Microsoft, 1.259 güvenlik açığını yamalandırdı: Actif olarak istismar edilen Outlook zafiyeti NTLMv2 hash ifşa edebiliyor

Microsoft, yazılım portföyündeki 1.259 güvenlik açığını düzeltmek için yamalar yayımlayarak, arka arkaya ikinci kez bu sayıda güvenlik giderimi gerçekleştirdi. Açıklar arasında, Microsoft tarafından aktif olarak istismar edildiği belirtilen ve NTLMv2 hash ifşasına yol açabilen bir Outlook zafiyeti de yer alıyor. Bu yamalar, 726 Windows, 174 Office, 61 Geliştirici Araçları, 59 SQL Server, 53 Geliştirici Araçları ve 27 SharePoint Server açığını kapsıyor. Ayrıca yama setinde 165 adet Microsoft dışı CVE tanımlayıcısı da bulunuyor. Bunlardan 500'den fazlası yetki yükseltme, ardından uzaktan kod çalıştırma ve bilgi ifşası kaynaklı sorunlarla ilgili.
Yıl içinde Microsoft'un ele aldığı CVE sayısı 5.100'ü geçti. Bu kapsamda Microsoft, orta şiddetli bir Outlook açığını (CVE-2026-124194, CVSS: 6.5) aktif istismar nedeniyle işaretleme yaptı. Şirketin uyarısında, “Ürün arayüzü, Microsoft Office Outlook’ta kullanıcılara güvensiz eylemler konusunda uyarı vermediği için yetkisiz bir saldırganın ağ üzerinden sahtecilik yapmasına izin veriyor” denildi. İstismar senaryosunda, kimlik doğrulaması yapılmamış bir saldırganın özel olarak hazırlanmış bir mesaj dosyasını göndermesi ve hedef kullanıcının bu dosyayı etkilenen Outlook sürümünde açmaya ikna edilmesi yeterli. Bu durum, Outlook’un kullanıcılara normal dış içerik uyarısını göstermeden saldırganın kontrolündeki bir ağ konumuna bağlanmasına ve NTLMv2 hash gibi kimlik doğrulama bilgilerinin sızdırılmasına yol açabiliyor; sızan hash, saldırganın kullanıcı kimliğine bürünmesi için kullanılabilir.
Microsoft, başarılı istismar için ağ bağlantısı ve kullanıcı etkileşimi gerektiğini vurguladı. Şirket, zafiyeti keşfetme ve bildirme süreçlerinde araştırmacı Nono ile Anthropic’ten Benoît Sevens (Claude kullanarak)ı krediyle anmakla birlikte, Redmond merkezli şirket, sahadaki istismarı belirli bir tehdit aktörüne atfetmedi veya teknik istismar detayları paylaşmadı; keşfin istismardan önce mi yoksa sonra mı gerçekleştiği de açıklanmadı.

CISA, açığı KEV kataloguna ekledi​

Gelişme, ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı’nın (CISA) bu açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna eklemesine yol açtı. Bu uygulama, federal ajansların 24 Kasım 2026 tarihine kadar yamayı uygulamasını gerektiriyor. Zafiyete ilişkin teknik detaylar ve istismar zamanlaması konusunda resmi ek açıklama bulunmuyor.

Diğer dikkat çeken açıklar​

Aynı yama turunda, Windows Search (CVE-2026-116928), Hafif Adres Düzini Erişim Protokolü (CVE-2026-119958), Windows Schannel (CVE-2026-119952), Windows Sanal Filtreleme Platformu (CVE-2026-95962) ve Windows Xbox Live Ağ Servisi (CVE-2026-112967) açıkları ile Azure OpenAI’da yetki yükseltme açığı (CVE-2026-119990) da dikkat çekiyor. Bu açıklar uzaktan kod çalıştırma ve yetki yükseltme sınıflarında yer alıyor.

Uzman yorumları​

Uzmanlar, son yama turunun ekip üzerindeki yükünü vurguluyor. Jack Bicer, Action1’in güvenlik zafiyetleri araştırma müdürü, “E-posta, her şirkete en kolay giriş kapısıdır ve bu zafiyet, açılan tek bir dosyayı çalınmış bir kimliğe dönüştürüyor. Ele geçirilen hash, saldırganın kurbanın verilerine erişmesine ve ulaşabileceği diğer sistemlere hareket etmesine imkân sağlayabilir” dedi. Bicer, orta şiddet etiketinin bu açığın riskini hafife aldığını, saldırganların bunun için tek bir tıklama gerektiğini ve neredeyse her kurumda kullanılan Outlook’u hedef aldığını vurguladı. Tenable’dan Satnam Narang, yıl içinde 5.100’den fazla CVE ele alındığını belirtti. watchTowr tehdit istihbaratı başkanı Jake Knott, “Çoğu güvenlik ekibi, son ayın kesintisiz kritik açıklarından henüz toparlanmadı” ifadesini kullanarak, ekiplerin internete açık varlıkları, istismar edilen açıkları ve diğer tüm riskleri önceliklendirerek yama stratejisi belirlemesini önerdi.

Sıkça Sorulan Sorular​

Outlook açığı nasıl istismar edilebilir?​

İstismar için saldırganın gönderdiği özel olarak hazırlanmış bir mesaj dosyasının Outlook’ta açılması gerekiyor. Bu durumda Outlook, kullanıcıları dış içerik uyarısından haberdar etmeden saldırganın kontrolündeki bir ağ konumuna bağlanabilir ve NTLMv2 hash gibi kimlik doğrulama bilgileri sızdırılabilir. Başarılı istismar için ağ bağlantısı ve kullanıcı etkileşimi gereklidir.

Bu zafiyet kimler tarafından keşfedildi?​

Microsoft, zafiyeti keşfetme ve bildirme sürecinde araştırmacı Nono ve Anthropic’teki Benoît Sevens’ı (Claude kullanımıyla) krediyle anıyor. Resmi açıklamada keşfin istismardan önce mi yoksa sonra mı yapıldığı belirtilmedi.

CISA ne kararı aldı?​

ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı, bu zafiyeti Bilinen İstismar Edilen Açıklar kataloğuna ekledi. Bu, federal ajansların 24 Kasım 2026’ya kadar yamayı uygulamasını gerektiriyor.

Diğer hangi açıklar yamalandı?​

Aynı turda Windows Search, Lightweight Directory Access Protocol, Windows Schannel, Windows Sanal Filtreleme Platformu, Windows Xbox Live Ağ Servisi açıkları ile Azure OpenAI’daki yetki yükseltme açığı yamalandı. Bu açıklar uzaktan kod çalıştırma ve yetki yükseltme kategorilerinde listeleniyor.

Önceliklendirme nasıl yapılmalı?​

Uzmanlar, ekiplerin önce internete açık varlıklarını, ardından sahadaki istismar edilen açıkları ve yalnızca sonra diğer tüm riskleri ele almasını öneriyor. Bu sırada ekipler, hangi bileşenlerin kullanıldığını ve istismar öncüllerinin karşılanıp karşılanmadığını kontrol etmeli; panik moduna girilmemeli.