskler

Fırsat: Spring Cloud Config ve Authorization Server patch’lerini hızlı almak, uygulama koduna dokunmadan ciddi risk azaltımı sağlayabilir.
Fırsat: Boot 4.1 RC1 ile release-train geçişini GA beklemeden compatibility lane’de ölçmek, son dakika sürprizlerini azaltır.
Fırsat: Spring AI 2.0 geçişini erkenden test etmek, hafıza kapsamı ve provider config davranışını üretime taşımadan stabilize etmeyi sağlar.
Risk: OSS desteği bitmiş 4.1.x / 4.2.x gibi Cloud nesillerinde kalmak, güvenlik yamasını teknik karardan çok satın alma kararına dönüştürüyor.
Risk: Function composition ve chat memory gibi “kolay” görünen soyutlamaların arka plandaki state semantiğini test etmemek, prod’da OOM veya veri karışması olarak dönebilir.
Risk: Java 26 warning’lerini görmezden gelmek, JDK 27+ döneminde framework/test araçlarıyla daha sert uyumsuzluklar üretir.

İzlenmesi Gereken Konular

Spring Cloud Config tarafında 5.0.4-SNAPSHOT ve 4.3.4-SNAPSHOT sonrası ek hardening veya follow-up advisory geliyor mu?
Spring Cloud Function için 5.0.2 sonrası routing/composition katmanında ek guard veya regression notu yayınlanıyor mu?
Spring AI milestones üzerinde 2.0.0-M7 (hedef 21 Mayıs 2026) ve 2.0.0 GA (hedef 4 Haziran 2026) ne kadar sapıyor?
Spring Data 2026.0 GA Mayıs içinde geldiğinde Boot 4.1 hattındaki Data davranışı ne kadar stabil görünüyor?
Spring Authorization Server ile Spring Security 7 konsolidasyonu, örnekler ve migration dokümanı açısından ne kadar hızlanıyor?
JEP 500 warning’lerine karşı büyük Java framework’leri hangi uyum stratejilerini açıklıyor?

Kaynak Bazlı Bulgular

Bulgu 1

title: Spring Cloud Config için dört advisory aynı anda patch zorunluluğu yarattı
source: CVE-2026-40982, CVE-2026-40981, CVE-2026-41002, CVE-2026-41004, Spring Cloud Config project page, Spring Cloud Config reference
author: Spring Security advisory team
date: 6 Mayıs 2026
category: security, config-management, cloud
tags: spring-cloud-config, config-server, directory-traversal, google-secrets-manager, toctou, trace-logging, oss-support
summary: Config Server için directory traversal, cross-project secret exposure, git.basedir TOCTOU ve sensitive log leakage dahil dört ayrı açık duyuruldu; OSS düzeltme hattı fiilen 4.3.3 ve 5.0.3.
why_it_matters: Bu küme, config plane’i ikincil servis değil birincil saldırı yüzeyi haline getiriyor.
java_spring_relevance: Spring Cloud Config kullanan tüm platformlar için çok yüksek; özellikle GCP Secrets Manager veya Git-backed Config Server kullanan ekipler için kritik.
actionability: hemen_aksiyon
impact_level: çok-yüksek
opportunities: Config Server’ı desteklenen OSS hatta taşıyarak hızlı risk azaltımı; log ve filesystem hardening kontrollerini standardize etme.
risks: Yetkisiz dosya erişimi, yanlış projeden secret sızması, symlink/TOCTOU tabanlı dosya sistemi istismarı ve log sızıntısı.
migration_notes: 4.1.x ve 4.2.x kullanıcıları için açık kaynakta güvenli yol doğrudan 4.3.3 veya 5.0.3; token-mandatory=true yalnız geçici azaltım.

Bulgu 2

title: Spring Cloud Function routing/composition açığı OOM sınıfı kararlılık problemi üretiyor
source: CVE-2026-40989, This Week in Spring - 12 Mayıs 2026
author: Spring Security advisory team / Josh Long
date: 8 Mayıs 2026
category: security, serverless, runtime-behavior
tags: spring-cloud-function, routing, composition, oom, serverless, faas
summary: Self-routing guard, function composition üzerinden by-pass edilerek sonsuz recursion ve OOM’a yol açabiliyor; OSS fix hattı 4.3.3 ve 5.0.2.
why_it_matters: “Moderate” seviyesi, üretim etkisinin düşük olduğu anlamına gelmiyor; routing katmanı istek başına kaynak tüketimini kontrol ediyor.
java_spring_relevance: Spring Cloud Function ile HTTP, stream veya FaaS akışı kuran ekipler için yüksek.
actionability: hemen_aksiyon
impact_level: yüksek
opportunities: Function tanımlarını ve composition kurallarını yeniden test ederek beklenmeyen recursion yüzeyini küçültmek.
risks: OOM, talep sıçramasında kararsızlık ve serverless adaptörlerinde öngörülmeyen kapanışlar.
migration_notes: Enterprise olmayan ekipler için pratik hedef 4.3.3 veya 5.0.2; kısa vadeli workaround kalıcı çözüm sayılmamalı.

Bulgu 3

title: Spring Authorization Server 1.5.7 güvenlik yaması, ürünün son nesline de işaret ediyor
source: Spring Authorization Server 1.5.7 Available Now, Spring Authorization Server project page, CVE-2026-22752
author: Joe Grandja
date: 21 Nisan 2026
category: security, identity, support-policy
tags: spring-authorization-server, spring-security-7, dynamic-client-registration, xss, ssrf, support-policy
summary: 1.5.7, dynamic client registration metadata doğrulama açığını kapatıyor; proje sayfası ayrıca ürünün Spring Security 7.0’a taşındığını ve 1.5.x dalının son nesil olduğunu netleştiriyor.
why_it_matters: Auth server tarafında patch almak ile gelecek mimariyi belirlemek artık aynı kararda birleşiyor.
java_spring_relevance: Kendi OAuth2/OIDC authorization server’ını Spring ile kuran ekipler için çok yüksek.
actionability: hemen_aksiyon
impact_level: çok-yüksek
opportunities: Auth yüzeyini Spring Security 7 tabanlı geleceğe daha erken taşımak; dynamic client registration akışını yeniden sertleştirmek.
risks: XSS, SSRF veya privilege escalation etkileri; EOL nesillerde kalmaya devam etmek.
migration_notes: 1.3.x ve 1.4.x OSS dışı; 1.5.7 kısa vadeli güvenli patch, orta vadede ise Security 7 odaklı migration lane açılmalı.

Bulgu 4

title: Spring Boot 4.1.0-RC1 ve Spring Data 2026.0-RC1, gerçek bir release-train geçiş provası sunuyor
source: Spring Boot v4.1.0-RC1 release notes, Spring Boot project versions, Spring Data 2026.0.0-RC1 enters release candidate phase
author: spring-builds / Mark Paluch
date: 17 Nisan 2026 ve 23 Nisan 2026
category: platform-release, data, observability
tags: spring-boot-4-1, spring-data-2026, rc, grpc, redis, http-client, truststore, lazyconnectiondatasourceproxy
summary: Boot 4.1 RC1; Redis annotation-driven listeners, LazyConnectionDataSourceProxy, HTTP client address filtering, truststore certificate monitoring ve @GrpcAdvice gibi sahaya yakın özellikler getirirken Spring Data 2026.0 RC1 de upsert, Redis Pub/Sub ve cache reset iyileştirmeleriyle Mayıs GA öncesi release-train’i tamamlıyor.
why_it_matters: Bu artık “erken bakış” sürümü değil; platform, data ve transport davranışını aynı anda etkileyen ciddi bir compatibility test yüzeyi.
java_spring_relevance: Enterprise Spring Boot platformları, iç starter’ları olan ekipler ve veri erişim katmanı yoğun servisler için yüksek.
actionability: planlı_aksiyon
impact_level: yüksek
opportunities: GA öncesinde kırılacak integration/test katmanlarını bulmak; gRPC, Redis ve JDBC proxy davranışını erken ölçmek.
risks: RC’yi üretime yakınlaştırmadan dependency train etkisini görmemek; Data/Boot uyumsuzluklarını geç fark etmek.
migration_notes: Ayrı bir 4.1 compatibility lane önerilir; Data, Security ve observability bağımlılıkları birlikte denenmeli.

Bulgu 5

title: Spring AI Mayıs release’leri production state yönetimini sıkılaştırıyor
source: Spring AI 1.0.7, 1.1.6, 2.0.0-M6 Available Now, Spring AI milestones
author: Ilayaperumal Gopinathan / Spring AI team
date: 8 Mayıs 2026
category: ai, migration, state-management
tags: spring-ai, conversation-id, chat-memory, openai-properties, vector-store, boot-4, jackson-3
summary: 1.0.7, 1.1.6 ve 2.0.0-M6; explicit conversation ID zorunluluğu, PromptChatMemoryAdvisor deprecation/removal, OpenAI properties hiyerarşisi değişimi ve bazı vector store modüllerinin çıkarılmasıyla migration etkisi taşıyor. GitHub milestones, 2.0.0-M7 için 21 Mayıs 2026 ve GA için 4 Haziran 2026 hedefini gösteriyor.
why_it_matters: AI uygulamalarında en pahalı hatalar çoğu zaman model seçimi değil, state scope ve config binding semantiğinden doğar.
java_spring_relevance: Spring AI ile chat memory, advisor zinciri veya provider-specific property binding kullanan ekipler için çok yüksek.
actionability: planlı_aksiyon
impact_level: orta-yüksek
opportunities: Conversation state’i explicit hale getirerek cross-chat bleed riskini azaltmak; 2.0’a kontrollü geçiş planı hazırlamak.
risks: Implicit ID’ye dayalı bellek karışması, eski property hiyerarşisine yaslanan kodun kırılması, çıkarılan modüller nedeniyle dependency boşluğu.
migration_notes: Tüm chat memory çağrıları explicit conversation ID verecek şekilde güncellenmeli; properties sınıflarına reflection/introspection yapan kod gözden geçirilmeli.

Bulgu 6

title: Java 26 ile final field mutation davranışı görünür uyumsuzluk sinyaline dönüştü
source: JEP 500, Avoiding Final Field Mutation, The Arrival of Java 26
author: Ron Pressler & Alex Buckley / Nicolai Parlog / Oracle Java team
date: 17 Mart 2026 ve 27 Nisan 2026
category: jdk, integrity, compatibility
tags: java-26, jep-500, reflection, final-fields, constructor-invocation, serialization, warnings
summary: JDK 26, deep reflection ile final field mutation yapıldığında runtime warning üretmeye başladı; Inside Java ekibi de records, constructor invocation ve serialization proxy gibi kaçış yollarını açıkça öneriyor.
why_it_matters: Bu değişim, framework internals ve test araçları dahil tüm Java ekosistemine gelecekteki daha sert kısıtların geleceğini söylüyor.
java_spring_relevance: Spring uygulamalarında reflection, mocking, serialization/deserialization ve eski field-injection kalıpları olan yerler için orta-yüksek.
actionability: planlı_aksiyon
impact_level: orta-yüksek
opportunities: Constructor injection ve immutable model kullanımını artırmak; Java 26 pilotlarıyla gelecekteki JDK riskini erken görmek.
risks: Yeni warning’leri görmezden gelip sonraki JDK’larda exception veya uyumsuzluk yaşamak.
migration_notes: Java 26 test koşularında warning toplama açılmalı; gerekirse geçici --enable-final-field-mutation kullanımı bilinçli ve sınırlı tutulmalı.

Bulgu 7

title: Hardwood 1.0.0.Beta2, JVM veri işleme tarafında hafif ve hızlı Parquet alternatifi olma yönünde ilerliyor
source: Hardwood 1.0.0.Beta2
author: Gunnar Morling
date: 29 Nisan 2026
category: tooling, data-processing, oss
tags: parquet, hardwood, java-21, tui, reproducible-builds, object-storage
summary: Beta2; VARIANT desteği, interaktif TUI, object storage erişim iyileştirmeleri ve reproducible JAR builds ile geldi.
why_it_matters: Spring Batch veya JVM tabanlı veri işleme hatlarında ağır Hadoop bağımlılığı istemeyen ekipler için alternatif sinyal üretiyor.
java_spring_relevance: Genel Spring web servisleri için düşük; ETL, batch ve data lake ağırlıklı Java ekipleri için orta.
actionability: izle
impact_level: düşük-orta
opportunities: Hafif Parquet okuma katmanı ve batch/data tooling sadeleştirmesi.
risks: Erken beta; genel backend portföyünde gereğinden fazla dikkat çekip asıl güvenlik/upgrade işlerini gölgeleyebilir.
migration_notes: Yalnız izleme aşamasında; üretim adaylığı için API/performans ve ekosistem uyumu erken.

Sonuç

Bugünün en güçlü sinyali “yeni feature heyecanı” değil; Spring platform servislerinin güvenlik ve support boundary açısından daha sert bir döneme girmesi. Spring Cloud Config, Spring Cloud Function ve Authorization Server tarafı; ekiplerin platform bileşenlerini uygulama servislerinden daha gevşek yönetemeyeceğini net biçimde gösteriyor.

İkinci güçlü sinyal, release-train yakınsaması. Boot 4.1 RC1, Data 2026.0 RC1 ve Spring AI 2.0 hattı birlikte okununca, Java/Spring ekipleri için asıl yüksek değerli iş; kontrollü compatibility lane açmak, güvenlik yamalarını hızla almak ve Java 26 warning’lerini geleceğin kırılma noktaları olarak toplamaya başlamak.