Merhaba

Microsoft, 8 Eylül 2026’da yayımladığı Patch Tuesday güncellemesiyle bugüne kadarki en büyük güvenlik güncellemesini yayınladı. Microsoft’un kendi resmi kaynağı olan MSRC Security Update Guide’a (CVRF) göre bu ay toplam 974 CVE kapatıldı. Bunların arasında, düzeltme yayımlanmadan önce saldırganlar tarafından aktif olarak istismar edilen iki yetki yükseltme (privilege escalation) açığı da bulunuyor.

Genel Rakamlar

MSRC’nin resmi verisine göre bu ayki 973 Microsoft CVE’sinin 113’ü Kritik, 860’ı Önemli (Important) önem derecesinde. Ayrı bir sınıflandırmayla (etki türüne göre), haber kaynakları şu yaklaşık dağılımı bildiriyor:

Bileşen bazında dağılıma bakıldığında, açıkların büyük çoğunluğu Windows’ta (723 açık) toplanıyor; Office paketinde 222 (bunun 111’i Office 2016’da), SQL Server’da 62, Developer Tools’ta 22, SharePoint Server’da 16, Azure’da 12, Skype for Business’ta 10 ve Exchange Server’da 9 açık bulunuyor.

İki Sıfırıncı Gün Açığı: Saldırganlar Yamadan Önce Davrandı

Eylül güncellemesinin en acil maddeleri, Microsoft’un gerçek dünya saldırılarında istismar edildiğini doğruladığı iki yerel yetki yükseltme açığı. Her iki açık da başarılı istismar durumunda saldırgana Windows’un en güçlü güvenlik bağlamlarından biri olan SYSTEM yetkisini veriyor.

CVE-2026-81963 – Windows Update Stack, Yetki Yükseltme
Windows güncellemelerinin kurulmasından ve yönetilmesinden sorumlu bileşen olan Windows Update Stack’te, dosyaya erişimden önce yanlış link çözümlemesi (“link following”) türünde bir zafiyet bulunuyor. Bu tür zafiyetler, ayrıcalıklı bir sürecin bir dosya yolunu sembolik link, junction veya başka bir dosya sistemi mekanizması üzerinden yönlendirilip yönlendirilmediğini yeterince doğrulamadan erişmesiyle ortaya çıkıyor. Yetkili bir yerel saldırgan, bu açığı kullanarak Windows Update Stack’in dosya işlemlerini manipüle edip yetkisini SYSTEM seviyesine yükseltebiliyor. Açık, cihaza kimlik doğrulamasız bir giriş yolu sağlamıyor; muhtemelen kimlik avı, çalınmış kimlik bilgileri, kötü amaçlı belgeler, başka bir yazılım açığı veya mevcut bir zararlı yazılım bulaşması yoluyla ilk erişim sağlandıktan sonra ikinci aşama olarak kullanılıyor. Açığı Romain Deperne ve Microsoft’un kendi tehdit istihbaratı birimi MSTIC bildirdi.

CVE-2026-85880 – Windows ALPC, Yetki Yükseltme
Windows’un süreçler ve işletim sistemi bileşenleri arasında bilgi alışverişi için kullandığı dahili iletişim mekanizması olan ALPC’de (Advanced Local Procedure Call) heap tabanlı bir buffer overflow zafiyeti bulunuyor. Bu iletişimler uygulama, servis ve güvenlik bağlamları arasındaki sınırları sıkça aştığı için, ALPC’deki açıklar saldırganlar açısından kısıtlı bir süreçten kaçıp yetki yükseltmek için değerli araçlara dönüşebiliyor. Açığı Volexity ile Proofpoint’ten Mark Kelly, David Galazin ve Jeremy Hedges bildirdi. Olay müdahale ve tehdit istihbaratı firmalarının açığı bildirmiş olması, açığın aktif ihlallerin incelenmesi sırasında tespit edilmiş olabileceğine işaret ediyor; ancak bu kesinleşmiş bir bilgi değil, bir çıkarım.

Microsoft, her iki açığı istismar eden tehdit aktörlerinin kimliğini, saldırıların kapsamını veya kullanılan zararlı yazılımı açıklamadı. Bu detayların paylaşılmamış olması, istismarın dar kapsamlı ve hedefli operasyonlarla sınırlı kaldığının varsayılmaması gerektiği anlamına geliyor.

Yapay Zeka, Güvenlik Açığı Keşfini Hızlandırıyor

Eylül güncellemesinin bu denli büyük olmasının arkasındaki temel etken, yapay zeka destekli güvenlik araştırmalarının hızla yaygınlaşması. Haberlere göre Anthropic ve OpenAI tarafından geliştirilen yapay zeka sistemleri, Microsoft ürünlerinde bu ay tespit edilen olağandışı yüksek sayıda açığın ortaya çıkarılmasına katkıda bulundu.

Yapay zeka destekli güvenlik araştırması; büyük kod tabanlarını analiz edebiliyor, karmaşık veri akışlarını izleyebiliyor, şüpheli bellek yönetimi kalıplarını tespit edebiliyor ve test senaryolarını geleneksel manuel süreçlerden çok daha hızlı üretebiliyor. Gelişmiş modeller ayrıca yamalanmış ve yamalanmamış yazılım sürümlerini karşılaştırmaya, olası saldırı yollarını değerlendirmeye ve bazı durumlarda yeni açıklanan açıklar için çalışan kavram kanıtı (proof-of-concept) geliştirmeye de yardımcı olabiliyor.

Bu durum Microsoft yazılımlarının aniden daha güvensiz hale geldiği anlamına gelmiyor; tam tersine, daha önce gizli kalan kusurların artık daha verimli şekilde tespit edilip onarılıyor olması da bir açıklama olabilir. Ancak bu hızlanma hem yazılım üreticileri hem de müşteriler üzerinde yeni bir baskı yaratıyor: Microsoft bulguları doğrulamak, önem derecesini değerlendirmek, düzeltme geliştirmek, desteklenen platformlarda test etmek ve yayın takvimini koordine etmek zorunda; müşteriler ise hangi yamaların kendi ortamlarını ilgilendirdiğini belirlemek, kritik uygulamalara karşı test etmek ve saldırganlar güncellemeleri tersine mühendislikle çözmeden önce dağıtmak zorunda.

Bu durum, yama yayımı ile istismar arasındaki süreyi ifade eden “patch gap”i (yama açığı) daraltıyor. Bir güncelleme yayımlandığında, araştırmacılar ve tehdit aktörleri yamalanmış yazılımı önceki sürümle karşılaştırarak neyin değiştiğini belirleyebiliyor (“patch diffing”). Yapay zeka, ikili dosyaları, kaynak kodunu, çökme verilerini ve güncelleme paketlerini analiz ederek bu süreci saatler mertebesine indirebiliyor; bu da savunmacıların test ve dağıtım için giderek daha az zamana sahip olduğu anlamına geliyor. Eylül ayındaki iki sıfırıncı gün açığı zaten bunun bir kanıtı: her ikisi de kamuya açıklanmadan önce istismar edilmişti.

Rekor Kıran Bir Yaz: Haziran’dan Eylül’e

Eylül güncellemesi, arka arkaya gelen olağandışı büyük güncelleme dizisinin son halkası:

• Haziran 2026: Yaklaşık 200 açık
• Temmuz 2026: Farklı sayım yöntemlerine göre 570 ile 620’nin üzerinde açık
• Ağustos 2026: 421 açık (236’sı Windows’ta), bunlardan 1 tanesi gerçek saldırılarda istismar edilmiş durumda
• Eylül 2026: 966 açık, 2 aktif istismar edilen sıfırıncı gün

Diğer Üreticilerin Eylül Güncellemeleri

Eylül ayında Microsoft’un yanı sıra başka büyük üreticiler de kritik güncellemeler yayımladı:

Yama Yetmez: Önceki İhlal Belirtileri Aranmalı

Eylül güncellemelerinin kurulması açıkları kapatıyor, ancak saldırganların bu açıkları daha önce istismar edip etmediğini göstermiyor. Kurumların, 8 Eylül öncesindeki uç nokta, kimlik doğrulama ve güvenlik telemetrisini şüpheli etkinlik açısından gözden geçirmesi öneriliyor. Açıklanamayan yetki yükseltmeleri, yeni oluşturulmuş servisler, güncellemeyle ilgili dosyalarda değişiklik, olağandışı alt süreçler veya güvenlik kontrollerine müdahale belirtileri gösteren sistemler daha derin incelemeyi hak ediyor.

Her iki sıfırıncı gün açığı da uzaktan ilk erişim değil, yerel yetki yükseltme sağladığından, savunma ekiplerinin daha önceki bir giriş noktasının kanıtlarını araması gerekiyor: kimlik avı etkinliği, kötü amaçlı Office belgeleri, tarayıcı istismarı, çalınmış oturum belirteçleri (session token), yetkisiz uzaktan yönetim araçları veya standart bir kullanıcı hesabı altında başlangıçta çalışan zararlı yazılım gibi. İstismar kanıtı bulunduğunda yamanın uygulanması müdahalenin yalnızca bir parçası olarak görülmeli; uç noktanın izole edilmesi, adli kanıt toplanması, kimlik bilgilerinin sıfırlanması, aktif oturumların geçersiz kılınması ve yanal hareketin incelenmesi de gerekebilir.

Kurumlar İçin Öneriler

• CVE-2026-81963 ve CVE-2026-85880 aktif istismar edildiği için öncelikli olarak yamalanmalı.
• Varlık envanterinin desteklenen Windows sürümlerini ve etkilenen diğer Microsoft ürünlerini doğru şekilde yansıttığından emin olunmalı; açıklar önem derecesi etiketinden çok gerçek dağıtım verisiyle eşleştirilerek önceliklendirilmeli.
• Kritik RCE açıkları ağ erişilebilirliğine, kimlik doğrulama gereksinimine, istismar karmaşıklığına ve etkilenen varlığın önemine göre değerlendirilmeli; yalnızca CVSS puanına göre önceliklendirme yapılmamalı.
• İnternete açık sunucular, alan adına (domain) bağlı Windows sistemleri, yönetici iş istasyonları, uzaktan erişim altyapısı ve yüksek değerli personelin kullandığı cihazlar erken önceliğe alınmalı.
• Destek ömrü dolmuş (end-of-life) ürünler yükseltilmeli, izole edilmeli, telafi edici kontrollerle korunmalı veya hizmet dışı bırakılmalı.
• Aktif istismar edilen açıklar için, rutin bakım onay süreçlerinin acil güncellemeleri geciktirmemesi amacıyla net bir eskalasyon prosedürü tanımlanmalı.
• Güncellemeler Windows Update, WSUS, Microsoft Intune, Microsoft Update Catalog veya kurumun onaylı diğer yönetim platformları üzerinden alınmalı ve mevcut değişiklik yönetimi süreçlerine göre doğrulanmalı.

Microsoft’un Eylül 2026’da Yamaladığı Tüm CVE’ler (973 Kayıt)

Aşağıdaki tablo, Microsoft’un MSRC Security Update Guide (CVRF) belgesinde “Microsoft” yayımcı etiketiyle listelenen tüm CVE kayıtlarını içeriyor. CVE numarasına tıklayarak ilgili MSRC sayfasına gidebilirsiniz.

Başka bir yazımızda görüşmek dileğiyle…