Microsoft'un Kasım Patch Tuesday güncellemesi, istismar edilen Outlook açığı dahil 1.094 hatayı düzeltiyor

Microsoft'un Kasım Patch Tuesday sürümü, aralarında saldırganların zaten istismar ettiği bir Outlook kimlik taklidi açığının da olduğu 1.094 hatayı düzeltiyor. Güncelleme ayrıca iki sıfır tıklamalı kritik açık ile kritik bir Xbox Live Networking Service açığını kapsıyor.

İstismar edilen Outlook açığı

Outlook sorunu CVE-2026-124194, 6.5 CVSS puanına sahip. Dustin Childs, kimlik taklidi etiketinin açığın etkisini küçük gösterdiği uyarısında bulundu. Saldırgan özel hazırlanmış bir ileti dosyası gönderip kullanıcıyı açmaya ikna ediyor; Outlook her zamanki harici içerik uyarısını göstermeden saldırganın denetimindeki ağ konumuna bağlanıyor ve kullanıcının NTLMv2 hash değerini açığa çıkarıyor. Saldırgan bu hash ile kullanıcı olarak kimlik doğrulayabilir. Microsoft açığı istismar edildi diye işaretledi, ama saldırıların ne zaman başladığını, kimin yürüttüğünü ve sonrasında ne yapıldığını açıklamadı. Childs'a göre düzeltme kamuya açıldığı için başkaları da savunmasız sürümleri tarayabilir ve yamayı tersine mühendislikle inceleyebilir; yöneticiler bu açığa öncelik vermeli ve gelen kutularını şüpheli dosyalara karşı izlemeli.

Sıfır tıklamalı tehditler

CVE-2026-116928 ve CVE-2026-119958 olmak üzere iki kritik açık, her biri 9.8 CVSS puanına sahip ve kullanıcı etkileşimi gerektirmiyor. CVE-2026-116928, Microsoft Windows Search Component içinde uzaktan kod çalıştırmaya yol açabilecek bir sınır dışı yazma hatası. Kimliği doğrulanmamış saldırgan, özel hazırlanmış ekli e-posta göndererek Exchange'deki arama özelliğini kötüye kullanabilir; Exchange eki dizinleme için otomatik işlediğinden alıcının eki açması gerekmiyor. Başarılı istismar, saldırganın etkilenen hizmetin izinleriyle kod çalıştırmasına olanak tanıyabilir. CVE-2026-119958 ise Windows'un LDAP uygulamasındaki bir sınır dışı yazma hatası; savunmasız sistemlere özel hazırlanmış LDAP istekleriyle, kullanıcı etkileşimi olmadan kimliği doğrulanmamış saldırganlar uzaktan kod çalıştırabilir ve etki alanı denetleyicilerini ele geçirebilir. Childs ayrıca ağ üzerinden kimlik doğrulama ve kullanıcı etkileşimi gerektirmeyen, solucan gibi yayılan 30 CVE saydı.

Ardışık CVE hacmi

Ekim ayında 1.474 CVE kaydedildi; bu, 1.000'i aşan ikinci ardışık ay oldu. CVE-2026-124194 aktif olarak istismar edilen tek açık; 1.094 açığın hiçbiri kamuya açık bilinenler arasında yer almıyor. Childs bunun yersiz güven yaratmaması gerektiğini söyledi. Ona göre iki ay üst üste 1.000'in üzerinde CVE kaydedilmesi, otomatik hata avcılığının yama hacmini kalıcı olarak değiştirdiğini kanıtlıyor; yapay zekâ yama karşılaştırmasını ve exploit üretimini anlık hale getirdiğinden tehdit penceresi güncellemeler yayımlandığı anda açılıyor. Savunmacılar geniş triajdan vazgeçip hemen harekete geçmeli: önce Exchange ile etki alanı denetleyicilerini yamalamalı, DNS ve DHCP gibi açık hizmetleri yalıtmalı ve bulut hizmetlerindeki elle yapılan düzeltmeleri doğrulamalı.

Xbox hizmeti açığı

Windows Xbox Live Networking Service'teki kritik açık CVE-2026-112967 de uzaktan kod çalıştırmaya yol açabilir. Bu, kimlik doğrulama ya da kullanıcı etkileşimi gerektirmeyen, 9.8 CVSS puanlı bir yığın taşması açığı. Yöneticiler hizmeti çalıştıran savunmasız Windows sistemlerini yama planına almalı.

Kaynaklar: The Register