Microsoft 10 Kasım'da 1.093 güvenlik açığını kapattı. Aktif istismar edilen Outlook açığının yanında DNS, DHCP, LDAP ve Kerberos'ta CVSS 9,8 puanlı kritik açıklar var.
Microsoft, 10 Kasım 2026 tarihli aylık güvenlik güncelleme paketiyle 1.093 güvenlik açığını kapattı. Tenable'ın analizine göre bu açıkların 63'ü "kritik" seviyede. Paketin en acil parçası ise Microsoft Outlook'taki CVE-2026-124194 numaralı kimlik sahteciliği açığı. Microsoft açığın saldırganlarca kullanıldığını bildirdi; ABD siber güvenlik ajansı CISA da açığı 10 Kasım'da bilinen istismar edilen açıklar (KEV) listesine ekledi ve federal kurumlar için 24 Kasım son tarihini verdi.
Outlook açığının işleyişi karmaşık değil. Tenable'ın özetine göre saldırganın tek yapması gereken, kullanıcıyı özel hazırlanmış bir Office dosyasını açmaya ikna etmek. Bu noktada kullanıcının NTLMv2 kimlik özeti saldırgana sızıyor ve bu özet, kurum ağı içinde o kullanıcının kimliğine bürünmek için kullanılabiliyor. CVSS puanı 6,5 ile orta seviyede görünse de aktif istismar, bu puanı pratikte anlamsız kılıyor: açık zaten sahada kullanılıyor.
Asıl risk sunucu tarafında
Outlook açığı manşetleri topladı, ancak kurumsal altyapı açısından daha ağır olan açıklar sunucu bileşenlerinde. SecurityOnline'ın derlediği listeye göre Windows DNS (CVE-2026-88218), DHCP Server (CVE-2026-88243), LDAP (CVE-2026-119958) ve Kerberos (CVE-2026-85844) bileşenlerinin tamamında CVSS 9,8 puanlı kritik açıklar kapatıldı. SQL Server'daki CVE-2026-116945 de aynı puanda ve kimlik doğrulaması gerektirmiyor. SharePoint Server (CVE-2026-120002) ise 9,9 puanla listenin en üst sıralarında.
Bu bileşenler bir tesadüf değil: DNS, DHCP, LDAP ve Kerberos, bir Windows etki alanının çalışma mantığının merkezinde yer alır. Çoğu KOBİ'de bunların hepsi tek bir sunucu üzerinde, çoğu zaman dosya sunucusuyla aynı makinede çalışır.
Türkiye ve KOBİ tarafındaki karşılığı
İstanbul Anadolu Yakası'nda hizmet verdiğimiz inşaat ofisleri, denizcilik acenteleri, lojistik firmaları ve kliniklerde tablo genelde benzer: tek domain controller, Microsoft 365 veya kurum içi posta, dışarıdan erişen birkaç kullanıcı. Böyle bir kurulumda tek bir kullanıcının Outlook üzerinden sızdırdığı kimlik özeti, saldırganın aynı ağdaki sunucu açıklarına uzanması için yeterli başlangıç noktası olabiliyor.
KVKK kapsamında veri sorumlusunun, kişisel verilerin hukuka aykırı erişimini önlemek için uygun güvenlik düzeyini sağlama yükümlülüğü bulunuyor. Yayımlanmış ve istismar edildiği resmi olarak doğrulanmış bir açığın aylarca yamasız bırakılması, bir ihlal yaşanması halinde bu yükümlülüğün değerlendirilmesinde kurumun aleyhine olacaktır.
Kamer Bilişim olarak ne öneriyoruz?
- Önce etki alanı sunucularını yamalayın. DNS, DHCP, LDAP ve Kerberos açıkları domain controller'ları doğrudan ilgilendiriyor. Bu sunucuları bu hafta içinde, tercihen mesai dışı bir bakım penceresinde güncelleyin; güncelleme öncesi sistem durumu yedeğini alın.
- Outlook istemcilerini aynı hafta kapatın ve NTLM'i dışarı sızdırmayın. Office/Outlook güncellemelerini tüm kullanıcılara dağıtın. Ayrıca güvenlik duvarınızda 445 ve 139 numaralı portların internete giden trafiğini engelleyin; NTLM özetinin dışarı taşınması çoğu zaman bu yoldan oluyor.
- Yama yönetimini tek seferlik iş olmaktan çıkarın. 1.093 açıklık bir paket elle takip edilemez. Bakım anlaşması kapsamında aylık yama takvimi, önce test grubu sonra yaygınlaştırma, geri dönüş planı ve yedeklerin düzenli geri yükleme testi birlikte kurgulanmalı.
Sunucu envanterinizin hangi güncellemeleri eksik aldığını bilmiyorsanız, mevcut durumun çıkarılması birkaç saatlik bir iştir. Kurumunuzun yama durumunu birlikte gözden geçirmek için iletişim sayfamız üzerinden bize ulaşabilirsiniz.
Kaynak: Tenable, Microsoft's November 2026 Patch Tuesday Addresses 1,093 CVEs; SecurityOnline, November 2026 Patch Tuesday; SecurityWeek.
Kaynak: Tenable