Merhaba

Microsoft, 13 Ekim 2026 tarihinde SQL Server 2022 ve SQL Server 2025 için yeni güvenlik güncellemelerini yayımladı. SQL Server 2022 tarafında GDR (General Distribution Release, Genel Dağıtım Sürümü) hattı için KB5128493 (KB: Knowledge Base, Bilgi Bankası), SQL Server 2025 tarafında ise hem GDR hattı için KB5128492 hem de CU (Cumulative Update, Toplu Güncelleştirme) hattı için KB5126967 yayında. Bu yazıda üç güncellemeyi yan yana koyuyor, kapattıkları açıkları, içerdikleri düzeltmeleri ve kurulum öncesinde dikkat etmemiz gereken bilinen sorunları inceliyoruz.

Kısaca durum şöyle: SQL Server 2022 paketi 21, SQL Server 2025 paketleri 22 CVE (Common Vulnerabilities and Exposures, Bilinen Güvenlik Açıkları ve Etkileri) kapatıyor. Bunların 8’i (SQL Server 2025’te 9’u) Remote Code Execution (Uzaktan Kod Yürütme) sınıfında. Üç pakette de MSDASQL kullanan linked server sorgularını etkileyen bir bilinen sorun var, SQL Server 2025 CU9 + GDR paketinde ise sys.dm_exec_requests ile ilgili ikinci bir bilinen sorun listeleniyor.

Güncellemelere Genel Bakış

Üç paket de Windows ve Linux üzerindeki tüm sürümler (all editions) için geçerli. Bazı düzeltmeler yalnızca Windows platformuna ait, bunu aşağıdaki bölümlerde ilgili yerlerde belirtiyoruz. Hangi paketin sizin için doğru olduğu sunucunun servis hattına (GDR veya CU) bağlı, bunu Hangi Paketi Kurmalıyız? bölümünde ele alıyoruz.

Ekim 2026 güncellemelerine genel bakış

Kapatılan Güvenlik Açıkları

SQL Server 2022 GDR paketi 21 güvenlik açığını kapatıyor. SQL Server 2025 tarafında hem GDR hem de CU9 + GDR paketi aynı 22 güvenlik açığını listeliyor. İki liste bir CVE hariç aynı: CVE-2026-94530 (Remote Code Execution) yalnızca SQL Server 2025 KB sayfalarında yer alıyor.

Güvenlik açığı türlerine göre dağılım şöyle:

CVE listesinin tamamı aşağıda. Ayrıntılar için her CVE numarasını MSRC (Microsoft Security Response Center, Microsoft Güvenlik Yanıt Merkezi) sayfasından inceleyebiliriz.

Ekim 2026 güncellemelerinde kapatılan CVE listesi

Öne Çıkan Düzeltmeler

Düzeltme tabloları üç alanda yoğunlaşıyor: Backup Restore (yedekleme ve geri yükleme), PolyBase ve Replication (çoğaltma).

Backup Restore tarafında VDI (Virtual Device Interface, Sanal Aygıt Arayüzü) ve SQL Writer yedekleme yollarında, hatalı boyut değerlerinin sınır dışı bellek erişimine yol açabildiği bir giriş doğrulama sorunu düzeltiliyor. VDI üzerinde sanal aygıt kümesi açılırken oluşabilen out-of-bounds write (sınır dışı yazma) ve veri aktarımı sırasında oluşabilen out-of-bounds read/write (sınır dışı okuma/yazma) açıkları da kapatılıyor. Yedekleme ve geri yükleme meta verisi işlemedeki bir tamsayı sorunu ise yerel ve kimliği doğrulanmış bir kullanıcının ayrıcalık yükseltmesine ve servisin yanıt vermemesine yol açabiliyordu. VDI, yedekleme yazılımlarının SQL Server ile konuştuğu arayüz olduğu için, bu paketleri üretime almadan önce yedekleme işlerini test ortamında denemek iyi bir pratik olur.

PolyBase tarafında veri işleme sırasındaki doğrulama iyileştirildi, external data sources (harici veri kaynakları) ile çalışırken SQL Server sürecinin beklenmedik biçimde sonlanmasına yol açan sorun giderildi ve rollback kuyruğu verisindeki güvensiz deserialization (seri durumdan çıkarma) düzeltilerek bozuk verilerin reddedilmesi sağlandı. Machine Learning Services (Makine Öğrenmesi Hizmetleri) ve Language Extensions (Dil Uzantıları) tarafından kullanılan SQL Satellite protokol mesajı ayrıştırma mantığındaki birden fazla memory-corruption (bellek bozulması) ve memory-disclosure (bellek ifşası) açığı da bu pakette kapatılıyor.

Replication tarafında Queued Updating Subscriptions, Log Reader Agent, change feed yapılandırması, Web Synchronization (WebSync) kullanan merge replication içindeki buffer overflow (tampon taşması) ve yetkilendirme kontrolleri gibi çok sayıda güvenlik ve güvenilirlik düzeltmesi var.

SQL Server 2025’e özgü iki düzeltme de öne çıkıyor: AI_GENERATE_EMBEDDINGS çalışma zamanı parametresi işlenirken oluşan geçersiz bellek okuma açığı (GDR ve CU9 + GDR) ve özel hazırlanmış bir .xel dosyası okunurken bilgi ifşasına veya hizmet reddine yol açan açıklar (yalnızca GDR sayfasında listeleniyor). Tablodaki – işareti, ilgili düzeltmenin o KB sayfasındaki listede ayrı bir satır olarak yer almadığını gösteriyor.

Düzeltmelerin bileşen bazında karşılaştırması

Bilinen Sorunlar

MSDASQL ile linked server sorgularında 7416 hatası (üç pakette de listeleniyor). MSDASQL (OLE DB Provider for ODBC Drivers, ODBC sürücüleri için OLE DB sağlayıcısı; OLE DB: Object Linking and Embedding Database, ODBC: Open Database Connectivity) sağlayıcısını kullanan ve provider string (@provstr) belirten linked server sorguları, Msg 7416, Level 16: Access to the remote server is denied because no login-mapping exists. hatasıyla başarısız olabiliyor. Microsoft’un açıklamasına göre Database Engine içindeki daha sıkı bağlantı doğrulaması, önceki build’lerde çalışan bazı linked server yapılandırmalarını reddedebiliyor. Etkilenip etkilenmediğimizi anlamak için kurulumdan önce MSDASQL kullanan linked server’ları listeleyebiliriz:

SELECT name, provider, provider_string
FROM sys.servers
WHERE is_linked = 1
  AND provider = 'MSDASQL';

Çözüm yolları için Microsoft’un Linked server queries that use MSDASQL fail with error 7416 makalesine bakıyoruz (bağlantısı kaynaklar bölümünde).

sys.dm_exec_requests sorgusunda access violation (yalnızca KB5126967 sayfasında listeleniyor). SQL Server 2025 CU9 + GDR paketinde, bir veritabanı henüz recovery (kurtarma) aşamasındayken sys.dm_exec_requests sorgulanırsa access violation oluşabiliyor ve dump dosyası üretiliyor. Sorun veritabanı RESTORE işlemi sırasında, başlangıç recovery’sinde veya bir availability group replica’sı çevrimiçi olmayı tamamlamadan önce ortaya çıkabiliyor. SQL Server error log’unda EXCEPTION_ACCESS_VIOLATION (c0000005) kaydını görüyoruz. Microsoft sorunun farkında ve bir düzeltme üzerinde çalışıyor. O zamana kadar üç seçenek öneriyor:

• Trace flag (izleme bayrağı) 4696 etkinleştirilerek soruna yol açan kod değişikliğinden vazgeçilebilir. Bu bayrak açıkken, secondary replica üzerinde sys.dm_exec_requests veya sys.sysprocesses sorgulayan izleme sorguları, güncelleme öncesinde olduğu gibi 976 veya 978 hatası verebilir.
• Kurtarma aşamasındaki veritabanları için sys.dm_exec_requests sorgularından kaçınılabilir.
• Güncelleme kaldırılabilir.

Trace flag’i çalışan örnekte genel (global) olarak açmak için aşağıdaki komutu kullanıyoruz, kalıcı olması için başlangıç parametresine -T4696 ekliyoruz:

DBCC TRACEON (4696, -1);

Hangi Paketi Kurmalıyız?

Sunucunun hangi servis hattında olduğuna göre paketi seçiyoruz. GDR hattı yalnızca güvenlik düzeltmelerini alan hattır, CU hattı ise toplu güncelleştirmeleri de içerir. Her KB sayfası kendi ön koşulunu belirtiyor:

• KB5128493 (SQL Server 2022 GDR): SQL Server 2022 veya herhangi bir SQL Server 2022 GDR sürümü kurulu olmalı.
• KB5128492 (SQL Server 2025 GDR): SQL Server 2025 veya herhangi bir SQL Server 2025 GDR sürümü kurulu olmalı.
• KB5126967 (SQL Server 2025 CU9 + GDR): SQL Server 2025 veya CU9 GDR dahil herhangi bir SQL Server 2025 CU sürümü kurulu olmalı.

Mevcut build’i şu sorgularla kontrol edebiliriz:

SELECT @@VERSION;

SELECT SERVERPROPERTY('ProductVersion') AS ProductVersion,
       SERVERPROPERTY('ProductLevel') AS ProductLevel,
       SERVERPROPERTY('ProductUpdateLevel') AS ProductUpdateLevel;

Kurulum Yöntemleri

Üç paket de aynı yöntemlerle edinilebiliyor: Windows Update (Windows Güncelleştirme), Microsoft Update Catalog (Microsoft Update Kataloğu) üzerinden bağımsız paket ve Microsoft Download Center (Microsoft İndirme Merkezi). Microsoft Update Catalog’daki paket, SQL Server çalıştıran tüm sunucular için sunuluyor. SQL Server 2022 paketinin sayfasında Reporting Services barındırmayan sunucular için, SQL Server 2025 paketlerinin sayfalarında ise Power BI Report Server barındırmayan sunucular için bu güncellemenin isteğe bağlı olduğu belirtiliyor. SQL Server 2025’i Linux üzerinde en son CU’ya güncellemek için önce Cumulative Update deposunu (repository) yapılandırmamız gerekiyor.

Microsoft ayrıca Windows üzerindeki SQL Server örneklerinde Extended Protection (Genişletilmiş Koruma) ile şifrelemenin etkinleştirilmesini öneriyor. Paketleri indirdikten sonra dosya bütünlüğünü SHA256 değeriyle doğrulayabiliriz:

Get-FileHash .\SQLServer2025-KB5128492-x64.exe -Algorithm SHA256

Paket dosyaları ve SHA256 değerleri

Kurulum Öncesi Kontrol Listesi

• Tam yedek alıyor ve en az bir geri yükleme testi yapıyoruz.
• SELECT @@VERSION çıktısıyla mevcut build’i kayda alıyoruz.
• MSDASQL kullanan linked server’ları listeliyor ve test ortamında sorgularını deniyoruz.
• VDI üzerinden çalışan yedekleme yazılımlarının yedek ve geri yükleme işlerini test ortamında doğruluyoruz.
• SQL Server 2025 CU9 + GDR için monitoring araçlarının sys.dm_exec_requests kullanımını gözden geçiriyor, gerekiyorsa trace flag 4696 planını hazırlıyoruz.
• Availability group ve replication kullanan ortamlarda önce test ortamında, ardından secondary replica’lardan başlayarak üretimde uyguluyoruz (bu bir uygulama önerisidir, KB sayfalarının talimatı değildir).
• Dosya bütünlüğünü Get-FileHash ile doğruluyoruz.

Sonuç

Ekim 2026 paketleri, yedekleme arayüzü (VDI), PolyBase, Machine Learning Services ve replication gibi geniş bir yüzeyde 21 ila 22 güvenlik açığını kapatıyor ve bunların önemli bir kısmı Remote Code Execution sınıfında. Bu nedenle yama penceresini ertelemeden planlamak mantıklı. Öte yandan MSDASQL linked server değişikliği üç pakette de var, SQL Server 2025 CU9 + GDR paketinde ise sys.dm_exec_requests sorunu ayrıca listeleniyor. Kısacası: önce envanter, sonra test, ardından üretim.

Kaynaklar

• KB5128493 – SQL Server 2022 GDR: 13 Ekim 2026
• KB5128492 – SQL Server 2025 GDR: 13 Ekim 2026
• KB5126967 – SQL Server 2025 CU9 + GDR: 13 Ekim 2026
• SQL Server 2022 build versions
• SQL Server 2025 build versions
• Latest updates and version history for SQL Server
• Linked server queries that use MSDASQL fail with error 7416
• Enable encryption with Extended Protection