Outlook'ta aktif sömürülen açık: NTLM parola özeti sızdırılıyor

Microsoft, 10 Kasım 2026 tarihli aylık güvenlik güncellemelerinde SOCRadar'ın derlemesine göre 1.094 güvenlik açığını kapattı. Bu paketin içinde yalnızca bir açık, yama yayımlanmadan önce saldırganlar tarafından aktif olarak kullanılıyordu: Microsoft Outlook'taki CVE-2026-124194. Microsoft açığı "Orta" seviyede sınıflandırıyor ve CVSS puanı 6,5; buna karşın şirketin kendi istismar değerlendirmesi "istismar tespit edildi" şeklinde.

Saldırı akışı basit: saldırgan özel olarak hazırlanmış bir ileti dosyası gönderiyor. Kullanıcı dosyayı Outlook'ta açtığında Outlook, normalde gösterdiği dış içerik uyarısını göstermeden saldırganın denetimindeki bir ağ adresine bağlanıyor. Bu bağlantı sırasında kullanıcının NTLMv2 kimlik doğrulama özeti karşı tarafa iletiliyor.

Neden önemli?

Ele geçirilen NTLMv2 özeti parolanın açık hâli değil; ancak iki şekilde işe yarıyor. Birincisi, imzalama veya Extended Protection for Authentication (EPA) uygulamayan iç servislere karşı yapılan NTLM relay saldırısı. İkincisi, parola zayıfsa çevrimdışı kırma denemeleri. Her iki yolda da saldırganın hedefi aynı: kurum ağında meşru bir kullanıcı kimliğiyle oturum açmak.

Puanı düşük görünse de ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) açığı 10 Kasım 2026'da Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi ve kapsamdaki federal kurumlar için son uygulama tarihini 24 Kasım 2026 olarak belirledi. Bir açığın KEV listesine girmesi, gerçek saldırılarda kullanıldığının bağımsız teyidi anlamına geliyor. Yani önceliklendirmeyi CVSS puanına göre yapan kurumlar bu açığı listenin altına atma riski taşıyor.

Türkiye ve KOBİ tarafındaki karşılığı

Bu açığın pratikteki asıl zorluğu dağıtım kanalında. Düzeltme Windows toplu güncellemesiyle değil, Kasım 2026 Office güncellemeleriyle geliyor. Sunucu ve istemci yamalarını düzenli geçen, ancak Office tarafını kullanıcıya veya otomatik kanala bırakan işletmelerde makineler "güncel" görünürken Outlook açık kalabiliyor. Microsoft 365 Apps, Office LTSC 2024 ve LTSC 2021 kanallarının ayrı ayrı doğrulanması gerekiyor.

Günlük işini e-posta ekleriyle yürüten sektörler bu saldırı için daha elverişli bir zemin sunuyor. İnşaat ofislerinde teklif ve proje dosyaları, denizcilik ve acente firmalarında manifesto ve sertifika yazışmaları, lojistikte irsaliye ve gümrük evrakı sürekli dolaşımda; bilinmeyen bir göndericiden gelen dosyayı açmak günlük rutinin parçası hâline gelmiş durumda.

Microsoft aynı pakette NTLM protokolünü de sıkılaştırıyor: Windows 11 güvenlik güncellemesi KB5132061 ile istemcilerde anonim olmayan bağlantılar için NTLM ileti imzalama varsayılan olarak devreye giriyor. Bu, relay saldırılarına karşı kalıcı bir iyileştirme; ancak yama uygulanmadan tek başına yeterli değil.

Kamer Bilişim olarak ne öneriyoruz?

• Office güncellemelerini ayrı bir iş kalemi olarak takip edin. Windows güncel diye Office'i güncel saymayın. Hangi makinede hangi Office sürüm ve kanalının çalıştığını listeleyin, Kasım 2026 Office güncellemesini bu hafta içinde dağıtın.
• NTLM relay yüzeyini daraltın. Kurum dışına doğru SMB trafiğini (445 ve 139 numaralı portlar) güvenlik duvarında kapatın; bu tek başına özetin saldırgan sunucusuna ulaşmasını engeller. Ardından SMB imzalamayı ve LDAP imzalama/kanal bağlamayı zorunlu hâle getirin.
• Hesapları özet çalınsa bile dayanıklı kılın. Yönetici hesaplarında uzun ve benzersiz parolalar, kritik servislerde çok faktörlü doğrulama ve Outlook süreçlerinden dışarıya giden SMB bağlantılarının loglanması, çalınan bir özetin kullanılabilirliğini ciddi biçimde düşürür.

Kurumunuzdaki Office sürüm envanterini çıkarmak, yama dağıtımını planlamak veya güvenlik duvarı kurallarınızı bu saldırı türüne karşı gözden geçirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.

Kaynak: SOCRadar, "November 2026 Patch Tuesday: 1,094 Flaws, One Exploited"; CISA Known Exploited Vulnerabilities kataloğu.