Günlük Java / Spring Ekosistem Raporu

Tarih: 19 Mayıs 2026
Tarama zamanı: 19 Mayıs 2026 09:12 TSİ
Odak: Spring AI bellek ve güvenlik değişimleri, Spring Cloud Config/Function güvenlik dalgası, Boot 4.1 etrafındaki release-train kayması, Java 26 operasyonel runtime sinyalleri

Tarama notu: Bu rapor hazırlanırken Official Spring Blog, Spring proje sayfaları, Spring Security Advisories, Spring Support Policy, Spring AI upgrade notes, Inside Java, OpenJDK JEP sayfaları, Oracle Java Blog, InfoQ Java/Spring, Baeldung, Josh Long’un This Week in Spring yazıları, Gunnar Morling’in blogu ve Burak KUTBAY’ın blogu tarandı. 18 Mayıs raporunda yoğun işlenen Boot/Security patch hattını tekrar büyütmek yerine, bugün özellikle 8-11 Mayıs arası gelen ama dünkü raporda merkezde olmayan kırılma ve geçiş sinyallerine odaklanıldı. Gunnar Morling tarafında son içerik hâlâ Hardwood/Parquet ekseninde; bugünkü Spring üretim kararlarını doğrudan etkileyen yeni bir yazı görünmüyor. Burak KUTBAY tarafında en güncel Boot 4 odaklı pratik içerik hâlâ HTTP Service Client ve API versioning hattında.

Öne Çıkan Başlıklar

Spring Cloud Config ve Spring Cloud Function için 8 Mayıs güvenlik sürümleri doğrudan üretim alarmı seviyesinde. Özellikle Config Server tarafında path traversal, gizli bilgi sızıntısı ve TOCTOU riski var.
Spring AI 1.0.7, 1.1.6 ve 2.0.0-M6 yalnız bug fix değil; implicit conversation memory davranışını fiilen kırıyor. ChatMemory.DEFAULT_CONVERSATION_ID yaklaşımı artık güvenli sayılmıyor.
Spring’in Mayıs OSS release train’i 11-22 Mayıs’tan 1-5 Haziran 2026 aralığına kaydı. Boot 4.1, yeni minor hatlar ve beklenen GA güncellemeleri için planlar bu tarihe göre revize edilmeli.
Spring Data 2026.0.0-RC1 veri erişim katmanında daha tip güvenli ve daha operasyonel davranışlara gidiyor: template-level upsert, Redis Pub/Sub gönderim standardizasyonu ve toplu cache reset optimizasyonu.
Java 26 for DevOps tarafında AOT object caching artık ZGC kullanıcılarını da kapsıyor; G1’de ise resmi Inside Java notuna göre bazı iş yüklerinde %5-%15 throughput artışı sinyali var.

Kritik Güncellemeler

1. Spring Cloud Config ve Function için Mayıs güvenlik dalgası

Ryan Baxter’ın duyurusu ve Spring Security Advisories birlikte okunduğunda tablo net:

Spring Cloud Config OSS hatları 5.0.3 ve 4.3.3 yayımlandı.
Spring Cloud Function OSS hatları 5.0.2 ve 4.3.3 yayımlandı.
Config tarafında dikkat çeken CVE’ler:
- CVE-2026-40982: pre-auth path traversal
- CVE-2026-40981: Google Secrets Manager üzerinde proje sınırı aşımı
- CVE-2026-41002: git.basedir için TOCTOU riski
- CVE-2026-41004: trace log’da hassas veri sızıntısı
Function tarafında öne çıkan riskler:
- CVE-2026-40989: self-routing guard bypass ile OOM
- CVE-2026-40990: sınırsız function definition cache ile OOM

Bu paket “patch çıkar, sonra bakarız” sınıfında değil. Config Server kullanan ekipler için config düzlemi artık doğrudan saldırı yüzeyi.

2. Spring AI bellek davranışı artık explicit kimlik istiyor

Spring AI 1.0.7 / 1.1.6 / 2.0.0-M6 duyurusu ve upgrade notes şu üç noktayı kritik hale getiriyor:

PromptChatMemoryAdvisor artık terk edilen yol; yeni yön MessageChatMemoryAdvisor.
ChatMemory.CONVERSATION_ID artık zorunlu; implicit/default conversation kapsamı kaldırıldı.
ChatMemory.DEFAULT_CONVERSATION_ID kaldırıldığı için bazı uygulamalar derleme anında, bazıları da runtime’da kırılacak.

Ek olarak aynı sürüm seti CVE-2026-41705, CVE-2026-41712 ve CVE-2026-41713 güvenlik düzeltmelerini içeriyor. Bu yüzden bu değişiklik yalnız API estetiği değil, veri izolasyonu ve prompt poisoning riskinin kapatılması.

3. Boot 4.1 ve yeni minor sürümler için takvim kaydı

May Release Train Date Changes duyurusuna göre tüm OSS minor/patch hattı 1-5 Haziran 2026’ya kaydı. Bu şu anlama geliyor:

Boot 4.1 bekleyen upgrade/backlog’lar birkaç hafta daha “hazır ama çıkmamış” bölgede kalacak.
Spring Data 2026.0 GA, yeni Cloud/Security uyumlamaları ve diğer portföy minor sürümleri de fiilen bu pencereye sıkışıyor.
RC/M milestone ile production plan karıştıran ekiplerde yanlış sürüm seçimi riski artıyor.

4. Spring Framework tarafında destek sınırı da sertleşiyor

Spring Framework 6.2.18 ve 7.0.7 duyurusu bugün hâlâ önemli, çünkü iki mesaj içeriyor:

CVE-2026-22740, CVE-2026-22741, CVE-2026-22745 ile WebFlux/MVC static resource ve multipart hatları düzeltildi.
5.3.x ve 6.1.x OSS desteği bitti.

Bu, Boot hattı eski olan ekipler için “framework’e dokunmayalım” yaklaşımını daha riskli hale getiriyor.

Trendler ve Sinyaller

1. AI entegrasyonları demo modundan yönetişim moduna geçiyor

Spring AI upgrade notes, InfoQ’daki MCP analizi ve Context-Aware AI / CAG yazısı aynı çizgiyi gösteriyor:

bellek kapsamı explicit olmalı,
araç erişimi protokolleşmeli,
context yalnız prompt string’i değil, yönetilen bir yaşam döngüsü olmalı.

Bu özellikle Spring AI kullanan ekipler için önemli, çünkü “hızlı PoC” kodları en çok burada patlayacak.

2. Boot 4.1 geçişi tek bir dependency upgrade işi değil

InfoQ’nun Spring Team söyleşisi Boot 4 tarafındaki mimari değişimi yalnız performans değil, platform tasarımı olarak çerçeveliyor:

modularized autoconfigure JAR,
Jackson 3 geçişi,
built-in retry ve concurrency throttling,
JSpecify tabanlı null-safety,
first-class API versioning.

Bu da upgrade’i “pom.xml bump” olmaktan çıkarıp kod, kütüphane ve ekip standartları meselesi yapıyor.

3. Daha az stringly typed, daha fazla explicit contract

Bugün ayrı kaynaklardan gelen ama aynı yöne işaret eden üç sinyal var:

Spring Data typed property path yaklaşımı,
Spring AI tarafında explicit conversation ID zorunluluğu,
MCP/CAG yazılarında context ve tool sınırlarının explicitleştirilmesi.

Mesaj ortak: refactoring güvenliği, scope kontrolü ve runtime davranış açıklığı daha değerli hale geliyor.

4. Operasyonel performans yeniden JDK özellikleriyle masaya dönüyor

Inside Java’nın Java 26 operasyon notu sayesinde startup/warmup ve GC throughput konusu yeniden pratik hale geliyor. Bu, Spring Boot tarafında CDS/AOT/native dışındaki klasik JVM deploy’lar için de kayda değer.

Araçlar ve Kütüphaneler

Spring Data 2026.0.0-RC1: Orta-yüksek öncelik. Özellikle relational upsert, Redis Pub/Sub ve cache reset davranışları veri erişim katmanında operasyonel sadeleşme sağlayabilir.
Moving beyond Strings in Spring Data: Orta öncelik. Sort.by(Person::getFirstName) türü typed property path yaklaşımı büyük codebase’lerde refactor riskini azaltır.
Spring Tools 5.1.0: Orta öncelik. AOT repository desteği, Framework 7 API versioning validation’ı ve JDK 25 AOT Cache/CDS tabanlı daha hızlı language server açılışı geliştirici verimliliği için güçlü sinyal.
HTTP Service Client - Spring Boot 4.0: Düşük-orta öncelik ama pratik. Burak KUTBAY’ın son Boot 4 içerikleri, declarative HTTP client ve API versioning gibi günlük kod yazımını etkileyen özelliklere odaklanıyor; bu da yerel geliştirici topluluğunda hangi alanların pratik karşılık bulduğunu gösteriyor.
Bugün Micrometer, Reactor, Kubernetes Java client veya Testcontainers tarafında aynı ağırlıkta yeni resmi üretim alarmı görünmedi; zayıf sinyalleri şişirmemek daha doğru.

Java / Spring Geliştiricileri İçin Etkiler

Spring Cloud Config Server kullanıyorsanız bunu normal bir “yardımcı servis” değil, korunması gereken kontrol düzlemi olarak ele alın. Patch, erişim sınırı ve log sanitization öncelik olsun.
Spring AI kullanan kodda ChatMemory.DEFAULT_CONVERSATION_ID, implicit session memory veya PromptChatMemoryAdvisor geçen yerler hızlıca envantere alınmalı.
Boot 4.1 bekleyen ekipler RC ve milestone ile production hedefini karıştırmamalı; 1-5 Haziran 2026 penceresi yeni karar noktası.
Spring Data 2026.0 hattı, özellikle çok büyük repository/query yüzeyi olan projelerde “string alan adı” teknik borcunu azaltmak için iyi bir pilot fırsatı.
Java 26 denemelerinde yalnız benchmark bakmayın; CDS/AOT cache ve GC throughput iyileşmeleri container cold-start ve scale-out davranışında ayrıca ölçülmeli.
Spring Boot 4 geçişi planlayan ekipler yalnız framework tarafına değil Jackson 3, API versioning, nullability, retry/concurrency ve tool-chain uyumuna birlikte bakmalı.

Fırsatlar ve Riskler

Fırsat: Spring AI’de explicit conversation ID zorunluluğu, çok kiracılı sistemlerde veri izolasyonunu gerçek anlamda düzeltmek için iyi bir vesile.
Fırsat: Spring Data typed property path yaklaşımı, refactor-safe query yazımı için Querydsl benzeri güvenliği daha hafif bir modelle getirebilir.
Fırsat: Java 26 AOT cache ve G1 iyileştirmeleri, native image’a gitmeden startup/warmup kazancı arayan ekipler için yeni deney alanı açıyor.
Risk: Spring Cloud Config patch’lerini ertelemek, config sunucusunu kritik güvenlik borcuna dönüştürür.
Risk: Spring AI 1.1.x veya 2.0 milestone kodunu implicit memory varsayımlarıyla çalıştırmak, cross-user leakage veya üretim kırığı doğurabilir.
Risk: Release train kaymasını yanlış okuyup RC/milestone sürümlerini kalıcı platform standardı yapmak, Haziran başındaki gerçek GA ile gereksiz tekrar iş çıkarır.
Risk: Boot 4 geçişini yalnız uygulama ekibine bırakmak, platform, güvenlik ve geliştirici deneyimi tarafındaki sürpriz maliyetleri gizler.

İzlenmesi Gereken Konular

1-5 Haziran 2026 release train haftasında Boot 4.1, Spring Data 2026.0 GA ve buna bağlı Cloud/Security uyumluluk adımları
Spring AI 2.0 hattında milestone’dan RC’ye giderken MCP, memory advisor ve provider property değişikliklerinin ne kadar daha stabilize olacağı
Spring Cloud Config CVE’leri sonrası toplulukta ek hardening rehberleri veya exploit detayları yayımlanıp yayımlanmayacağı
Java 26 üzerinde gerçek Spring Boot servislerinde CDS/AOT cache ve G1 throughput kazanımlarının ne kadar tekrar üretilebildiği
Spring Tools 5.1.0 ve sonrası sürümlerde AI coding environment entegrasyonunun ne kadar derinleşeceği
Burak KUTBAY, Josh Long ve Spring Office Hours hattında upgrade automation, OSS security remediation ve Boot 4.1 pratikleriyle ilgili yeni içeriklerin gelip gelmeyeceği

Kaynak Bazlı Bulgular

Bulgu 1

title: Spring Cloud Config ve Function Mayıs güvenlik sürümleri doğrudan kontrol düzlemi riski taşıyor
source: Ryan Baxter author page / release excerpt, Spring Security Advisories
author: Ryan Baxter; Spring Security Advisory Team
date: 8 Mayıs 2026
category: security, cloud, operations
tags: spring-cloud-config, spring-cloud-function, cve, config-server, gcp-secrets, routing, oom
summary: Spring Cloud Config ve Spring Cloud Function için Mayıs başında yayımlanan sürümler birden fazla CVE kapatıyor; özellikle Config Server tarafında path traversal, secret erişim sınırı ve log sızıntısı dikkat çekiyor.
why_it_matters: Bu bileşenler tipik olarak merkezi ve yüksek ayrıcalıklı çalıştığı için açıkların etkisi servis başına değil platform geneline yayılır.
java_spring_relevance: Spring Cloud Config Server, Function routing veya serverless-style function registry kullanan ekipler için çok yüksek.
actionability: hemen_aksiyon
impact_level: çok-yüksek
opportunities: Config plane hardening, log sanitization ve erişim modeli gözden geçirmesi için somut tetikleyici.
risks: Path traversal, yanlış secret erişimi, trace log sızıntısı ve bellek tüketimi tabanlı servis bozucu durumlar.
migration_notes: En azından OSS destekli Config 5.0.3/4.3.3 ve Function 5.0.2/4.3.3 seviyelerine çıkılmalı; trace log ve git basedir konfigürasyonları ayrıca denetlenmeli.

Bulgu 2

title: Spring AI 1.1.6 ve 2.0.0-M6 implicit chat memory modelini fiilen bitiriyor
source: Spring AI 1.0.7, 1.1.6, 2.0.0-M6 Available Now, Spring AI Upgrade Notes
author: Ilayaperumal Gopinathan; Spring AI team
date: 8 Mayıs 2026
category: ai, security, migration
tags: spring-ai, chat-memory, conversation-id, promptchatmemoryadvisor, mcp, vector-store
summary: Chat memory advisor’ları artık explicit conversation ID istiyor; PromptChatMemoryAdvisor kullanım dışına itiliyor ve ChatMemory.DEFAULT_CONVERSATION_ID kaldırılıyor.
why_it_matters: Bu değişiklik çok kiracılı veya çok oturumlu AI servislerinde yanlış bellek kapsamı ve kullanıcılar arası veri sızıntısı riskini azaltıyor; ama eski kodu kırıyor.
java_spring_relevance: Spring AI ile chat memory, advisor chain veya agent benzeri akış yazan tüm ekipler için yüksek.
actionability: hemen_aksiyon
impact_level: çok-yüksek
opportunities: Memory scope’u tenant/session/user bazında doğru modellemek ve prompt poisoning yüzeyini küçültmek.
risks: Eski kodun derleme/runtime kırığı, yanlış memory scoping, milestone hattında ek migration maliyeti.
migration_notes: PromptChatMemoryAdvisor yerine MessageChatMemoryAdvisor düşünülmeli; tüm çağrılarda ChatMemory.CONVERSATION_ID taşınmalı; 2.0 hattında provider property ve bazı vector store modülleri için ek migration beklenmeli.

Bulgu 3

title: Spring OSS Mayıs release train’i Haziran başına kaydı
source: May Release Train Date Changes, This Week in Spring - May 12th, 2026
author: Michael Minella; Josh Long
date: 11-12 Mayıs 2026
category: release-management, roadmap
tags: spring-boot-4-1, release-train, ga, rc, timeline
summary: Mayıs için planlanan tüm OSS minor ve patch sürümleri 1-5 Haziran 2026 aralığına taşındı.
why_it_matters: Takvim kayması doğrudan sürüm seçimi, platform donma tarihleri ve rollout planlarını etkiler.
java_spring_relevance: Boot 4.1, Spring Data 2026.0 GA veya eşlik eden portföy güncellemelerini bekleyen ekipler için yüksek.
actionability: planlı_aksiyon
impact_level: yüksek
opportunities: RC ve milestone testlerini biraz daha olgunlaştırmak için ek zaman.
risks: Planların eski tarihlere göre koşması, yanlış sürümü “GA yakın” diye prod standardı yapmak.
migration_notes: Upgrade backlog’larında yeni karar tarihi olarak 1-5 Haziran 2026 pencerelemesi kullanılmalı.

Bulgu 4

title: Spring Data 2026.0 RC1 veri erişim katmanını daha tip güvenli ve daha operasyonel hale getiriyor
source: Spring Data 2026.0.0-RC1 enters release candidate phase, Moving beyond Strings in Spring Data
author: Mark Paluch
date: 17 Nisan 2026 ve 27 Şubat 2026
category: data, developer-productivity, architecture
tags: spring-data, typed-property-path, redis, relational, upsert, refactoring-safety
summary: Spring Data 2026.0 RC1 template-level upsert, RedisMessageSendingTemplate ve toplu cache reset optimizasyonu getirirken; typed property path yaklaşımı string tabanlı query riskini azaltıyor.
why_it_matters: Veri erişim katmanında runtime’da patlayan typo/refactor hatalarını compile-time’a çekmek, büyük kurumsal kod tabanlarında ciddi kalite farkı yaratır.
java_spring_relevance: Spring Data JPA, JDBC, R2DBC, MongoDB ve Redis kullanan ekipler için orta-yüksek.
actionability: izle_ve_pilotla
impact_level: orta-yüksek
opportunities: Query güvenliğini artırmak, Redis kullanımını sadeleştirmek, relational upsert davranışını framework seviyesinde toplamak.
risks: RC hattını geniş prod rollout’a sokmak; typed API’leri yanlış yerde aşırı kullanıp dinamik use-case’leri zorlamak.
migration_notes: String path kullanılan sık hata veren alanlar küçük pilotlarla typed property path’e alınabilir; Redis ve upsert davranışları Boot 4.1 hattı ile birlikte test edilmeli.

Bulgu 5

title: Spring Framework 6.2.18 ve 7.0.7 hem CVE kapatıyor hem destek sınırını sertleştiriyor
source: Spring Framework 6.2.18 and 7.0.7 Available Now, Spring Support Policy
author: Stéphane Nicoll; Spring team
date: 17 Nisan 2026
category: security, support-policy, web
tags: spring-framework, webflux, spring-mvc, static-resources, multipart, support
summary: WebFlux ve Spring MVC tarafında dosya işleme ve static resource CVE’leri kapatıldı; aynı anda 5.3.x ve 6.1.x OSS desteğinin bittiği tekrar netleştirildi.
why_it_matters: Ekiplerin önemli bir kısmı Spring Framework sürümünü doğrudan takip etmese de risk uygulama yüzeyinde ortaya çıkıyor.
java_spring_relevance: WebFlux veya MVC tabanlı servisleri olan tüm Spring ekipleri için yüksek.
actionability: hemen_aksiyon
impact_level: yüksek
opportunities: Web katmanını ve static resource yapılandırmasını birlikte sertleştirmek.
risks: Destek dışı framework hattında kalıp yeni CVE’ler karşısında reaktif kalmak.
migration_notes: Açık kaynak hattında kalan ekipler 6.2.x / 7.0.x eksenine çıkış planı yapmalı; eski Boot hatları için commercial hotfix bağımlılığı netleştirilmeli.

Bulgu 6

title: Java 26 operasyonel tarafta startup ve throughput için daha somut değer sunuyor
source: Java 26 for DevOps, The Arrival of Java 26
author: Billy Korando; Sharat Chander
date: 2 Mart 2026 ve 17 Mart 2026
category: jdk, performance, operations
tags: java26, jdk26, aot-cache, zgc, g1gc, startup, warmup
summary: Java 26 ile AOT object caching artık ZGC kullanıcılarını da kapsıyor; G1 tarafında daha az senkronizasyonla resmi Inside Java notuna göre bazı iş yüklerinde %5-%15 throughput artışı hedefleniyor.
why_it_matters: Bu tür kazanımlar özellikle container cold-start, burst traffic ve kısa ömürlü job’larda doğrudan maliyet ve gecikme farkı yaratabilir.
java_spring_relevance: Spring Boot servisleri, batch job’lar ve container tabanlı Java workload’ları için orta-yüksek.
actionability: planlı_aksiyon
impact_level: orta-yüksek
opportunities: Native image zorunlu olmadan startup/warmup optimizasyonu; ZGC tercih eden ekipler için daha geniş AOT alanı.
risks: Yalnız mikrobenchmark ile karar verip gerçek prod iş yükünde doğrulamamak.
migration_notes: Java 26 denemelerinde CDS/AOT cache etkisi, G1 davranışı ve startup eğrileri uygulama bazında ayrı ölçülmeli.

Bulgu 7

title: Spring Boot 4 geçişinin gerçek konusu artık mimari ve platform standardı
source: The Spring Team on Spring Framework 7 and Spring Boot 4, Spring Support Policy
author: Karsten Silz; Phil Webb; Spring team paneli
date: 13 Nisan 2026
category: architecture, migration, platform
tags: spring-boot-4, spring-framework-7, jackson3, jspecify, retry, concurrency-limit, api-versioning
summary: Spring team Boot 4’ü yalnız yeni bir major olarak değil; Jackson 3, modüler auto-config, built-in resilience ve null-safety ekseninde yeni platform standardı olarak konumluyor.
why_it_matters: Büyük kurumlarda asıl maliyet framework syntax’ı değil; çevre kütüphaneler, kod jeneratörleri, observability ve ekip alışkanlıklarının aynı anda hizalanmasıdır.
java_spring_relevance: Boot 3’ten 4’e geçiş planlayan tüm ekipler için yüksek.
actionability: planlı_aksiyon
impact_level: yüksek
opportunities: Versioning, resilience ve nullability standartlarını framework çekirdeğine yaklaştırmak.
risks: Jackson 3 ve modüler auto-config etkisini küçümsemek; upgrade’i yalnız uygulama takımı işi sanmak.
migration_notes: OpenRewrite, migration guide ve property migrator birlikte kullanılmalı; özellikle derin Spring Boot entegrasyonları olan servisler ayrı pilot lane’de ilerlemeli.

Bulgu 8

title: Spring Tools 5.1.0 geliştirici deneyimini doğrudan Boot 4 ve AI kodlama ortamlarına yaklaştırıyor
source: Spring Tools 5.1.0 released, HTTP Service Client Nedir - Spring Boot 4.0
author: Martin Lippert; Burak KUTBAY
date: 11 Mart 2026 ve 7 Aralık 2025
category: tooling, developer-productivity
tags: spring-tools, vscode, eclipse, cursor, aot, api-versioning, http-service-client
summary: Spring Tools 5.1.0; AOT repository desteği, Framework 7 API versioning validation’ı ve JDK 25 AOT cache temelli hız iyileştirmeleri sunuyor. Yerel topluluk tarafında Burak KUTBAY’ın Boot 4 yazıları da benzer biçimde daha az boilerplate ve daha declarative HTTP client yönünü öne çıkarıyor.
why_it_matters: Upgrade maliyeti yalnız runtime’da değil; IDE, code assist ve refactor desteğinde de ödenir.
java_spring_relevance: IDE ağırlıklı çalışan Spring ekipleri için orta.
actionability: izle_ve_pilotla
impact_level: orta
opportunities: Boot 4/Framework 7 geçişlerini geliştirici araçlarıyla daha görünür ve daha güvenli yapmak.
risks: Araç güncellemesini erteleyip framework upgrade’ini çıplak metin/refactor ile yürütmek.
migration_notes: VS Code/Cursor/Eclipse tabanlı ekiplerde Spring Tools 5.1.0 küçük pilotla denenmeli; declarative HTTP client kullanımı RestTemplate kalıntılarının sadeleşmesine yardımcı olabilir.

Sonuç

Bugünün en güçlü mesajı şu: Java/Spring ekosistemi yalnız yeni sürüm üretmiyor, aynı zamanda scope, contract ve control-plane disiplinini sertleştiriyor. Spring Cloud Config/Function güvenlik dalgası ile Spring AI’nin explicit memory zorunluluğu bunun en somut iki örneği.

Kısa vadede en mantıklı hareket, Spring AI ve Spring Cloud yüzeylerinde hızlı envanter + patch çalıştırmak; orta vadede ise Boot 4.1 ve Spring Data 2026.0 hattını 1-5 Haziran 2026 release train penceresine göre yeniden planlamak. Java 26 tarafı ise özellikle startup/warmup optimizasyonu arayan ekipler için düşük gürültülü ama gerçek potansiyel taşıyan bir test alanı açıyor.