Microsoft Salı günü kendi Patch Tuesday rekorunu kırdı; aktif olarak istismar edildiği belirtilen bir açık da dahil olmak üzere tam 1.413 güvenlik açığı için yama gönderdi.
Bunların 1.102’si Windows’ta, 134’ü Office’te, 61’i Geliştirici Araçları’nda, 36’sı SharePoint Server’da ve 22’si SQL Server’da. Bu açıkların 670’ten fazlası yetki yükseltme ile ilgili; bunu 300’ün üzerinde uzaktan kod çalıştırma açığı ve 250 bilgi ifşası açığı takip ediyor. 70’ten fazla açık Kritik düzeyde değerlendirildi.
Zero Day Initiative’den Tehdit Farkındalığı Başkanı Dustin Childs, “Tek bir sürümde yüzlerce CVE artık istisna değil; baz haline geldi” dedi. “Bunda yapay zekânın payı var mı? Kısmen. Hem tarafta hata avını hızlandırıyor, böylece satıcılar daha fazla açık bulup düzeltiyor, araştırmacılar da daha hızlı buluyor.”
“Ama yapay zeka bu hataları havadan yaratmıyor; sadece bir açığın var olması ile birinin fark etmesi arasındaki süreyi kısaltıyor. Artık hacim asıl hikâye değil. Keşfin istismardan daha hızlı ölçeklendiği önemli. Takımlar sadece CVE sayısına göre önceliklendirirse yanlış hatalara zaman harcıyor. Kanıtlanmış, önceliklendirilmiş ve kamuya açık olanları yamalayın; geri kalanını bu ayın yeni normu olarak görün.”
Dikkat çeken üç açık şöyle listelendi.
CVE-2026-96951 (CVSS puanı: 8.8) - Ağ üzerinden bir güvenlik özelliğini atlatmaya izin veren Windows Shell’de komut enjeksiyonu açığı.
CVE-2026-108398 (CVSS puanı: 8.8) - Yerelde bir güvenlik özelliğini atlatmaya izin veren .NET Framework’te güvenilmeyen arama yolu açığı.
CVE-2026-92707 (CVSS puanı: 5.3) - Ağ üzerinden hizmet reddine yol açan MessagePack-CSharp’te uygunsuz kontrollü ardışık bellek ayırma açığı.
Microsoft, CVE-2026-96951’i bildirenler arasında Fujitsu’dan Riku Bamba ve Yuya Chudo ile Anthropic’ten Benoit Sevens ve yhw adlı araştırmacıyı gösterdi ve açığın gerçek dünyada istismar edildiğini söyledi.
“Başarıyla istismar edildiğinde saldırgan Mark of the Web (MOTW) savunmalarını atlayabilir” diyen Windows üreticisi, “E-posta veya anlık mesaj saldırısı senaryosunda saldırgan, açığı istismar etmek üzere tasarlanmış özel hazırlanmış bir dosya gönderebilir” ifadelerini kullandı.
“Her durumda saldırgan bir kullanıcıyı saldırgan kontrollü içeriği görmeye zorlayamaz. Bunun yerine kullanıcıyı harekete geçmeye ikna etmesi gerekir. Örneğin saldırgan, kullanıcıyı saldırganın sitesine yönlendiren bir bağlantıya tıklamaya veya kötü amaçlı bir ek göndermeye ikna edebilir.”
Açığın gerçek saldırılarda nasıl istismar edildiği, kimler tarafından kullanıldığı ve kimin hedef alındığı net değil. ABD Siber ve Altyapı Güvenliği Ajansı CISA, açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi ve federal kurumların düzeltmeleri 16 Ekim 2026’ya kadar uygulamalarını istedi.
CVE-2026-108398, yamaların yayınlandığı sırada kamuya açık olduğu kabul edildi. Microsoft, güvenlik açığının Windows Defender Application Control (WDAC) zorlamasını atlatmak ve hedef sistemlerde yetkisiz uygulamalar çalıştırmak için kullanılabileceğini belirtti.
“Kimliği doğrulanmış bir saldırgan, etkilenen sisteme özel hazırlanmış bir .NET derlemesi yerleştirebilir ve bunu korunan bir işlem tarafından yüklenmesi için kaydedebilir” dedi Microsoft. “Başarılı istismar, Windows Defender Application Control kısıtlamalarını atlayabilir ve saldırganın korunan işlem içinde kod çalıştırmasına izin verebilir. Kullanıcı etkileşimi gerekmez.”
“Bu açık, özellikle post-compromise bir saldırı tekniği olarak tehlikelidir; mevcut yerel erişimi olan saldırganların kullanıcı etkileşimi olmadan güvenlik kısıtlamalarını atlamasını sağlar” diyen Action1’in başkanı ve kurucu ortağı Mike Walters, “Başarılı istismar sistem bütünlüğünü tehlikeye atabilir, hassas iş bilgilerini açığa çıkarabilir, uç nokta savunmalarını zayıflatabilir ve kritik operasyonları aksatabilir” diye ekledi.
Microsoft, açığın keşfini Google Project Zero’dan James Forshaw’a bağlarken, CVE-2026-92707’yi bildiren anonim bir araştırmacıyı da teşekkür listesine aldı. Güvenlik açığı kamuya açıklandığı belirtilen ikinci açık oldu.
Microsoft, Microsoft dışı bir CVE olan CVE-2026-21413 (CVSS puanı: 9.8) için de yama yayınladı. Raw Image Extension’ı etkileyen yığın tabanlı arabellek taşması, uzaktan kod çalıştırılmasına yol açabiliyor.
“Bir saldırgan, kullanıcıdan özel hazırlanmış bir RAW görüntü dosyası içeren bir klasöre gitmesini sağlamasıyla bu açığı istismar edebilir” diyen Microsoft, “Açık, Windows bir küçük resim veya önizleme oluşturduğunda tetiklenebilir; kullanıcının dosyayı açmasına gerek yok” dedi.
Gelişme, güvenlik açıklarını keşfetmek ve gidermek için yapay zekâ destekli yaklaşımların kullanımının sürmesiyle geldi. Geçen ay Microsoft yaklaşık 1.000 açıkla ilgilenmişti. Tenable’da kıdemli araştırmacı mühendis Satnam Narang’a göre Microsoft bu yıl tek başına 4.000’den fazla CVE’yi yamaladı.
Rapid7’de Kıdemli Yazılım Mühendisi Adam Barnett, “Son Patch Tuesday sürümlerindeki açık hacmi, her biri eskiden daha düşük hacimlerde kendi başına daha dikkat çekici olabilecek potansiyel olarak endişe verici açıkların birkaç örneğini kolayca içerebilir” dedi.
Bu ayki güncellemelerle birlikte Redmond, ilgili açıkları “risk kohortu” adı verilen gruplara ayırarak kuruluşların güvenlik güncellemelerini önceliklendirmesine yardımcı olacak yeni bir yöntem de tanıttı.
“Risk kohortu, benzer müşteri değerlendirmesi gerektiren CVE’lerin bir grubudur” diyen Microsoft, “Risk kohortları bir başlangıç noktasıdır, nihai karar değil. Müşteriler her CVE için aktif istismar, şiddet, saldırı vektörü, kullanıcı etkileşimi ve ürün özel rehberini incelemeye devam etmelidir” ifadelerini kullandı.
