Açıklıklar ve Tehditler
Microsoft, aktif olarak istismar edilen bir Outlook sıfırıncı gün açığını duyurdu ve savunma ekiplerinin hızla öncelik vermesi gereken kritik Exchange, SharePoint, Windows Search ve LDAP hatalarından oluşan bir dalga yayınladı.
Tara Seals, Dark Reading Kıdemli Yönetici Editörü
Kasım, istismar edilme olasılığı daha yüksek güvenlik açıklarından oluşan adeta bir Patch Salısı ziyafeti sunuyor. Ard arda ikinci kez dört basamaklı bir Patch Salısı yayınında Microsoft bugün 1.093 güvenlik açığını ele aldı, bunların 63'ü kritik olarak derecelendirildi ve karışımda Microsoft'un aktif olarak istismar edildiğini doğruladığı bir sıfırıncı gün açığı bulunuyor (CVE-2026-124194, CVSS 6.5).
"Çoğu güvenlik ekibi, art arda kritik güvenlik açıkları, acil yamalar ve '2shell' markalı her şeyle dolu geçen aydan henüz tam olarak toparlanamadı ve yine bir Patch Salısı'nda bulduk kendimizi," diyor Watchtowr'da tehdit istihbaratı sorumlusu Jake Knott.
"Ekipler, her gün acil dikkat isteyen yangın üstüne yangın çıktığında gerçekten neyin önemli olduğuna karar vermenin yükü altında ezilmeye başladı," diye ekliyor. "Tavsiyemiz değişmedi… Önce internete açık olanla başla, sonra vahşi doğada zaten istismar edileni ele al, ondan sonra her şeyi. Panik moduna geçmeden önce bileşenini gerçekten kullanıp kullanmadığını ya da istismar için ön koşulları sağlayıp sağlamadığını kontrol et."
Buna göre güvenlik ekipleri CVE-2026-124194'ı önceliklendirmeli ve bunun tek nedeni saldırganların zaten hedef alması değil. Outlook'ta bir sahtecilik açığı olan bu zafiyet kod çalıştırılmasına izin vermiyor olabilir, bu yüzden orta şiddette derecelendirilmiş, ancak bir hesabın NTLMv2 hash'inin ifşa olmasına ve dolayısıyla hedef kullanıcının giriş bilgilerine ulaşılmasına olanak tanıyabilir.
"Saldırgan, hedefe kötü amaçlı bir Office dosyası gönderir ve onu açması için ikna eder," diye açıkladı Tenable'da kıdemli araştırmacı mühendis Satnam Narang, aylık Patch Salısı yorumunda. "Saldırı başarılı olursa saldırgan, kurbanın Windows şifresinden türetilen bir değer olan NT LAN Manager v2 (NTLMv2) hash'ini yakalar. Saldırgan bunu diğer sistemlere kullanıcı olarak oturum açmak için iletebilir ya da kırarak şifreyi geri kazanabilir."
Kasım Patch Salısı için Diğer Dikkat Çekici CVE'ler
Güvenlik ekipleri ayrıca Exchange ve SharePoint'te sırasıyla yer alan ve her ikisi de düşük ayrıcalıklı bir girişe sahip her saldırgan için hedefleri açan kritik uzaktan kod çalıştırma (RCE) güvenlik açıklarından oluşan bir ikiliyi de önceliklendirmeli.
İlki Exchange Server'da (CVE-2026-118207, CVSS 8.8), "bu haftanın acil penceresi içinde çalıştırdığınız her Exchange Server Subscription Edition sunucusu için yer almalı," diye uyardı Automox araştırmacıları aylık Patch Salısı bültenlerinde ve "saldırganın başlaması için gereken tek şey düşük seviyeli bir giriş."
Bu, düşük seviyeli erişime sahip doğrulanmış bir saldırganın sunucuya özel hazırlanmış bir istek gönderip kullanıcı etkileşimi olmadan kod çalıştırabilmesine olanak tanıyan uygunsuz girdi doğrulaması.
"Exchange sunucusundaki kod, barındırdığı her posta kutusuna ulaşır," diye uyardı Automox araştırmacıları. "Ve Exchange genellikle Active Directory'de geniş yetkilere sahip olduğundan, posta kutuları sadece başlangıç."
Bu arada Automox'a göre SharePoint Server'da önemli dereceli bir kusur (CVE-2026-120002, CVSS 9.9) hızlıca ele alınması gereken bir ayrıcalık yükseltme açığı.
"Kusur yanlış yetkilendirme," diye not etti araştırmacılar. "9.9, değişen kapsamdan geliyor: başarılı bir saldırı, savunmasız SharePoint bileşeninin ötesine geçiyor. Zaten düşük ayrıcalıklı bir hesaba sahip bir saldırgan ağ üzerinden istekler gönderir ve kullanıcı etkileşimi gerekmeden ayrıcalıklarını yükseltir."
Automox'a göre dikkat edilmesi gereken bir diğer kritik RCE ise CVE-2026-110043 (CVSS 8.8/10), Outlook'ta Önizleme Penceresi'ni saldırı vektörü olarak kullanan tek tıkla tetiklenen yığın tabanlı arabellek taşması. Hedefin silahlandırılmış bir e-postayı seçip Önizleme Penceresi'nde görüntülemesi tetikleyici için yeterli; saldırganın kodu o kullanıcının izinleriyle çalışır.
"İnternete açık Exchange ve SharePoint sunucularını yama yapın ve Exchange yeniden başlatmasını şimdi planlayın," diye tavsiyede bulundu Automox araştırmacıları. "Bu hafta Office güncellemesini dağıtın, ardından kurulu sürümü kontrol edin, çünkü tamamen yamalı bir Windows panosu Office hakkında hiçbir şey söylemez. Etikete değil, puana ve değerlendirmeye göre sıralayın."
Zero-Day Initiative (ZDI) tehdit farkındalığı sorumlusu Dustin Childs da acil dikkat gerektiren bir Windows Search RCE'si (CVE-2026-116928, CVSS 9.8) tespit etti.
"Windows Search ile başlıyoruz, bu Exchange Server üzerinden erişiliyor," diye belirtti Kasım Patch Salısı blog yazısında, burada hızla yama yapılması gereken 30 potansiyel solucan benzeri CVE'yi de listeledi. "Bu hata, kimliği doğrulanmamış bir saldırganın sunucunun otomatik olarak dizine eklemesi sırasında tetiklenen özel hazırlanmış bir ek ile e-posta göndermesine olanak tanır. Alıcı hiçbir şeyi açmaz. Bu, yüksek değerli bir hedefte sıfır tıklamalı kod çalıştırma hatasıdır. Ayrıca CVSS 9.8'dir ve bu ay Exchange'in aldığı dokuz yamanın herhangi birinden açıkça daha ciddidir."
Ve son olarak Childs, Windows Lightweight Directory Access Protocol (LDAP)'ta bir RCE hatası olan CVE-2026-119958'e işaret etti.
"Bu yama, kimliği doğrulanmamış bir saldırganın ağ üzerinden hazırlanmış LDAP çağrıları göndererek sınır dışı yazma (CWE-787) açığını istismar etmesine olanak tanıyan bir hatayı ele alıyor, kullanıcı etkileşimi gerekmiyor," diye uyardı. "LDAP servis bağlamında kod çalıştırması nedeniyle özellikle Etki Alanı Denetleyicilerinde oldukça yıkıcı olabilir. Bunu hızlıca test edin ve dağıtın."
Childs ayrıca özellikle DNS, DHCP, LDAP ve Exchange gibi ağa bakan servisler için solucan benzeri hatalar için yamaların hızlıca test edilip dağıtılmasını önerdi.
Ekim Patch Salısı'nın rekoru sonrası bu ayki CVE bolluğu bunaltıcı hissettirse de güvenlik ekipleri en iyi uygulamalara bağlı kalmalı ve bunalmamalı, Fortra'da güvenlik Ar-Ge'sinden sorumlu başkan yardımcısı Tyler Reguly tavsiye ediyor.
"Herkes için durum böyle mi bilmiyorum ama ben yorgunum," diye yazdı e-posta yoluyla, sonunda yapay zekânın eski hataları ortaya çıkarmayı bitireceğini ve ekiplerin tekrar daha küçük Patch Salısı yayınlarına bakmayı umabileceğine inandığını ekleyerek. "Ben yorgunsam, yönetici ve operasyon ekipleri de yorgundur diye hayal edebiliyorum. Gerçekten önemli olan şeye odaklanır ve güncellemeleri önceliklendirirsek diğer tarafa ulaşacağımıza inanıyorum. Gürültü her taraftan geliyor ve iş için gerçekten neyin önemli olduğunu bulmak için bunu kesmemiz gerekiyor."
