Microsoft, aktif sömürülen Windows sıfırıncı gün açığını kapattı

Microsoft'un 13 Ekim 2026 tarihli aylık güncelleme paketinde, saldırganlar tarafından halihazırda kullanılan bir Windows açığı kapatıldı. CVE-2026-96951 kodlu zafiyet, Windows Shell bileşenindeki bir komut enjeksiyonundan kaynaklanıyor ve işletim sisteminin "Mark of the Web" (MOTW) korumasını devre dışı bırakıyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) açığı aynı gün, aktif olarak sömürülen zafiyetler kataloğuna (KEV) ekledi.

MOTW nedir, neden önemli?

Mark of the Web, internetten veya e-postadan indirilen dosyalara Windows'un iliştirdiği bir işarettir. Bu işaret sayesinde Office belgeleri Korumalı Görünüm'de açılır, SmartScreen uyarı verir ya da dosyanın çalıştırılması tamamen engellenir. Yani MOTW, kullanıcı ile zararlı ek arasındaki son uyarı katmanıdır.

CVE-2026-96951, özel olarak hazırlanmış bir dosyanın bu katmanı atlamasına izin veriyor. Help Net Security'nin aktardığına göre saldırgan dosyayı e-posta, anlık mesajlaşma ya da Teams ve Slack gibi iş birliği araçlarıyla gönderebiliyor veya kullanıcıyı zararlı bir siteden indirmeye yönlendirebiliyor. Açığın sömürülmesi için kullanıcının dosyayı açması gerekiyor; ancak dosya açıldığında beklenen uyarı ekranı hiç görünmüyor.

Pratikte bu şu anlama geliyor: çalışanınız bir teklif dosyası ya da fatura eki açtığında, "Bu dosya internetten geldi, düzenlemeyi etkinleştir" uyarısını görmeden doğrudan içeriğin çalıştığı bir senaryo mümkün. Fidye yazılımı ve bilgi hırsızı kampanyalarının yıllardır kullandığı giriş yolu tam olarak budur.

Paketin geri kalanı ve KOBİ tarafındaki karşılığı

BleepingComputer'ın aktardığına göre ekim paketi 1.400'ü aşkın güvenlik açığını kapatıyor ve bu, tek bir güncelleme paketi için rekor niteliğinde. Aynı kaynağa göre bunların 70'i kritik seviyede ve pakette biri aktif sömürülen, ikisi kamuya açıklanmış olmak üzere toplam üç sıfırıncı gün açığı bulunuyor. Help Net Security ayrıca SharePoint'teki kritik bir imza doğrulama açığına (CVE-2026-102866) ve solucan benzeri yayılma potansiyeli taşıyan 55 zafiyete dikkat çekiyor.

Bu büyüklükteki bir paket, küçük ve orta ölçekli işletmelerde çoğu zaman "sonra bakarız" rafına kalkar. Oysa burada belirleyici olan açık sayısı değil, içlerinden birinin şu anda sahada kullanılıyor olması. Trend Micro Zero Day Initiative'den Dustin Childs'ın ifadesiyle önceliklendirme, CVE sayısına göre değil kanıtlanmış ve kamuya açık istismara göre yapılmalı.

Kamer Bilişim olarak ne öneriyoruz?

• Ekim güncellemesini bu hafta içinde tamamlayın, dağıtımı doğrulayın. Yamanın kurulmuş olması ile uç noktalarda gerçekten uygulanmış olması aynı şey değil. WSUS, Intune veya kullandığınız yönetim aracından kurulum oranını raporlayın; kapanmayan makineler ve uzun süredir yeniden başlatılmamış dizüstü bilgisayarlar genellikle eksik kalan kısımdır.
• Eki açmadan önceki katmanı güçlendirin. MOTW atlatılabildiğine göre savunmanın tek dayanağı o uyarı ekranı olmamalı. Mail ağ geçidinde yürütülebilir ve makro içeren eklerin karantinaya alınması, bilinmeyen gönderici için ek etiketlemesi ve uç nokta koruma çözümünüzde davranış tabanlı korumanın açık olması bu açığın etkisini belirgin biçimde azaltır.
• Hangi makinede hangi sürümün çalıştığını bilin. Yama önceliklendirmesi güncel bir envanter olmadan yapılamaz. Windows 10 1607, Server 2012 R2 gibi eski dallarda kalan makineleri listeleyin; bunlar hem farklı güncelleme paketleri gerektiriyor hem de yama penceresi en çok burada kaçıyor.

Yama yönetimi sürecinizi kurmak, uç nokta envanterinizi çıkarmak veya mail güvenliği yapılandırmanızı gözden geçirmek için iletişim sayfasından bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.

Kaynak: BleepingComputer, Help Net Security, CISA Known Exploited Vulnerabilities Catalog