Microsoft Ekim güncellemesinde rekor kırdı: 1.400'ü aşkın açık, biri aktif istismarda

Microsoft, 13 Ekim'de yayımladığı Ekim 2026 Patch Tuesday güncellemeleriyle şimdiye kadarki en yüksek sayıda güvenlik açığını kapattı. Kapatılanlar arasında saldırganların hâlihazırda istismar ettiği bir Windows sıfırıncı gün açığı da var. BleepingComputer, ay başında Azure, Exchange Server ve diğer ürünlerde kapatılan 348 açığı saymadan toplamı 1.411 olarak veriyor. The Hacker News ise 1.413 açıktan söz ediyor. İki yayın da bunu bugüne kadarki en büyük Patch Tuesday olarak niteliyor. Açıklardan biri aktif saldırı altında olduğu için yöneticilerin bu döngüyü önceliklendirmesi gerekiyor.

Neler oldu?

BleepingComputer'ın aktardığına göre güncellemede 70 kritik açık var: 57'si uzaktan kod çalıştırma, 11'i yetki yükseltme, 2'si kimlik sahteciliği. Yayının yaklaşık dağılımına göre kapatılan açıkların 677'si yetki yükseltme, 317'si uzaktan kod çalıştırma, 254'ü bilgi ifşası, 73'ü hizmet engelleme, 40'ı güvenlik özelliği atlatma ve 28'i kimlik sahteciliği açığı.

The Hacker News'e göre düzeltmelerin 1.102'si Windows'ta. Onu Office (134), geliştirici araçları (61), SharePoint Server (36) ve SQL Server (22) izliyor. Eylül güncellemesi de yaklaşık 1.000 açığı kapatmıştı. Tenable'dan Satnam Narang, Microsoft'un bu yıl şimdiye kadar 4.000'den fazla CVE için yama yayımladığını belirtiyor.

Teknik detaylar

Aktif olarak istismar edilen açık CVE-2026-96951 (CVSS 8,8). Windows Shell'deki bu komut enjeksiyonu açığı, kimliği doğrulanmamış bir saldırganın ağ üzerinden bir güvenlik özelliğini atlatmasına imkân veriyor. Microsoft'a göre saldırgan, örneğin e-posta veya anlık mesajla özel hazırlanmış bir dosya göndererek Mark of the Web (MOTW) korumalarını aşabiliyor. The Hacker News, açığın nasıl, kim tarafından ve kime karşı kullanıldığının bilinmediğini aktarıyor. CISA açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi ve federal kurumlara 16 Ekim 2026'ya kadar yama yapma zorunluluğu getirdi.

Yama yayımlanmadan önce kamuya açıklanan iki açık daha var:

• CVE-2026-108398 (CVSS 8,8): .NET Framework'teki güvenilmeyen arama yolu açığı. Yerel ve yetkili bir saldırganın, kullanıcı etkileşimi olmadan Windows Defender Application Control'ü (WDAC) atlatmasını sağlıyor. Açığı Google Project Zero'dan James Forshaw bildirdi. Action1'den Mike Walters, açığın özellikle sisteme sızıldıktan sonraki aşamada tehlikeli olduğu uyarısında bulunuyor.
• CVE-2026-92707 (CVSS 5,3): MessagePack-CSharp'taki bir hizmet engelleme açığı.

The Hacker News, Raw Image Extension'daki yığın taşması açığı CVE-2026-21413'e (CVSS 9,8) de dikkat çekiyor. Açık, Windows bir küçük resim veya önizleme oluşturduğunda tetiklenebiliyor. Yani kötü amaçlı bir RAW görüntünün bulunduğu klasörü açmak bile yeterli olabiliyor.

Microsoft ayrıca benzer değerlendirme gerektiren CVE'leri "risk kohortları" altında gruplamaya başladı. BleepingComputer'a göre şirket bu yaklaşımı deneysel olarak tanımlıyor ve kohortların en tehlikeli açıkları göstermediğini vurguluyor.

Kimler etkileniyor?

Desteklenen Windows, Office, .NET, SharePoint ve SQL Server kurulumlarının büyük bölümü etkileniyor. BleepingComputer, Windows 11 24H2 Home ve Pro ile Windows 10 Enterprise LTSB 2016'nın güncelleme süresinin sona erdiğini, yani bu ayki güncellemenin bu sürümler için son olduğunu hatırlatıyor. Windows 11 23H2 Enterprise, Education ve IoT Enterprise de gelecek ay güvenlik güncellemesi almayı bırakacak.

Ne yapmalı?

Yöneticilerin önce CVE-2026-96951 yamasını uygulaması gerekiyor. Bu, özellikle e-posta eki ve mesajlaşma uygulamalarıyla dosya alan uç noktalar için önemli. Ardından Raw Image Extension ve .NET Framework düzeltmeleri gelmeli. Zero Day Initiative'den Dustin Childs, yüzlerce CVE içeren güncellemelerin eskiden istisna olduğunu ama artık olağan hâle geldiğini söylüyor. Childs'a göre önceliklendirme CVE sayısına değil, istismar edilebilirliğe göre yapılmalı. Güncelleme süresi dolan Windows sürümlerini kullanan sistemler desteklenen bir sürüme taşınmalı.