Microsoft Rekor Kırdı: Tek Seferde 1.413 Güvenlik Açığı Kapatıldı

Microsoft, aylık güvenlik güncellemesi Patch Tuesday kapsamında şimdiye kadar yayımladığı en kapsamlı yamayı duyurdu. Tek bir sürümde 1.413 güvenlik açığı kapatılan bu güncelleme, şirketin kendi rekorunu kırmasıyla dikkat çekiyor. Açıklanan açıkların biri aktif saldırılarda kullanılıyor; ABD siber güvenlik ajansı CISA da ilgili açığı kritik listesine aldı.

Hangi Ürünler Etkileniyor, Sayılar Ne Diyor?​

Kapatılan 1.413 açığın dağılımına bakıldığında, 1.102'sinin Windows'ta, 134'ünün Office'te, 61'inin geliştirici araçlarında, 36'sının SharePoint Server'da ve 22'sinin SQL Server'da yer aldığı görülüyor. Türlerine göre sınıflandırıldığında 670'ten fazlası ayrıcalık yükseltme, 300'den fazlası uzaktan kod yürütme ve 250'den fazlası bilgi ifşası kategorisinde. Bunların 70'ten fazlası ise kritik önem derecesine sahip.
Zero Day Initiative'in (ZDI) Tehdit Farkındalığı birimi başkanı Dustin Childs, tek sürümde yüzlerce CVE yayımlanmasının artık istisna değil kural hâline geldiğini belirtti. Childs, yapay zekanın hem güvenlik araştırmacılarının hem de saldırganların hata bulma hızını artırdığını, ancak asıl meselenin hacim değil, keşfin istismarın önüne geçip geçmediği olduğunu vurguladı. Ona göre ekipler salt CVE sayısına göre önceliklendirme yapmak yerine kanıtlanmış, önceliklendirilmiş ve kamuoyuna açık açıklara odaklanmalı.

Aktif Olarak İstismar Edilen Açık: CVE-2026-96951​

Güncellemedeki en kritik başlık, Windows Shell'de tespit edilen CVE-2026-96951 kodlu komut enjeksiyonu açığı. CVSS puanı 8.8 olan bu açık, yetkisiz bir saldırganın ağ üzerinden Mark of the Web (MOTW) güvenlik savunmalarını atlamasına olanak tanıyor. Microsoft, açığın vahşi ortamda aktif biçimde istismar edildiğini doğruladı.
Saldırı senaryosu şu şekilde işliyor: Saldırgan, hedef kullanıcıya e-posta veya anlık mesaj yoluyla özel olarak hazırlanmış bir dosya gönderiyor. Kullanıcının bu dosyayla etkileşime geçmesi gerektiğinden saldırı doğrudan gerçekleşemiyor; ancak saldırgan kurbanı kötü amaçlı bir bağlantıya tıklamaya ya da eki açmaya ikna edebilir. Açığı kimin kullandığı, hangi hedeflere yönelik olduğu ve saldırıların tam olarak nasıl yürütüldüğü henüz netlik kazanmadı.
Açığı bildiren isimler arasında Fujitsu'dan Riku Bamba ve Yuya Chudo ile Anthropic'ten Benoit Sevens ve yhw takma adlı bir araştırmacı yer alıyor. CISA, açığı Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek federal kurumların 16 Ekim 2026'ya kadar yamaları uygulamasını zorunlu kıldı.

Kamuoyuna Açıklanan İkinci Açık: CVE-2026-108398​

Yamalar arasında öne çıkan ikinci açık, .NET Framework'te tespit edilen CVE-2026-108398. CVSS puanı 8.8 olan bu güvenlik açığı, yamalar yayımlanmadan önce kamuoyuna duyurulmuş olmasıyla dikkat çekiyor. Açık, kimliği doğrulanmış bir saldırganın Windows Defender Application Control (WDAC) kısıtlamalarını aşarak hedef sistemde yetkisiz uygulamalar çalıştırmasına imkân tanıyor.
Microsoft'un açıklamasına göre saldırgan, etkilenen sisteme özel hazırlanmış bir .NET derlemesi yerleştirip bunu korumalı bir süreç tarafından yüklenecek şekilde kaydedebiliyor. Bu süreçte kullanıcı etkileşimi gerekmiyor. Action1'ın başkanı ve kurucu ortağı Mike Walters, açığı özellikle tehlikeli bir ele geçirme-sonrası saldırı tekniği olarak nitelendirdi; yerel erişimi olan saldırganların kullanıcı müdahalesi olmaksızın güvenlik kısıtlamalarını aşabildiğini belirtti. Açığı Google Project Zero'dan James Forshaw bildirdi.

Üçüncü Dikkat Çeken Açık ve Microsoft Dışı CVE​

Güncellemede yer alan üçüncü önemli açık, MessagePack-CSharp'ta bulunan CVE-2026-92707. CVSS puanı 5.3 olan bu açık, yetkisiz bir saldırganın ağ üzerinden hizmet reddi saldırısı gerçekleştirmesine olanak tanıyan hatalı bellek tahsisi sorununa dayanıyor. Açığı anonim bir araştırmacı bildirdi ve kamuoyuna açık olduğu doğrulandı.
Bunların yanı sıra Microsoft dışı bir bileşen olan Raw Image Extension için de yama yayımlandı. CVE-2026-21413 olarak kodlanan ve CVSS puanı 9.8 olan bu yığın tabanlı arabellek taşması açığı, uzaktan kod yürütülmesine yol açabiliyor. Saldırı için kullanıcının özel hazırlanmış bir RAW görüntü dosyasının bulunduğu klasöre gitmesi yeterli; Windows'un küçük resim veya önizleme oluşturması sırasında açık tetiklenebiliyor, dosyanın açılması gerekmiyor.

Yapay Zeka ve Artan CVE Hacmi​

Bu güncelleme, güvenlik alanında yapay zekanın rolüne ilişkin tartışmaları da yeniden alevlendirdi. ZDI'dan Dustin Childs, yapay zekanın hata avını her iki taraf için de hızlandırdığını, yani hem üreticilerin daha fazla açığı bulup kapattığını hem de araştırmacıların bunları daha hızlı keşfettiğini söyledi. Tenable'ın kıdemli araştırma mühendisi Satnam Narang'a göre Microsoft bu yıl içinde 4.000'den fazla CVE'yi yamaladı. Rapid7'den Adam Barnett ise son Patch Tuesday sürümlerindeki yüksek açık hacminin, eskiden tek başına dikkat çekecek güvenlik sorunlarını sıradan bir hâle getirdiğine dikkat çekti.
Microsoft bu ayki güncellemelerle birlikte kuruluşların güvenlik yamalarını önceliklendirmesine yardımcı olmak amacıyla yeni bir yöntem de tanıttı. Şirket, birbiriyle ilişkili açıkları "risk kohortları" adını verdiği gruplar hâlinde bir araya getirdi. Microsoft, bu grupların bir başlangıç noktası olduğunu, nihai karar olmadığını belirterek kuruluşların her CVE'yi aktif istismar, önem derecesi, saldırı vektörü, kullanıcı etkileşimi ve ürüne özgü rehberlik açısından incelemeye devam etmesi gerektiğini vurguladı.

Sıkça Sorulan Sorular​

Bu güncellemeyle kapatılan toplam açık sayısı ne kadar ve hangi ürünleri kapsıyor?​

Microsoft'un bu Patch Tuesday güncellemesinde toplam 1.413 güvenlik açığı kapatıldı. Bu açıkların 1.102'si Windows'ta, 134'ü Office'te, 61'i geliştirici araçlarında, 36'sı SharePoint Server'da ve 22'si SQL Server'da yer alıyor.

CVE-2026-96951 açığı neden özellikle tehlikeli sayılıyor?​

Bu açık, Windows Shell'deki bir komut enjeksiyonu zafiyeti olup CVSS puanı 8.8. Saldırganın Mark of the Web (MOTW) güvenlik savunmalarını ağ üzerinden atlamasına olanak tanıyor ve vahşi ortamda aktif biçimde istismar edildiği Microsoft tarafından doğrulandı. CISA da açığı KEV kataloğuna ekleyerek federal kurumlar için 16 Ekim 2026 tarihini yama son tarihi olarak belirledi.

CVE-2026-108398 açığının diğerlerinden farkı nedir?​

.NET Framework'te bulunan bu açık, yamalar yayımlanmadan önce kamuoyuna duyurulmuş olmasıyla öne çıkıyor. Kimliği doğrulanmış bir saldırganın Windows Defender Application Control kısıtlamalarını aşarak yetkisiz kod çalıştırmasına imkân tanıyor; üstelik kullanıcı etkileşimi gerektirmiyor. Açığı Google Project Zero'dan James Forshaw bildirdi.

Raw Image Extension'daki açık nasıl istismar edilebilir?​

CVE-2026-21413 olarak kodlanan ve CVSS puanı 9.8 olan bu açık, özel hazırlanmış bir RAW görüntü dosyasının bulunduğu klasöre gitmeyi yeterli kılıyor. Windows'un küçük resim veya önizleme oluşturması sırasında açık tetiklenebiliyor; kullanıcının dosyayı açması gerekmiyor.

Microsoft, kuruluşların bu kadar fazla açığı önceliklendirmesine nasıl yardımcı olmayı planlıyor?​

Microsoft bu ayki güncellemelerle birlikte "risk kohortları" adını verdiği yeni bir yöntem tanıttı. Bu yöntemde birbiriyle ilişkili açıklar gruplandırılıyor. Şirket, söz konusu grupların yalnızca bir başlangıç noktası olduğunu belirterek kuruluşların her CVE'yi aktif istismar, önem derecesi, saldırı vektörü ve ürüne özgü rehberlik açısından ayrıca değerlendirmesi gerektiğini vurguluyor.