Microsoft'tan rekor yama paketi: 1.400'ü aşan açık, 3 sıfır gün

Microsoft, 13 Ekim 2026 Salı günü yayımladığı aylık güvenlik paketiyle şirket tarihinin en büyük yama setini kullanıma sundu. Kapatılan zafiyet sayısı kaynağa göre değişiyor: BleepingComputer 1.411, SecurityWeek 1.413, Tenable 1.407 açık bildirdi. Hangi sayım kullanılırsa kullanılsın, SecurityWeek'in aktarımına göre tek bir ayda kapatılan açık sayısı Microsoft'un 2025 yılının tamamındaki toplamını aşıyor.

Pakette ne var?

SecurityWeek'in dökümüne göre açıkların 1.102'si Windows, 134'ü Office, 61'i geliştirici araçları ve 36'sı SharePoint Server tarafında. Exchange Server, Azure ve Defender bileşenleri de yama aldı. BleepingComputer'ın sınıflandırmasında 70 açık kritik olarak işaretlendi; bunların 57'si uzaktan kod çalıştırma. Tür dağılımında 677 yetki yükseltme ve 317 uzaktan kod çalıştırma açığı öne çıkıyor.

Pakette üç sıfır gün açığı bulunuyor. Bunlardan CVE-2026-96951 aktif olarak sömürülüyor. Windows Shell üzerindeki bu güvenlik özelliği atlatma açığı (CVSS 8.8), internetten indirilen dosyaları işaretleyen Mark of the Web korumasını devre dışı bırakıyor. CISA açığı Bilinen Sömürülen Zafiyetler kataloğuna ekledi ve federal kurumlar için 16 Ekim son tarihini belirledi. Diğer iki sıfır gün — .NET Framework'teki CVE-2026-108398 ve MessagePack-CSharp'taki CVE-2026-92707 — yama öncesinde kamuya açıklanmıştı; sömürüldüklerine dair bir bulgu paylaşılmadı.

Neden önemli?

Mark of the Web atlatma açığı, teknik karmaşıklığı düşük olduğu için KOBİ'ler açısından paketteki en kritik kalem. Saldırı senaryosu tanıdık: kullanıcıya e-posta veya mesajla bir dosya gönderiliyor, kullanıcı dosyayı açıyor ve normalde SmartScreen ya da Office Korumalı Görünüm'ün devreye girmesi gereken noktada hiçbir uyarı çıkmıyor. Yani personele verilen "uyarı gelirse açma" talimatı, bu açık yamalanmadığı sürece işlevini yitiriyor.

İkinci mesele hacim. SecurityWeek bu artışı büyük ölçüde yapay zekâ destekli zafiyet keşfine bağlıyor ve 2026 toplamının 4.000 açığı geçtiğini belirtiyor. Aylık yama notlarını elden geçirip "hangisi bizi ilgilendiriyor" diye okuyan yaklaşım bu hacimde artık işlemiyor.

Türkiye ve KOBİ tarafındaki karşılığı

İstanbul Anadolu Yakası'ndaki ofislerde sahada en sık gördüğümüz tablo şu: Windows istemciler otomatik güncelleme alıyor, ancak dosya sunucusu, muhasebe sunucusu veya terminal sunucusu "çalışan sistemi bozmayalım" gerekçesiyle aylarca yamasız kalıyor. Bu pakette açıkların büyük bölümünün Windows tarafında olması, ertelemenin maliyetini yükseltiyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin veri sorumlusundan beklediği "uygun güvenlik düzeyini temin etmeye yönelik teknik tedbirler", yaması çoktan yayımlanmış bilinen bir açığı aylarca açık bırakmakla bağdaşmıyor; bir ihlal halinde 72 saat içinde Kurula bildirim yükümlülüğü devreye giriyor.

Kamer Bilişim olarak ne öneriyoruz?

• Önce sömürülen açığı kapatın, sayıyı kovalamayın. 1.400 açığı aynı gün değerlendirmek mümkün değil. Sıraya CVE-2026-96951 ile başlayın; CISA kataloğunda yer alan ve fiilen sömürülen kalemler, yüksek CVSS puanlı ama saldırı görmeyen açıklardan önce gelir.
• Sunucular için yama penceresi tanımlayın. Ayın ikinci Salısı sonrasına sabitlenmiş bir bakım saati, öncesinde alınmış doğrulanmış yedek ve yazılı bir geri dönüş planı. Yedeğin geri yüklenebildiğini test etmeden yama gecesine girmeyin.
• Dosya tabanlı saldırıyı uç noktada durdurun. Mark of the Web gibi korumalar atlatılabildiği için tek savunma katmanı olamaz. E-posta tarafında ek dosya türü filtresi, uç noktada güncel EDR ve Office makrolarının merkezi politikayla kapatılması birlikte çalışmalı.

Sunucu ve istemci parkınızın yama durumunu çıkarmak, kritik açıklar için bir takvim oluşturmak veya mevcut yedekleme ve uç nokta güvenliği yapınızı gözden geçirmek isterseniz iletişim sayfasından bize ulaşabilirsiniz. Kurumsal bakım anlaşması kapsamındaki müşterilerimizde bu süreç planlı bakım takvimi içinde yürütülüyor.

Kaynak: SecurityWeek, BleepingComputer, Tenable