Microsoft 1.235 açığı kapattı: Outlook'taki açık saldırılarda kullanılmış

VGN

Microsoft'un Kasım güvenlik güncellemeleri, yama öncesinde saldırılarda kullanılan bir Outlook açığını da kapattı. Şirket, Exchange Server 2016 ve 2019'un artık kalıcı olarak savunmasız sayılması gerektiğini duyurdu.

Microsoft, 10 Kasım 2026 Salı günü yayımladığı aylık güvenlik güncellemeleriyle Windows, Office, Edge ve diğer ürünlerindeki 1.235 güvenlik açığını kapattı. Güncellemeler arasında en acil olanı, saldırganların yama çıkmadan önce kullandığı bir Outlook açığı. Şirket ayrıca Exchange Server 2016 ve 2019 sürümlerinin artık "kalıcı olarak savunmasız" sayılması gerektiğini duyurdu.

Bir ayda yine binin üzerinde açık

"Salı Yaması" (Patch Tuesday) olarak bilinen aylık pakette kapatılan açıkların 66'sı kritik seviyede. Bunların 48'i uzaktan kod çalıştırmaya, 15'i yetki yükseltmeye imkân veriyor; 3'ü ise Edge tarayıcısındaki bellek hataları. Toplam rakama ay başında ayrıca yayımlanan 108 düzeltme dahil değil. Bazı güvenlik yayınları sayım yöntemine bağlı olarak toplamı 1.093-1.094 olarak hesapladı.

Türlere göre bakıldığında yaklaşık 536 yetki yükseltme, 296 uzaktan kod çalıştırma, 157 bilgi ifşası, 46 hizmet engelleme, 27 güvenlik özelliği atlatma ve 22 kimlik sahteciliği açığı bulunuyor. Açıkların yaklaşık 639'u Windows ve bileşenlerini, 142'si Chromium tabanlı Edge'i ilgilendiriyor. Microsoft, Ekim ayında da rekor sayıda, 1.411 açık kapatmıştı; şirketin açıkları bulup kapatmada yapay zekâ kullanmayı sürdürdüğü belirtiliyor.

Outlook açığı saldırılarda kullanıldı

Ayın sıfırıncı gün açığı CVE-2026-124194 koduyla izlenen "Microsoft Outlook kimlik sahteciliği açığı". Microsoft'a göre açık, güncelleme yayımlanmadan önce saldırılarda kullanıldı. Önem derecesi "orta", CVSS puanı 6,5 olarak belirlendi; ancak aktif istismar nedeniyle öncelikli kapatılması gereken açıklar arasında.

Saldırganın bu açığı kullanmak için hedef sistemde oturum açmış olması gerekmiyor; saldırıda kurbana özel hazırlanmış bir ileti dosyası gönderiliyor. Kullanıcı dosyayı açtığında Outlook, normalde göstermesi gereken "harici içerik" uyarısını göstermeden saldırganın denetimindeki bir ağ konumuna bağlanıyor. Bu sırada Windows'un otomatik kimlik doğrulaması devreye girdiği için kullanıcının NTLMv2 parola özeti (hash) saldırganın eline geçebiliyor. Bu özet çevrim dışı kırılabiliyor ya da kurbanı taklit etmek için kullanılabiliyor; bu da özellikle kurumsal hesaplar için risk oluşturuyor. İstismar için ağ bağlantısı ve kullanıcının dosyayı açması gerekiyor. Düzeltme Office güncellemesiyle dağıtılıyor; bu nedenle Windows'u güncelleyen kullanıcıların Office tarafını da ayrıca kontrol etmesi öneriliyor.

Exchange 2016 ve 2019 için yolun sonu

Microsoft, Kasım güncellemesinin notlarında Exchange Server 2016 ve 2019'un artık kalıcı olarak savunmasız kabul edilmesi gerektiğini belirtti. Bu sürümler için güvenlik testi yapılmıyor ve yeni bulunacak açıklara düzeltme yayımlanmayacak. Standart desteğin bitmesinin ardından sunulan ücretli Genişletilmiş Güvenlik Güncellemesi dönemi Ekim 2026'da sona ermişti. Kasım paketi yalnızca desteklenen tek sürüm olan Exchange Server Subscription Edition (SE) için düzeltme içeriyor; SE'de görülen OWA erişim hataları, e-posta kuyruğu büyümesi ve DAG sorunları da bu güncellemeyle gideriliyor.

Diğer kritik düzeltmeler

Pakette Active Directory Domain Services (CVE-2026-118146), Exchange Server (CVE-2026-118207), Microsoft Defender (CVE-2026-122194), Office (CVE-2026-120003) ve grafik yazı tipi bileşeninde (CVE-2026-119969) uzaktan kod çalıştırmaya imkân veren kritik açıklar da kapatıldı. Windows 11 için KB5132061 ve KB5131087, Genişletilmiş Güvenlik Güncellemesi alan Windows 10 sistemleri için KB5131096 numaralı toplu güncellemeler yayımlandı. Aynı hafta SAP, Cisco, Ivanti, SonicWall ve Zyxel gibi üreticiler de kendi güvenlik güncellemelerini duyurdu.

Kullanıcılar ve kurumlar ne yapmalı?

Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, 4 Kasım'da yaptığı uyarıda işletim sistemi ve uygulamaların güncel tutulmasını temel korunma adımları arasında saymıştı. Ev kullanıcılarının Ayarlar menüsündeki Windows Update bölümünden güncellemeleri yükleyip bilgisayarı yeniden başlatması, Office uygulamalarını da güncellemesi gerekiyor. Office güncellemesi, Word ya da Outlook gibi bir uygulamada Dosya > Hesap > Güncelleştirme Seçenekleri > Şimdi Güncelleştir adımlarıyla elle başlatılabiliyor. Otomatik güncellemenin açık olduğu bilgisayarlarda da yeniden başlatma yapılmadan bazı düzeltmeler devreye girmiyor. Tanınmayan göndericilerden gelen ekleri açmamak, Outlook açığı gibi kullanıcı etkileşimine dayanan saldırılara karşı ek bir koruma sağlıyor.

Kurumlar için öncelik, Outlook düzeltmesinin tüm cihazlara dağıtıldığından emin olmak. Hâlâ Exchange Server 2016 ya da 2019 kullanan kuruluşların, yeni açıklara yama alamayacaklarını göz önünde bulundurarak desteklenen sürüme geçiş planlarını öne çekmesi öneriliyor.