Microsoft Kasım'da 1.094 açık kapattı, Outlook açığı saldırılarda kullanılıyor

Microsoft, her ayın ikinci salısı yayımladığı güvenlik güncellemelerinin Kasım paketini 10 Kasım’da yayımladı. Microsoft’un güncelleme kılavuzunda bu tarihte yayımlanan 1.094 açık var. Bunların 63’ü kritik (Critical), 1.029’u önemli (Important), 2’si orta (Moderate) önemde. Microsoft’a göre bu açıklardan yalnızca biri, Outlook’taki CVE-2026-124194, saldırılarda kullanılıyor. Pakette ayrıntıları yama çıkmadan önce kamuya açıklanmış bir açık yok.

Saldırılarda kullanılan Outlook açığı

CVE-2026-124194, Microsoft’un “Microsoft Outlook Spoofing Vulnerability” başlığıyla yayımladığı bir kimlik sahteciliği (spoofing) açığı. Microsoft’a göre Outlook, güvenli olmayabilecek bir işlemden önce kullanıcıyı uyarmıyor. Kimliği doğrulanmamış bir saldırgan özel hazırlanmış bir ileti dosyası gönderip kullanıcıyı bu dosyayı Outlook’un etkilenen bir sürümünde açmaya ikna edebiliyor. Dosya açıldığında Outlook, her zamanki dış içerik uyarısını göstermeden saldırganın denetimindeki bir ağ konumuna bağlanabiliyor.

Microsoft’a göre bu bağlantı, kullanıcının NTLMv2 hash değerini saldırgana sızdırıyor ve saldırgan bu değeri kullanıcı olarak kimlik doğrulamak için kullanabiliyor. Önizleme bölmesi (Preview Pane) bir saldırı yolu değil, istismar için kullanıcının dosyayı açması gerekiyor. Açığın CVSS 3.1 puanı 6.5 ve Microsoft açığı orta önemde olarak sınıflandırıyor.

Microsoft saldırıların kime yönelik olduğunu ve nasıl yapıldığını açıklamadı. Güncelleme kılavuzundaki teşekkür bölümünde açığı bulanlar olarak Benoît Sevens ve nono takma adlı bir araştırmacı yer alıyor. Sevens için yazılan teşekkürde Anthropic’in Claude modelinin kullanıldığı belirtiliyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), açığı 10 Kasım’da saldırılarda kullanılan açıklar listesine (KEV) ekledi ve ABD federal kurumlarına açığı kapatmaları için 24 Kasım’a kadar süre verdi.

Etkilenen ürünler

Microsoft’a göre açık şu ürünleri etkiliyor:

• Microsoft Office LTSC 2021 (32 ve 64 bit)
• Microsoft Office LTSC 2024 (32 ve 64 bit)
• Microsoft 365 Apps for Enterprise (32 ve 64 bit)

Microsoft bu ürünler için güvenlik güncellemelerini yayımladı ve açık için müşterilerin işlem yapması gerektiğini belirtiyor.

Paketteki diğer açıklar

Microsoft’un güncelleme kılavuzuna göre paketteki açıkların 535’i yetki yükseltme, 296’sı uzaktan kod çalıştırma, 156’sı bilgi ifşası, 46’sı hizmet dışı bırakma, 27’si güvenlik özelliği atlatma, 22’si kimlik sahteciliği ve 11’i kurcalama (tampering) açığı. Bir açığın türü kılavuzda belirtilmiyor.

Kritik açıklar arasında en yüksek puanlı olanlar CVSS 9.8 puanlı şu dört açık:

• CVE-2026-119958: Windows LDAP’ta uzaktan kod çalıştırma açığı.
• CVE-2026-116928: Windows Search’te uzaktan kod çalıştırma açığı.
• CVE-2026-112967: Windows Xbox Live Networking Service’te uzaktan kod çalıştırma açığı.
• CVE-2026-119990: Azure OpenAI’da yetki yükseltme açığı.

Exchange Server’daki CVE-2026-118207, Active Directory Domain Services’teki CVE-2026-118146 ve Outlook’taki CVE-2026-110043, CVE-2026-110068 ve CVE-2026-111309 de 8.8 puanlı ve kritik olarak sınıflandırılan uzaktan kod çalıştırma açıkları. Microsoft’a göre bu açıkların hiçbiri saldırılarda kullanılmıyor.

SecurityWeek’e göre Windows 726, Office 174 açıkla paketin en büyük payını alıyor. SecurityWeek’in aktardığına göre Kasım güncellemeleri, Windows 11 23H2’nin Enterprise ve Education sürümleri için yayımlanan son aylık güvenlik güncellemeleri. Microsoft Ekim’de rekor sayıda açık kapatmıştı.

Önerilen önlemler

Windows güncellemelerini otomatik almaya ayarlı bilgisayarlar bu yamaları alacak, ancak güncellemenin devreye girmesi için bilgisayarın yeniden başlatılması gerekiyor. Outlook açığı saldırılarda kullanıldığı için kurumsal ortamlarda Office ve Microsoft 365 Apps güncellemelerine öncelik verilmesi, ardından internete açık sunucuları ve etki alanı denetleyicilerini etkileyen kritik açıkların kapatılması yerinde olur.