Açıklıklar ve Tehditler
Şimdiye kadarki en büyük güvenlik güncellemesindeki korkutucu sürprizler arasında kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaları ve güvenlik atlama açıkları yer alıyor.
Tara Seals, Dark Reading Haber Müdürü
Yapay zekâ destekli "vulnpocalypse" dönemine doğru ilerlerken Microsoft'un Ekim 2026 Patch Tuesday güvenlik güncellemesi, ele alınan açık sayısı bakımından geçen ayın rekorunu geride bıraktı ve 1.413 Microsoft CVE'si açıkladı.
Bunların arasında 80 kritik kusur ve aktif olarak istismar edilen bir tanesi olmak üzere iki sıfırıncı gün açığı bulunuyor. Karşılaştırma için Eylül güncellemesi 974 CVE içermişti ve bu bile şaşırtıcıydı.
Yine de güvenlik uzmanları ekiplerin güncellemenin büyüklüğünü görmezden gelip bunun yerine istismar edilebilir riske odaklanmasını ve bu riski azaltacak süreç, araç ve insan kaynağını hazır hale getirmesini istiyor.
Fortra'da güvenlik araştırma ve geliştirmeden sorumlu başkan yardımcısı Tyler Reguly, e-posta yoluyla yaptığı açıklamada "Son zamanlarda sayıların anlamsız olduğunu savundum" dedi. "Bu ayki sayı 1.413 de farklı değil. Anlam taşıyan sayılar var. Yirmi altı örneğin, 2026 Microsoft CVE'lerinden CISA Bilinen İstismar Edilen Açıklar kataloğunda görünenlerin sayısı. Geçen yıl bu sayı 30, ondan önceki yıl 32'ydi. Bu, Microsoft'un bu yıl yamalediği açıkların yüzde 1'inden azının istismar edildiği biliniyor demek."
Ekim Ayı'nın Bol Patch Tuesday Güncellemesinin İçinde
Bu ayki hata mahsulünün içinde neler var olduğunda Windows, listelenen güvenlik açıklarının aslan payını topladı; tam olarak 1.102'si Windows'a ait. Bunu 134 ile Office, 61 ile Geliştirici Araçları, 36 ile SharePoint Server, 22 ile SQL Server, 7 ile Exchange Server, Azure'da 15 ve Defender'da 4 takip ediyor. Otuz iki tanesi çeşitli "diğer" kategorilerinde bulunuyor.
Microsoft ayrıca Cisco Talos'un CVE-2026-21413 hatasını yeniden yayımladı; bu hata ham görüntü uzantısı uzaktan kod çalıştırma açığı olarak listeleniyor.
Her iki sıfırıncı gün açığı da potansiyel olarak korkutucu güvenlik atlama açıkları. CVE-2026-96951 CVSS 8.8 olan ve aktif olarak istismar edilen, Windows Shell'de bulunan açık. Diğeri ise .NET Framework Güvenliği'nde bulunan CVE-2026-108398.
İstismar edilen açık, Anthropic'in Claude yapay zekâsı tarafından keşfedildi ve Windows'un İnternet'ten indirilen dosyalara uyguladığı Mark of the Web MOTW etiketini hedefliyor; bu etiket dosyaların ne kadar tehlikeli olabileceğini sınıflandırıyor. Automox araştırmacılarının açıklamasına göre bu durum saldırganın kullanıcılara gönderilen dosyaları, MOTW'yi ve buna bağlı güvenlik kontrollerini atlayacak şekilde hazırlamasına olanak tanıyor; bu kontroller arasında SmartScreen, Office Protected View, Office'te makrolar üzerindeki engel, Windows 11'de Smart App Control ve Ek Takip Yöneticisi istemi yer alıyor.
Araştırmacılar Ekim güncellemesi hakkındaki blog yazılarında "MOTW, paketin üzerindeki etikete benzer; binadaki her muhafız paketin kendisini değil etiketi kontrol eder" diye açıkladı. "Bu hata etiketsiz paketi teslim eder. Sonuç, kullanıcının yerel olarak oluşturduğu gibi açılan bir dosya olur. Uyarı iletişim kutusu yok, salt okunur görünüm yok, makro engeli yok. Tek bir hata birden fazla kontrolü aynı anda kapatır."
CVE-2026-108398 CVSS 8.8 ise daha az endişe verici; yerel erişim ve düşük ayrıcalıklı bir hesap gerektiriyor ve Microsoft bunu "istismar edilmesi daha az olası" olarak değerlendiriyor.
Automox'a göre "Açık, .NET Framework'te güvenilmeyen arama yoludur. Saldırgan, hedef uç noktaya hazırlanmış bir .NET derlemesi yerleştirir ve onu korumalı bir işlemde yüklenmesi için kaydeder, ardından Windows Defender Application Control WDAC'ı tetiklemeden bu işlem içinde kod çalıştırır."
Action1'in başkanı ve kurucu ortağı Mike Walters, açığın özellikle ihlal sonrası saldırı tekniği olarak tehlikeli olduğunu söyledi.
Güncelleme hakkındaki Action1 blog yazısında "Başarılı istismar sistem bütünlüğünü tehlikeye atabilir, hassas iş bilgilerini açığa çıkarabilir, uç nokta savunmalarını zayıflatabilir ve kritik operasyonları aksatabilir" diye açıkladı. "Aktif istismar henüz doğrulanmadı ve istismar kodu olgunluğu kanıtlanmadı, ancak kamuya açıklanması aciliyeti artırıyor. Resmi bir geçici çözüm bulunmadığından, etkilenen Windows uç noktaları ve sunucularında Microsoft'un ilgili güvenlik güncellemelerinin dağıtımını önceliklendirin, özellikle WDAC korumalı ortamlar ve yamalanmamış sistemleri şüpheli derleme yüklemeleri ve yetkisiz yürütme açısından izleyin."
Ekim Ayında Öncelik Verilmesi Gereken Diğer Güvenlik Yamaları
Automox araştırmacılarının işaret ettiği açıkların başında Outlook'ta kritik Okuma Bölmesi uzaktan kod çalıştırma açığı CVE-2026-70242 CVSS 9.8 geliyor.
Saldırganlar, Outlook'un mesajı Okuma Bölmesi'nde gösterdiğinde yığın tabanlı bir arabellek taşması tetikleyen bir e-posta hazırlayabiliyor; istismar için mesajın açılması, kimlik doğrulaması ya da herhangi bir etkileşim gerekmiyor.
Araştırmacılar "Önizleme bölmesi hataları birkaç yılda bir ortaya çıkar ve e-posta ön kapı olduğu için dikkat çeker" diye uyardı. "Adresler ihlal dökümlerinde ve şirket web sitelerinde kolayca bulunabildiği için hedefleme saldırgan için neredeyse hiçbir maliyete sahip değil."
TrendAI'de Zero Day Initiative ZDI'de tehdit farkındalığından sorumlu başkan Dustin Childs, güvenlik ekipleri için CVE-2026-102866 CVSS 8.1, Microsoft Office SharePoint ayrıcalık yükseltme açığı konusunda uyardı.
Aylık yama incelemesinde Childs "Bu uygunsuz kriptografik imza doğrulama hatası" dedi. "Hedef kullanıcı için geçerli bir kanıt jetonunu ele geçiren bir saldırgan, onu değiştirebilir, sunucuya gönderebilir ve o kullanıcı olarak kimlik doğrulaması yapabilir. Tek şart saldırganın önce o jetonu elde etmesi, ancak bunun sağlanmasının birden fazla yöntemi var."
Ayrıca CVE-2026-65674 CVSS 8.8'in, bu ayki herhangi bir SQL Server hatası arasında en iyi istismar edilebilirlik derecesine sahip bir Microsoft SQL Server uzaktan kod çalıştırma hatası olduğunu belirtti. "Bu güvenilmeyen verinin deserializasyonu. Kimliği doğrulanmış bir saldırgan etkilenen bir SQL Server'a bağlanır ve sunucuda kod çalıştırmak için özel olarak hazırlanmış bir istek gönderir. Kullanıcı etkileşimi gerekmez. İnternete doğrudan bağlı herhangi bir SQL Server'da bunu mutlaka kontrol edin."
Önceliklendirme için olgun bir başka endişe verici açık ise Microsoft QUIC'te yığın tabanlı arabellek taşması uzaktan kod çalıştırma kusuru CVE-2026-105016 CVSS 9.8. Kimliği doğrulanmamış bir saldırganın ağ üzerinden etkilenen sistemlerde kötü amaçlı kod çalıştırmasına izin verebilir ve Windows 11, Windows Server, .NET ve Visual Studio dahil birden fazla Microsoft ürününü etkiler.
Action1'de güvenlik açığı araştırmasından sorumlu yönetici Jack Bicer, şirketin blogunda "Bir saldırgan, hedeflenen sistemin kontrolünü ele geçirme potansiyeliyle kimlik doğrulaması veya kullanıcı etkileşimi gerektirmeden etkilenen bir hizmete özel olarak hazırlanmış bir ağ paketi göndererek bu zayıflıktan yararlanabilir" dedi. "Başarılı istismar saldırganların kötü amaçlı kod çalıştırmasına ve etkilenen hizmetlerin kontrolünü ele geçirmesine izin verebilir, hassas iş ve müşteri verilerini açığa çıkarabilir veya değiştirebilir, operasyonları aksatabilir ve kuruluşlara kurtarma maliyetleri ve zarar görmüş müşteri güveni bırakabilir."
Bu belirli açıklara ek olarak Nightwing uzmanları Microsoft'un Ekim Patch Tuesday güncellemesi canavarı ile başa çıkmak için genel rehberlik sağladı:
"Microsoft: Rutin bakım pencerelerini beklemeden Exchange, .NET ve Windows 11'i yamalayın. Tüm şirket içi ve hibrit sunucularda CVE-2026-96940 için 2 Ekim Exchange güncellemesini uygulayın, .NET Framework çalışma zamanlarının mevcut RCE taşıyan düzeltmeleri ve yeniden başlatmaları aldığını doğrulayın ve Windows 11 24H2 Home/Pro'yu son güvenlik güncellemesinden çıkarmak için göçleri başlatın ve VPN, VDI, depolama ve Güvenli Önyükleme yollarını şimdi test edin."
"Exchange Server: Dört Exchange Server güvenlik güncellemesi KB5129955/56/57/58 her biri Exchange 2016, 2019 ve Abonelik Sürümü genelinde CVSS 8.8 puanı ile tek bir Yüksek önem dereceli CVE'yi ele alıyor. Exchange'in yüksek değerli hedef olarak geçmişi göz önüne alındığında bunları neredeyse kritik olarak ele alın: tüm açık sunucular için hızlı test, dağıtım ve doğrulamayı önceliklendirin."
"Windows 11: Birikimli güncellemeler KB5127648 ve KB5126653, Windows 11 24H2, 25H2, 26H2 ve 23H2'yi uyumlu derleme hatlarına taşıyor ve dallar arasında esasen aynı güvenlik içeriğiyle ilerliyor. Bunları isteğe bağlı özellik dalgaları yerine zorunlu güvenlik taban çizgileri olarak ele alın ve yama uyumluluğu raporlamanızın KB varlığından ziyade derleme numaralarını takip ettiğini doğrulayın."
Yapay Zekâ Patch Tuesday Yayınlarına Korku Tüyleri Eklemeye Devam Ediyor
Microsoft'un artan Patch Tuesday sayıları, aylık CVE açıklamalarının keskin şekilde yükseldiği daha geniş bir gerçeğin simgesi; Echo'dan bir analize göre iki yılda hacim yüzde 145 arttı, Haziran 2024'te 3.173'ten Haziran 2026'da 7.765'e.
Bunun birkaç nedeni var: Echo'nun analizine göre kısmen genel olarak CVE programlarının genişlemesinden kaynaklanıyor, ancak elbette giderek artan şekilde yapay zekâ destekli güvenlik açığı keşfinden de kaynaklanıyor. Yıllık bazda CVE açıklamaları 2023'te 30.949'dan 2025'te 49.979'a fırladı ve şimdiye kadarki sayılara göre 2026'nın bu sayıyı bile aşması bekleniyor. Soru şu, güvenlik ekipleri artan iş yükünü nasıl ele alacak?
ZDI'den Childs "Yapay zekânın suçu var mı? Kısmen" dedi. "Her iki tarafta da hata avını hızlandırıyor, böylece satıcılar daha fazla kusur buluyor ve düzeltiyor, araştırmacılar da daha hızlı buluyor. Ancak yapay zekâ bu hataları havadan yaratmıyor. Sadece bir güvenlik açığının var olduğu ile birinin onu fark etmesi arasındaki süreyi kısaltıyor."
Fortra'dan Reguly'nin ima ettiği gibi Childs, güvenlik ekiplerinin sadece adapte olması gerektiğini söyledi. "Keşfin istismardan daha hızlı ölçeklendiği önemli; ekipler saf CVE sayısına göre önceliklendirirse yanlış hatalara döngü yakıyor" dedi. "Kanıtlanmış, önceliklendirilmiş ve kamuya açık olanları yamalayın ve diğer her şeyi bu ayın yeni normali olarak ele alın."
