Merhaba

Yıllardır Patch Tuesday (Yama Salısı) yazıları takip ederim, ama Temmuz 2026 kayıtlara farklı bir şekilde geçecek. Zero Day Initiative’in (ZDI) bu ayki değerlendirmesi tek kelimeyle “rekor” diyor ve abartı değil. Microsoft bu ay tek seferde 621 CVE yayımladı. Rakamı doğru duydunuz. Son 20 yılın Microsoft sürümlerine bakıldığında, yıl başından bu yana biriken CVE sayısı diğer tüm yılların toplamını geçmiş durumda.

Bu yazıda hem Adobe hem Microsoft tarafını özetleyecek, ardından öncelik vermeniz gereken kritik açıklara odaklanacağım.

Adobe Tarafı: Artık İki Haftada Bir

Adobe bu ay itibarıyla bimonthly (iki haftada bir) yayın modeline geçti; yani yamalar ayın ikinci ve dördüncü Salı günlerinde çıkacak. Apple da benzer bir yaklaşımı benimseyeceğini açıkladı. Devasa sürümleri daha yönetilebilir parçalara bölmek açısından mantıklı bir hamle.

İlk sürümde Adobe 12 bülten ile 88 benzersiz CVE yayımladı. Etkilenen ürünler arasında ColdFusion, Commerce (Magento), After Effects, Animate, Audition, Bridge, Creative Cloud Desktop Application, Experience Manager, Illustrator, Media Encoder, Premiere Pro ve Content Credentials SDK var.

Ayın Genel Bakış Tablosu:

Burada dikkat çeken nokta şu: Aktif olarak sömürülen (exploited) bir açık yok; ancak önceliklendirmeniz gerekirse ColdFusion ve Commerce yamalarını en başa alın. Geri kalanı normal patch cadence (yama döngüsü) ile ilerletebilirsiniz. Bu ürünleri kullanıyorsanız, yamayın, gerisi düz.

Microsoft Tarafı: “The Mother of All Releases”

Şimdi asıl mesele. Bu ay Microsoft’un yayımladığı 621 CVE‘nin bir kısmı, kullanıcı müdahalesi gerektirmeyen online servislerde. Ayrıca Chromium ve Chromium tabanlı Microsoft Edge’de listelenen ~480 hata da var ki ZDI bunları ayrı tutuyor. ZDI, son 20 yılın Microsoft sürümlerine baktığında yıl başından bu yana biriken CVE sayısının diğer tüm yılların toplamını geçtiğini gösteriyor.

Kaynak: Zero Day Initiative.

Ürün yelpazesi de bir o kadar dikkat çekici: Windows ve Windows bileşenleri, Office ve Office bileşenleri, Azure, .NET ve Visual Studio, GitHub Copilot, Defender, Exchange Server, Hyper-V… hatta Age of Empires II ve Minecraft Server bile listede (gerçekten!).

Severity (önem derecesi) dağılımı: 63 Critical, 6 Moderate, 1 Low, geri kalanı Important. Bu açıklardan sekizi ZDI programı üzerinden bildirilmiş. İki CVE aktif olarak sömürülüyor, biri de publicly known (kamuya açık) durumda.

Bu fili nasıl yiyeceğiz? Tek lokmada değil elbette. En önemli açıklara tek tek bakalım.

Aktif Sömürülen Açıklar (En Acil Olanlar)

CVE-2026-56155 – Active Directory Federation Services (AD FS) Elevation of Privilege Bu ay yamalanan birkaç AD FS açığından biri, ama aktif sömürülen tek AD FS açığı. Yetersiz access-control (erişim denetimi) granülaritesinden kaynaklanıyor; başlamak için local access (yerel erişim) ve düşük ayrıcalık gerektiriyor. Ancak AD FS tam da saldırganların bir kez içeri girdikten sonra pivot yapmayı sevdiği kimlik altyapısıdır. Ransomware senaryolarında sıkça gördüğümüz gibi bir RCE ile eşleştirilebilir. Bu yamayı hızlıca test edip dağıtın.

CVE-2026-56164 – Microsoft SharePoint Server Elevation of Privilege Bu ay sömürülen ikinci açık. CVSS puanı mütevazı görünüyor (5.3), ama Moderate önem derecesindeki açıkların neden önemli olabileceğinin güzel bir örneği. Missing-authentication (kimlik doğrulama eksikliği) açığı; yani unauthenticated (kimliği doğrulanmamış) bir saldırgan, kullanıcı etkileşimi olmadan ağ üzerinden erişebiliyor. Bu kadar erişilebilir bir şey aktif olarak kötüye kullanılıyorsa, puana bakmadan hemen yamayın.

Aktif Sömürülmese de Kritik Olanlar

CVE-2026-57092 – Windows VMSwitch Elevation of Privilege Ayın en yüksek CVSS puanı burada: sağlam bir 9.9. Bir use-after-free açığı; düşük ayrıcalıklı bir saldırganın VM sınırını aşarak host’u tamamen ele geçirmesine olanak tanıyor. Pwn2Own Berlin’de ESXi üzerinde benzeri gösterilmişti, ama görünen o ki tek örnek değilmiş. Hyper-V ortamlarınızda VMSwitch kullanıyorsanız (ki büyük ihtimalle kullanıyorsunuz), hızlıca test edip dağıtın.

CVE-2026-50522 / CVE-2026-58644 – SharePoint Remote Code Execution Birbirinin eşi bu iki CVSS 9.8 açığı, deserialization-of-untrusted-data (güvenilmeyen verinin seri durumdan çıkarılması) kaynaklı ve kimlik doğrulama ya da kullanıcı etkileşimi olmadan erişilebilir. CVE-2026-50522, Pwn2Own Berlin’de gösterilmişti; dolayısıyla Microsoft’un bunu “Exploit Maturity Unknown” olarak listelemesi ilginç, çünkü çalışan exploit’i kendilerine biz teslim etmiştik. Kendi risk değerlendirmenizi yapın, %100 vendor’a güvenmeyin. İnternete açık SharePoint sunucularınız varsa bu yamayı hızlıca uygulayın.

CVE-2026-56190 – Remote Desktop Protocol (RDP) Remote Code Execution Unauthenticated, ağ üzerinden erişilebilir ve kullanıcı etkileşimi gerektirmeyen bir açık. Kök nedeni klasik: use of uninitialized resource (başlatılmamış kaynak kullanımı, CWE-908). Özel hazırlanmış RDP trafiği, hiç düzgün başlatılmamış belleğe dokunarak kod yürütmeyi yönlendirebilir. RDP sunucuları yaygın bir hedef; sistemlerinizi tarayıp hangilerinin internete açık olduğunu tespit ederek başlayın.

CVE-2026-55008 – Microsoft Exchange Server Spoofing Başlığa aldanmayın, bunu olduğu gibi bir XSS açığı gibi ele alın. CVSS 9.6 olarak listeleniyor çünkü Outlook Web Access (OWA) üzerinde stored cross-site scripting (depolanmış XSS) açığı ve scope-changed (kapsam değişikliği) etkisiyle web uygulaması bağlamının tamamen dışına çıkabiliyor. Saldırgan özel hazırlanmış bir e-posta gönderiyor; kurban bunu OWA’da açtığı anda tarayıcı oturumunda keyfi JavaScript çalışıyor. Ek yok, makro uyarısı yok, sadece mesajı görüntülemek yeterli. OWA kullanıyorsanız bunu hızlıca test edip dağıtın.

CVE-2026-50518 – Windows DHCP Server Remote Code Execution Bu sürümde birkaç DHCP RCE yaması var; diğerinde bazı koşullar (caveat) varken bunda yok. İkisi de CVSS 9.8 puanlı heap-based buffer overflow (yığın tabanlı arabellek taşması), ikisi de unauthenticated ve ağdan erişilebilir. DHCP Server rolünü internete komşu herhangi bir şeyde çalıştırıyorsanız (çalıştırmıyorsunuz, değil mi?), bunlar listenin en üstüne çıksın.

CVE-2026-56188 – Windows Server Network Driver Remote Code Execution Bir başka Critical açık, bu sefer bir race condition (yarış durumu) kaynaklı. Bir TOCTOU açığının bu kadar yüksek puanlanmasını görmek her zaman ilginçtir, çünkü race condition’ları güvenilir biçimde sömürmek meşhur derecede zordur. Sömürülmesi zor olabilir; ancak bu açık, kullanıcı etkileşimi olmadan ağ üzerinden ayrıcalıklı kod yürütmeye izin verebilir. “Race condition zor” diye rahatlayıp wormable (solucanlaşabilir) bir açığı gözden kaçırmayın.

CVE-2026-55010 – Minecraft Bedrock Dedicated Server Remote Code Execution Bunu “neden olmasın” kategorisine koyalım. Minecraft Bedrock Dedicated Server üzerinde bir heap-based buffer overflow; yine CVSS 9.8 ve yine unauthenticated RCE. Evet, çocuğunuzun Minecraft sunucusu (o sunucu çocuğunuzun, değil mi?), DHCP altyapınızla aynı sınıf açığa maruz. Yine de yamayın.

Temmuz 2026 Microsoft CVE Listesi (Tam)

Aşağıda Microsoft’un bu ay yayımladığı tüm CVE’ler yer alıyor (Chromium tabanlı Edge dahil). Public = kamuya açık biçimde bilinip bilinmediği, Sömürülüyor = aktif olarak istismar edilip edilmediği. Tür kısaltmaları: RCE (uzaktan kod yürütme), EoP (ayrıcalık yükseltme), Info (bilgi ifşası), DoS (hizmet reddi), SFB (güvenlik özelliği atlatma), Spoofing (kimlik sahteciliği), Tampering (kurcalama).

Genel Görünüm

Bu ay birkaç önemli çıkarım var:

Kimlik altyapısı ateş hattında. AD FS, SharePoint ve Exchange’deki açıklar, saldırganların kurumsal ortamda pivot yapmak için sevdiği tam olarak bu servisleri hedefliyor. AD FS açığı zaten aktif sömürülüyor.

Düşük CVSS ≠ düşük risk. CVE-2026-56164 (CVSS 5.3) aktif sömürülürken, bu ayın CVSS 9.9’luk VMSwitch açığı henüz sömürülmüyor. Erişilebilirlik ve aktif sömürü durumu, çıplak puandan çok daha belirleyici.

Vendor’un exploit maturity değerlendirmesine körü körüne güvenmeyin. Pwn2Own’da çalışan exploit’i gösterilmiş bir açığın “Exploit Maturity Unknown” olarak işaretlenmesi, kendi risk değerlendirmenizi yapmanız gerektiğinin net bir hatırlatıcısı.

İnternete açık yüzeyle başlayın. RDP, DHCP Server, SharePoint, OWA… Önceliklendirmede ilk soru şu olmalı: bunlardan hangisi internete bakıyor?

Özetle: bu ay yamalanacak çok şey var. Kimlik servisleri, internete açık RCE’ler ve aktif sömürülen açıklarla başlayın; gerisini normal döngünüzle ilerletin.

Başka bir yazımızda görüşmek dileğiyle…

Kaynak: Zero Day Initiative – The July 2026 Security Update Review (Dustin Childs, 14 Temmuz 2026). Detaylı CVE listesi ve MSRC bağlantıları için ZDI blog yazısına başvurabilirsiniz.