Merhaba

Microsoft, ağustos 2026 aylık güvenlik güncellemelerini 11 Ağustos’ta yayınladı. Bu sürüm Windows, Office, SharePoint Server, Azure servisleri, .NET, PowerShell, Visual Studio Code ve diğer kurumsal ürünler genelinde çok sayıda açığı kapatıyor. Toplam tabloya bakıldığında büyük bir yayın sürümü söz konusu, ancak asıl önemli olan rakamlar değil; hangi açığın aktif sömürüldüğü, hangisinin kamuya açıklandığı ve hangisinin uzaktan erişilebilir olduğu. Bu yazıda ayın öne çıkan zafiyetlerini ve bir sistem yöneticisi olarak yama önceliğini nasıl belirlemeniz gerektiğini ele alıyorum.

Genel Tablo ve Bir Not: 394 mü, 398 mi?

Farklı kaynaklar sürümün büyüklüğü için farklı sayılar veriyor. Microsoft’un kendi güncelleme rehberine dayanan sayımlar bu ay yaklaşık 394 CVE’den söz ederken, üçüncü taraf CVE’leri de dahil eden Zero Day Initiative sayımı 398 rakamını veriyor. Bu tür farklar patch roundup’larda olağandır; ana sürücü, üçüncü taraf bileşenlerin (Chromium tabanlı Edge, AMD/CPU danışma belgeleri vb.) sayıma dahil edilip edilmemesidir. Sayı ne olursa olsun, yama sırasını belirleyen şey rakam değil; sömürü durumu, kamuya açıklanma ve zafiyetin erişilebilirliğidir.

Etki türüne göre dağılım kabaca şöyle: en büyük paylar ayrıcalık yükseltme (Elevation of Privilege) ve uzaktan kod çalıştırma (Remote Code Execution) açıklarında; ardından bilgi ifşası, spoofing, hizmet reddi (DoS), güvenlik özelliği atlatma ve tampering geliyor.

Üç Zero-Day

Bu ayın en dikkat çekici tarafı üç zero-day zafiyeti. Bunlardan yalnızca biri aktif olarak sömürülüyor; diğer ikisi güncellemeler yayınlandığında zaten kamuya açıklanmış durumdaydı (public disclosure). Kamuya açıklanmış olmak, henüz sömürü görülmese de proof-of-concept geliştirme ve takip eden saldırı denemeleri ihtimalini yükseltir.

Aktif Sömürülen: CVE-2026-68820

Üçü arasında en acil olanı bu. Açık, Windows’un ağ soketi işlemlerini yöneten çekirdek sürücüsü afd.sys (Ancillary Function Driver for WinSock) içinde yer alıyor ve bir ayrıcalık yükseltme (privilege escalation) zafiyeti. Saldırganın önce makinede çalışan bir koda sahip olması gerekiyor; ardından bu açığı kullanarak SYSTEM seviyesine çıkabiliyor. Check Point Research bunu bir use-after-free zafiyeti olarak tanımlıyor ve sömürünün bir yarış koşulunu (race condition) tetiklemeye dayandığını belirtiyor.

Microsoft açığı “aktif sömürülüyor” olarak işaretledi; sömürüyü kamuya açık şekilde herhangi bir aktöre atfetmedi. Check Point Research’e göre ise zafiyet, Lazarus grubunun “Operation Dream Job” kampanyasında kullanıldı. Önem etiketi Important görünse ve dört kritik sunucu açığından daha düşük dursa da, aktif sömürülüyor olması onu listenin en başına taşıyor. Savunma tarafında, şüpheli yerel ayrıcalık yükseltme etkinliğini araştırmak ve uç nokta telemetrisinde anormal süreç yürütme veya ayrıcalıklı hesap davranışındaki değişiklikleri incelemek önerilir.

Kamuya Açıklanmış İkili: CVE-2026-72971 ve CVE-2026-62832

CVE-2026-72971, Windows Container Isolation’ın kullandığı unionfs.sys sürücüsünü etkileyen bir tampering açığı. Başarılı bir saldırı, konteynerle ilişkili dosyaların veya sistem davranışının bütünlüğünü zedeleyebilir. Konteyner iş yükleri çalıştıran ortamlar etkilenen hostları önceliklendirmeli.

CVE-2026-62832, Windows User Profile Service’te kamuya açıklanmış bir ayrıcalık yükseltme açığı. Bu tür açıklar, bir uç noktada zaten tutunmuş bir saldırganın daha geniş sistem izinleri elde etmesine olanak tanıdığı için saldırı zincirlerinde sık kullanılır.

Kimlik Doğrulaması Gerektirmeyen Sunucu RCE’leri (Bir Severity Notu)

Aktif sömürülen sürücü açığının hemen arkasına, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeyen uzaktan kod çalıştırma (RCE) açıkları gelir; çünkü bunlar bir saldırgana, önce hesaba veya bir kullanıcı hareketine ihtiyaç duymadan sunucuda kod verebilir. Burada bir ayrımı netleştirmek gerekiyor: bazı yayınlar bu açıkları “9.8 CVSS” olarak anıyor. CVSS puanı (0-10 arası sayısal skor) ile Microsoft’un kendi severity etiketi (Critical / Important) farklı şeylerdir. Microsoft’un güncelleme rehberine göre bu grubun üçü Critical, HPC Pack ise Important olarak etiketlenmiş.

Bu grubun dışında da dikkat edilmesi gereken Critical RCE’ler var: örneğin CVE-2026-72971 (Windows Device Health Attestation / Azure Attestation), koşullu erişim ve uç nokta güven sinyallerini etkileyebilecek kritik bir RCE. Ayrıca Windows DHCP Server, GDI+, SSTP, RRAS, AD CS, iSCSI Target ve Remote Desktop Client tarafında da Critical seviyesinde RCE’ler bulunuyor; bunların gerçek önceliği ilgili servisin sizde kurulu ve erişilebilir olup olmadığına bağlı. Kısacası yama önceliğini belirlerken sömürü ve açıklanma durumunun yanı sıra servis envanteriniz ve erişilebilirlik de belirleyici olmalı.

SharePoint Zinciri Tamamlanıyor

Ağustos, temmuzda başlayan iki parçalı bir SharePoint düzeltmesini de tamamlıyor. Rapid7 Labs, 18 Mayıs’ta Microsoft’a bir sömürü zinciri bildirdi. Bu zincir, bir kimlik doğrulama atlatma (authentication bypass) ile ayrı bir kod çalıştırma zafiyetini birleştirerek, şirket içi (on-premises) SharePoint sunuculara karşı kimlik doğrulamasız RCE elde ediyordu. Microsoft, iki gün sonra düzeltmeyi temmuz ve ağustos döngülerine bölerek yayınlayacağını doğruladı.

• Temmuz ilk yarıyı kapattı: CVE-2026-55040, 9.1 puanlı Critical kimlik doğrulama atlatma açığı. Rapid7’ye göre bu zafiyet, saldırganın taklit edeceği kimliği bilmesi koşuluyla, uzaktan ve kimlik doğrulamasız bir şekilde bir SharePoint site kullanıcısı veya yöneticisinin kimliğine bürünmesine izin veriyordu.
• Ağustos zincirin RCE bileşenini kapattı: CVE-2026-63520 (Microsoft SharePoint Server RCE, Important).

Buradaki ayrım önemli: CVE-2026-63520 tek başına kimlik doğrulamasız koşulu oluşturmuyor; o yalnızca zincirin kod çalıştırma yarısı. Kimlik doğrulamasız RCE’yi üreten şey, bu RCE’nin CVE-2026-55040 ile zincirlenmesiydi. Rapid7’ye göre CVE-2026-55040‘ın yaması gösterilen zinciri kırdı; yani temmuz düzeltmesi uygulandığında o yol zaten kapanmıştı, ağustos güncellemesi şimdi RCE bileşenini de kapatıyor.

Bu ay ayrıca çok sayıda ek SharePoint açığı da yamalandı (ayrıcalık yükseltme, RCE, spoofing ve tampering dahil; Örn. CVE-2026-70355, CVE-2026-70326, CVE-2026-70324, CVE-2026-70321, CVE-2026-64921). SharePoint saldırganlar için değerli bir hedef olmayı sürdürüyor; internete açık SharePoint sunucularını önce yamalamalı, erişim loglarını incelemeli ve yönetim arayüzlerini gereksiz yere dışarı açmamalısınız.

Geliştirici Araçları ve Office da Kapsamda

Geliştirici ortamları da etki alanında: Visual Studio Code (CVE-2026-70336 RCE, ayrıca çeşitli güvenlik özelliği atlatma açıkları) ve GitHub Copilot + VS Code (CVE-2026-70335 ayrıcalık yükseltme) yamaları var. Üretim bulut ortamlarına, kaynak kod depolarına veya dağıtım hatlarına (CI/CD) erişimi olan geliştirici uç noktaları, bir tedarik zinciri riskine dönüşebileceği için ihmal edilmemeli. PowerShell tarafında da bir RCE (CVE-2026-70337) ve bir güvenlik özelliği atlatma (CVE-2026-70338) kapatıldı.

Office cephesinde Outlook (CVE-2026-70329 RCE), Excel, Word, PowerPoint ve Office genelinde çok sayıda Important seviyeli açık büyük kısmı bilgi ifşası ve RCE yer alıyor. Critical rating taşımasa bile Office açıkları, kötü amaçlı ek veya paylaşılan doküman içeren kimlik avı kampanyalarında oldukça etkili olabilir.

Özet: Yama Önceliği Nasıl Olmalı

Bu ayın güncellemelerini uygularken önerilen sıralama şöyle:

1. CVE-2026-68820 (aktif sömürülen zero-day) – Bir saldırganın zaten kod çalıştırabildiği ve bu açık ile SYSTEM’e ulaşabileceği Windows sistemleri için en tepede olmalı.
2. Diğer iki zero-day – Kamuya açıklanmış CVE-2026-72971 (konteyner isolation) ve CVE-2026-62832 (User Profile Service) hemen ardından gelir.
3. Critical, kimlik doğrulamasız sunucu RCE’leri – Dışarıya açık DNS (CVE-2026-62878), WDS (CVE-2026-62893), QUIC (CVE-2026-62815) ve Device Health Attestation (CVE-2026-71331) başta olmak üzere. HPC Pack (CVE-2026-59124) Important olsa da açık servislerde değerlendirilmeli. Bu servislerin sizde kurulu ve erişilebilir olup olmadığını kontrol edin.
4. SharePoint – Şirket içi SharePoint çiftliklerinizde hem temmuzdaki kimlik doğrulama atlatma düzeltmesinin (CVE-2026-55040) hem de ağustostaki RCE düzeltmesinin (CVE-2026-63520) kurulu olduğunu doğrulayın; internete açık örnekleri önce yamalayın.
5. Geliştirici araçları, Azure ve Office – VS Code / Copilot, PowerShell, Azure servisleri ve Office dağıtımlarını takip eden aşamada ele alın.

Sayılar dikkat çekici olsa da, iyi bir yama yönetimi rakamları kovalamak değil; sömürü ve açıklanma durumunu erişilebilirlikle birlikte değerlendirip önceliği doğru belirlemekten geçiyor. Yamaları normal değişiklik yönetimi süreçlerinizden geçirin, ancak açık veya iş açısından kritik sistemlerde gereksiz gecikmelerden kaçının.

Ek: Ağustos 2026 Tam CVE Listesi

Aşağıdaki tablo, bu ayki sürümde yamalanmış açıkların tam listesini içerir (393 CVE: 42 Critical, 350 Important, 1 Moderate). Her CVE numarası, Microsoft’un ilgili güncelleme rehberi sayfasına bağlıdır. Bu liste referans amaçlıdır; öncelik sıralaması için yukarıdaki analiz bölümlerini esas alın.

Başka bir yazımızda görüşmek dileğiyle…