Microsoft Ekim 2026 güvenlik yamalarıyla 1 407 açığı kapattı

black and red signage near body of water at daytime — Fleur / Unsplash

Microsoft, 13 Ekim 2026 tarihli aylık güvenlik güncellemeleriyle toplam 1 407 güvenlik açığını giderdi. Bu sayı, Eylül 2026'da kapatılan 973 açığın üzerine çıkarak şirketin bugüne kadarki en yüksek aylık yama sayısını oluşturdu. Güncellemeler, Windows, Windows Server ve Exchange Server dahil olmak üzere çeşitli ürünlerdeki zafiyetleri ele aldı.

Yayınlanan yamaların büyük çoğunluğu Windows işletim sistemine aittir. Toplam 1 115 açık Windows'u etkilerken, Microsoft Office 138, SharePoint Server 36, SQL Server 22 ve Exchange Server 6 açıkla listelenmiştir. Açıkların 672'si yetki yükseltmesine, 314'ü ise uzaktan kod çalıştırılmasına izin verebilir niteliktedir. Bu zafiyetler arasında 69'u kritik olarak sınıflandırılmıştır. Microsoft, bu yüksek hacmin, ürünlerdeki zafiyetleri tespit etmek için yapay zeka kullanımının artmasıyla bağlantılı olduğunu belirtmektedir.

Bu ayki güncellemeler, üç sıfır gün açığının kapatılmasını da içermektedir. Bu açıklardan biri, yama yayınlanmadan önce aktif olarak istismar edilmektedir. Diğer iki sıfır gün açığı ise düzeltme yayına alınmadan önce kamuoyuna açıklanmıştır. Bu durum, güvenlik ekiplerinin acil müdahale gereksinimini artırmaktadır.

Aktif olarak istismar edilen CVE-2026-96951 açığı, Windows Shell bileşenindeki bir komut enjeksiyonu zafiyetidir. Bu açık, İnternet'ten indirilen dosyalara eklenen Mark of the Web korumasını atlatmaya olanak tanır. Microsoft, saldırganların e-posta veya anlık mesajlaşma yoluyla özel olarak hazırlanmış dosyalar göndererek bu açığı kullanabileceğini, ancak kullanıcının dosyayı açması veya bağlantıya tıklaması gerektiğini belirtmektedir. Bu zafiyet, Windows 10, Windows 11'in 23H2 ile 26H2 sürümleri ve Windows Server 2012 R2'den 2025'e kadar olan sürümleri etkilemektedir.

İkinci sıfır gün açığı olan CVE-2026-108398.NET Framework'de yer almaktadır. Bu zafiyet, Windows Defender Application Control korumasını atlatmaya izin verir. Saldırganın bu açığı kullanabilmesi için sistemde zaten yerel erişim yetkisine sahip olması gerekmektedir. Üçüncü sıfır gün açığı olan CVE-2026-92707 ise MessagePack-CSharp kütüphanesindeki bir hizmet kesintisi zafiyetidir. Bu açık, uzaktan ve kimlik doğrulama gerektirmeden istismar edilebilir, ancak diğerlerine kıyasla daha düşük bir risk taşımaktadır.

Ekim 2026 yamaları, bazı Windows ve Windows Server sürümleri için son güvenlik güncellemeleri niteliğindedir. Microsoft, bilgi işlem ekiplerinin yama önceliklerini belirlemelerine yardımcı olmak amacıyla yeni bir risk kohortları yöntemi denemektedir. Bu yöntem, çevreye özgü kriterlere göre açık numaralarını gruplayarak dağıtım süreçlerini optimize etmeyi hedeflemektedir.