Microsoft, ürün portföyündeki 1.259 güvenlik açığını kapatan güncellemeleri yayımladı. Şirketin bu ayki yama turunda özellikle Outlook’taki aktif istismara uğrayan bir açık öne çıkarken, Windows, Office, SQL Server, SharePoint ve geliştirici araçlarında da çok sayıda kritik hata düzeltildi.
Bu tur, Microsoft’un üst üste ikinci ayda 1.000’in üzerinde CVE için düzeltme yayınladığı dönem oldu. Yamanın kapsamı 726 Windows açığı, 174 Office açığı, 61 ve 53 adet geliştirici aracı açığı, 59 SQL Server açığı ve 27 SharePoint Server açığını içeriyor. Paket içinde Microsoft dışı 165 CVE kaydı da yer aldı. Açıkların 500’den fazlası yetki yükseltme sınıfında; bunu uzaktan kod çalıştırma ve bilgi sızması sorunları izliyor.
Tenable kıdemli araştırma mühendisi Satnam Narang, Microsoft’un bu yıl yalnızca kendi ürünleri için 5.100’den fazla CVE’yi ele aldığını aktardı. Şirket, son güncellemeleri Patch Tuesday kapsamında dağıttı.
Outlook açığı NTLMv2 karmalarını açığa çıkarabiliyor
Microsoft’un aktif olarak istismar edildiğini doğruladığı açık, Outlook içindeki orta dereceli bir güvenlik sorunu olarak kayda geçti: CVE-2026-124194. CVSS puanı 6.5 olan bu açık, Office Outlook’ta kullanıcı arayüzünün güvensiz işlemler için uyarı vermemesi nedeniyle ağ üzerinden sahtecilik yapılmasına izin verebiliyor.
Teknik senaryo oldukça net: Kimliği doğrulanmamış bir saldırgan, özel hazırlanmış bir mesaj dosyası gönderiyor ve hedefi bunu savunmasız bir Outlook sürümünde açmaya ikna ediyor. Dosya açıldığında Outlook, olağan dışı içerik uyarısı göstermeden saldırganın kontrolündeki bir ağ konumuna bağlanabiliyor. Bu süreçte NTLMv2 karması gibi kimlik doğrulama bilgileri açığa çıkabiliyor ve saldırgan bu bilgileri kurbanın kimliğine bürünmek için kullanabiliyor. Microsoft, başarılı istismar için ağ erişimi ve kullanıcı etkileşimi gerektiğini vurguladı.
Şirket, açığın keşfi ve bildiriminde Nono adlı araştırmacı ile Anthropic’ten Benoît Sevens’i, Claude kullanarak yürüttükleri çalışma üzerinden kredilendirdi.
Action1’de güvenlik açığı araştırmalarından sorumlu direktör Jack Bicer, e-postanın kurumlara girmenin en kolay yollarından biri olduğunu ve bu açığın açılan tek bir dosyayı çalınmış bir kimliğe dönüştürdüğünü söyledi. Bicer, yakalanan bir karmanın saldırgana kurban adına oturum açma, verileri okuma ve erişebildiği diğer sistemlere ilerleme imkânı verebileceğini belirtti. Ona göre “Orta” etiketi bu açık için hafif kalıyor; çünkü saldırı başladı bile, yalnızca tek bir tıklama gerekiyor ve etkilenen uygulama neredeyse her kurumda bulunan Outlook.
Microsoft, saldırıyı belirli bir tehdit aktörüne bağlamadı ve açık istismarına ilişkin teknik ayrıntı paylaşmadı. Duyuruda, keşfin saldırıların başlamasından önce mi sonra mı yapıldığı da netleştirilmedi.
Aynı açık nedeniyle ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, CVE’yi bilinen istismar edilen açıklar listesi KEV kataloğuna ekledi. Federal kurumların yamayı 24 Kasım 2026’ya kadar uygulaması gerekiyor. NVD kaydı: CVE-2026-124194
Windows, Schannel ve Azure OpenAI tarafında da kritik yamalar var
Bu ayın öne çıkan diğer yamaları arasında Windows Search’teki uzaktan kod çalıştırma açığı CVE-2026-116928, LDAP’taki CVE-2026-119958, Windows Schannel’daki CVE-2026-119952, Windows Virtual Filtering Platform’daki CVE-2026-95962 ve Windows Xbox Live Networking Service’teki CVE-2026-112967 yer aldı. Microsoft ayrıca Azure OpenAI’de yetki yükseltme açığı CVE-2026-119990 için de düzeltme yayımladı.
watchTowr’da tehdit istihbaratı bölüm başkanı Jake Knott, güvenlik ekiplerinin geçen ayki kritik açıklar, acil yamalar ve “2shell” etiketli olaylarla daha toparlanamadan yeniden Patch Tuesday’e geldiğini söyledi. Knott, ekiplerin her gün art arda gelen acil uyarılar arasında “hangisi gerçekten önemli” sorusuna cevap vermekte zorlandığını, önceliğin internete açık varlıklara ve vahşi ortamda istismar edilen açıklarada verilmesi gerektiğini kaydetti. Knott’a göre, hangi bileşenlerin gerçekten kullanıldığını ve istismar için gerekli ön koşulların bulunup bulunmadığını doğrulamadan paniğe kapılmak doğru yaklaşım değil.
Bu paketteki açıkların çoğu, özellikle dışa açık hizmetler, kimlik doğrulama akışları ve kurumsal Microsoft ekosistemine bağlı sistemler için yamaları geciktiren kurumlar açısından takip edilmeye devam ediyor. Microsoft’un bu ay kapattığı açıkların ölçeği, sadece tek bir ürün ailesine değil, şirketin geniş yazılım portföyüne yayılan risklerin aynı yamada toplanabildiğini gösteriyor.