Microsoft’tan 1.259 yamama: Outlook’ta aktif istismar edilen NTLMv2 hash sızıntısı

Microsoft, salı günü yazılım portföyündeki toplam 1.259 güvenlik açığı için yamalar yayınladı. Şirket, üst üste ikinci ayda 1.000’i aşan yama sayısına ulaştı. Bu güncellemeler 726 Windows, 174 Office, 61 Geliştirici Araçları, 59 SQL Server, 53 Geliştirici Araçları ve 27 SharePoint Server açığını kapsıyor. Paket ayrıca 165 Microsoft dışı CVE tanımlayıcısını içeriyor.
Güvenlik uzmanları, bu turda 500’den fazla açığın yetki yükseltme (elevation of privilege) olduğunu, ardından uzaktan kod yürütme ve bilgi sızıntısı hatalarının geldiğini belirtiyor. Tenable’ın kıdemli araştırmacısı Satnam Narang’a göre Microsoft, yalnızca bu yıl içinde 5.100’ü aşkın CVE’yi gidermiş oldu.

Outlook açığı: tek tıkla NTLMv2 hash sızdırma riski​

Öne çıkan bulgulardan biri, Microsoft’un aktif olarak istismar edildiğini bildiği orta seviyeli Outlook açığı CVE-2026-124194 oldu. Açığın CVSS skoru 6.5. Microsoft, uyarısında “Microsoft Office Outlook’ta ürün arayüzü kullanıcıları güvensiz eylemler hakkında uyarmadığı için yetkisiz bir saldırgan ağ üzerinden sahtecilik yapabilir” dedi.
Senaryoya göre kimliği doğrulanmamış bir saldırgan, özel biçimlendirilmiş bir e-posta dosyası göndererek hedefi bu dosyayı etkilenen Outlook sürümünde açmaya ikna edebiliyor. Outlook, normalde dış içerik uyarısı göstermeden saldırganın kontrolündeki ağ konumuna bağlanabiliyor; bu süreç kimlik bilgisi (ör. NTLMv2 hash) sızdırabilir ve saldırganın kullanıcının kimliğine bürünmesinde kullanılabilecek bilgiler verebilir. Microsoft, başarılı istismar için hem ağ bağlantısı hem de kullanıcı etkileşimi gerektiğini vurguluyor.
Microsoft, bulguyu “Nono” adlı bir araştırmacıyla Anthropic’ten Benoît Sevens’ın (Claude kullanılarak) keşfettiğini ve raporladığını bildirdi. Şirket, istismarın herhangi bir tehdit aktörüne atfedilmediğini ve sahadaki teknik detayların paylaşılmadığını açıkça belirtti.

Uzman yorumları: “e-posta en kolay kapı, tek dosya çalınan kimlik”​

Jack Bicer, Action1’in güvenlik açıklığı araştırma direktörü olarak, “E-posta her şirketin en kolay giriş kapısıdır ve bu açık bir dosyanın açılmasını çalınmış bir kimliğe çeviriyor. Yakalanan hash, saldırganın mağdur olarak oturum açmasını, verilerini okumasını ve erişebildiği diğer sistemlere hareket etmesini sağlayabilir” dedi. Bicer ayrıca “Orta etiketini hafife alıyor. Saldırganlar bunu zaten kullanıyor; tek bir tıklama yeterli ve neredeyse her organizasyonun çalıştırdığı Outlook’u vuruyor” ifadesini kullandı.
watchTowr’un tehdit istihbaratı lideri Jake Knott, son aydaki kritik açıkların ve acil yamaların ekibin yükünü artırdığını belirterek, “Önce internette gerçekten maruz kaldıklarınızla başlayın, sonra sahayla aktif istismar edilenler, gerisi sona kalsın. Panik moduna geçmeden önce etkilenen bileşeni kullanıp kullanmadığınızı ve istismar ön koşullarını karşılayıp karşılamadığınızı kontrol edin” dedi.

CISA’nın KEV eklemesi ve federal kurumlar için 24 Kasım 2026 sınırı​

Gelişme, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) açığı Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna eklemesine yol açtı. Federal kurumlar için yamanın 24 Kasım 2026’ya kadar uygulanması gerekiyor.

• Windows Search’ta uzaktan kod yürütme açığı (CVE-2026-116928)
• Lightweight Directory Access Protocol’te RCE açığı (CVE-2026-119958)
• Windows Schannel’de RCE açığı (CVE-2026-119952)
• Windows Virtual Filtering Platform’de RCE açığı (CVE-2026-95962)
• Windows Xbox Live Networking Service’ta RCE açığı (CVE-2026-112967)
• Azure OpenAI’da yetki yükseltme açığı (CVE-2026-119990)

\nTüm bu açıklar kaynak metinde “notable” olarak listelenmiş; her birinin etki kapsamı ve öncelik düzeyi hakkında ayrıntılı teknik detay paylaşmamıştır.

Sıkça Sorulan Sorular​

Outlook açığı aktif olarak istismar ediliyor mu?​

Evet. Microsoft, CVE-2026-124194 numaralı orta şiddetli Outlook açığını aktif olarak istismar edildiğini bildirdi. Uyarıya göre istismar, kurbanın saldırganın gönderdiği özel biçimlendirilmiş e-posta dosyasını açmasıyla tetikleniyor ve kimlik bilgisi sızdırılmasına yol açabiliyor.

NTLMv2 hash neden kritik?​

Kaynak metne göre yakalanan NTLMv2 hash, saldırganın mağdur olarak oturum açmasına, verilerine erişmesine ve erişebildiği diğer sistemlere hareket etmesine izin verebilir. Tek bir e-posta dosyasının açılmasıyla kimlik bilgilerinin sızdırılabileceği vurgulanıyor.

İstismar için hangi ön koşullar gerekiyor?​

Microsoft, başarılı istismar için hem ağ bağlantısı hem de kullanıcı etkileşimi gerektiğini açıkladı. Senaryo, saldırganın gönderdiği dosyanın kurban tarafından açılmasını içeriyor; Outlook bu durumda dış içerik uyarısı göstermeden saldırganın kontrolündeki konuma bağlantı kurabiliyor.

Açığı kim keşfetti, rapor kimin elinde?​

Microsoft, bulguyu “Nono” adlı bir araştırmacıyla Anthropic’ten Benoît Sevens’ın (Claude kullanılarak) tespit edip raporladığını belirtti. Şirket, keşfin istismardan önce mi sonra mı yapıldığı konusunda kaynak metinde açıklık getirmemiş; istismarın belirli bir tehdit aktörüne atfedilmediğini de vurgulamış.

CISA bu açığı hangi zaman çerçevesinde yamalamayı gerektiriyor?​

CISA, açığı Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekleyerek federal kurumların yamayı 24 Kasım 2026’ya kadar uygulamalarını gerektirdi. Bu tarih kaynak metinde açıkça belirtilmiş durumda.