Microsoft, rekor düzeyde Ekim güncellemesinde 1400'den fazla zafiyeti düzeltti

Microsoft bugün, Windows işletim sistemlerinde ve diğer programlarda 1400'den fazla güvenlik zafiyetini düzelten güncellemeler yayınladı. Bu parti, daha önce kurulan bir aylık rekorunu büyük ölçüde aşıyor.

Rekor düzeyde güncellemeler

Eylül güncellemesi neredeyse 1000 düzeltme ile zaten bir rekor belirlemişti ki bu Microsoft'ın normal aylık güncellemelerine yaklaşık on katıydı. Yeni parti bu göstergenin çok üzerinde. Bu ay düzeltilen açıklardan en az 78'i kritik olarak değerlendirildi, bu da istismarın kullanıcının minimum veya hiçbir eylemi olmadan gerçekleşebileceği anlamına geliyor. Bu kritik açıkların çoğu, saldırganın savunmasız sistemde kendi seçtiği kodu çalıştırmasına olanak tanıyor.

Tenable'dan Satnam Narang, bu ay düzeltilen açıkların sayısının 2020'deki önceki rekorun çok üzerinde olduğunu, o dönemde Microsoft'ın 1261 CVE düzelttiğini açıkladı. 'Artık 4000 CVE sınırını aştık ve iki ayımız daha var,' dedi. Microsoft, bu kadar yüksek bir açık tespitini large language models'e bağlıyor ve muhtemelen bu açıkları düzelten güncellemelerin büyük bir kısmı AI'ya borçlu.

Bir zero day ve açıkça ifşa edilen bir bypass

Bu hafta düzeltilen zafiyetlerden yalnızca biri zero day olarak kabul ediliyor, yani gerçek dünyada zaten aktif olarak kullanılıyor. CVE-2026-96951, Windows Shell'de bir güvenlik fonksiyonu bypass'ını temsil ediyor ve Windows 10, 11 ile bazı Server sürümlerini etkiliyor.

Microsoft'ın iddiasına göre henüz istismar belirtileri bulunmasa da, .NET Framework'teki güvenlik fonksiyonu bypass'ı olan CVE-2026-108398, günümüze kadar zaten açıkça ifşa edilmişti ki bu potansiyel saldırganlara bu açığı nasıl kullanacaklarını önceden anlama fırsatı veriyor.

Windows 10 desteği tekrar uzatıldı

Windows 10 kullanıcıları, bu ayın ardından güvenlik güncellemelerini bekleyip beklemeyeceklerini merak ediyor. Microsoft'ın Ekim 2025'te Windows 10 sistemleri için güncelleme yayınlamayı durdurması gerekiyordu, ancak önemli muhalefetin ardından bir yıl ücretsiz güncelleme daha ekledi. Birkaç ay önce Microsoft bu desteği sessizce bir yıl daha, Ekim 2027'ye kadar uzatmıştı.

Kurumsal güvenlik ekiplerine yük

Güvenlik uzmanları, Microsoft'tan gelen bu olağanüstü büyük güncelleme akışının kurumsal güvenlik ekiplerine ek yük bindirdiğinden endişe ediyor; bu ekipler sıklıkla ağda dağıtımdan önce tek tek güncellemeleri test etmek zorunda kalıyor ki düzeltmelerin diğer programlara sorun çıkarmadığından emin olsunlar.

Fortra'da güvenlik araştırma ve geliştirme direktör yardımcısı Tyler Reguly, yılın başından bugüne kadar ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın tuttuğu bilinen istismar edilmiş zafiyetler kataloğunda Microsoft'a ait yalnızca 26 zafiyet girdiğini belirtiyor. Güvenlik ekipleri, öncelikle tam olarak bu 26 zafiyetin düzeltilmesine öncelik verirlerse iyi yapacaklar. 'Güvenlik liderleri istismar riskine odaklanmalı ve ekiplerinin netlik, yetenek ve desteğe sahip olup olmadığını sormalı,' dedi Reguly.

Kaynaklar: Krebs on Security · Techmeme