Microsoft Ekim 2026 Patch Tuesday: 1.400'ü Aşan Açıkla Rekor, Mark of the Web Atlatan Zero-Day ve Yama Önceliği

Rakamlarla Ekim 2026 paketi (October 2026 Patch Tuesday)

Eylül ayında 970'in üzerinde açıkla rekor kıran Microsoft, Ekim'de bu sayıyı yaklaşık yüzde 45 artırdı. SecurityWeek'in aktardığına göre bu ay kapatılan açık sayısı, 2025 yılının tamamında kapatılandan fazla. 2026'nın toplamı 4.000'i geçti.

Kaynak: BleepingComputer sınıflandırması. Kritik olarak işaretlenen 70 açık var: 57'si uzaktan kod çalıştırma, 11'i yetki yükseltme, 2'si kimlik sahteciliği. Ürün bazında SecurityWeek'in dökümü şöyle: 1.102 Windows, 134 Office, 61 geliştirici araçları, 36 SharePoint Server. Exchange Server, Azure ve Defender da güncelleme aldı.

Aktif saldırı altındaki açık: CVE-2026-96951 (Windows Shell)

Mark of the Web, internetten indirilen dosyaya Windows'un eklediği "bu dosya dışarıdan geldi" işaretidir. Office'in korumalı görünümü, SmartScreen uyarısı ve makro engeli bu işarete bakar. CVE-2026-96951, özel hazırlanmış bir dosyanın bu işareti atlatmasına izin veriyor. Yani kullanıcı, normalde uyarı görmesi gereken bir dosyayı uyarısız açabiliyor.

• CVSS: 8.8
• Saldırı yolu: Microsoft'un tavsiyesine göre saldırganın kullanıcıyı bir işlem yapmaya ikna etmesi gerekiyor. Örnek: e-posta veya anlık mesajla özel hazırlanmış dosya göndermek.
• Bildirenler: Fujitsu ve Anthropic araştırmacıları ile bağımsız bir araştırmacı.
• CISA KEV: 13 Ekim'de kataloğa eklendi, federal kurumlar için son tarih 16 Ekim.

Microsoft saldırıların nasıl yapıldığına dair ayrıntı paylaşmadı. Bu tür MotW atlatma açıkları genellikle oltalama kampanyalarında, zararlı yazılımın ilk aşamasını uyarısız çalıştırmak için kullanılıyor. Bu yüzden muhasebe, satış ve müşteri hizmetleri gibi dışarıdan sürekli dosya alan bilgisayarlar önce güncellenmeli.

Önceden açıklanan iki açık (Publicly disclosed)

CVE-2026-108398 — .NET Framework, WDAC atlatma

Güvenilmeyen arama yolu (untrusted search path) hatası, yerel bir saldırganın Windows Defender Application Control (WDAC) politikasını atlatıp korumalı bir süreçte izinsiz kod çalıştırmasına imkân veriyor. Kullanıcı etkileşimi gerekmiyor. Açığı Google Project Zero'dan James Forshaw buldu. Microsoft "önemli" seviyesinde derecelendirdi ve istismar olasılığını düşük görüyor. WDAC ile uygulama beyaz listesi uygulayan kurumlar için yine de öncelikli.

CVE-2026-92707 — MessagePack-CSharp, hizmet engelleme

Visual Studio ve .NET'in kullandığı MessagePack-CSharp bileşeninde kontrolsüz bellek ayırma, ağ üzerinden hizmet engellemeye yol açıyor. MessagePack'i kendi API'nizde serileştirme için kullanıyorsanız NuGet paketini de ayrıca güncellemeniz gerekebilir; Windows Update yalnızca sistemle gelen bileşenleri günceller.

Öne çıkan kritik açıklar (Critical)

• CVE-2026-70229 — Active Directory Domain Services, uzaktan kod çalıştırma
• CVE-2026-96222 ve CVE-2026-108131 — AD FS, kimlik sahteciliği
• CVE-2026-77900 — Azure App Service, uzaktan kod çalıştırma
• CVE-2026-62840 — Linux çekirdeği (Azure Linux/Mariner), yetki yükseltme
• CVE-2026-56857 — Go'nun Root.Mkdir(All) işlevinde Windows junction kaçışı

Etki alanı denetleyicisi (domain controller) ve AD FS sunucuları kurumların kimlik altyapısının merkezinde olduğu için bu ay önceliklendirilmesi gereken ikinci grup bunlar. Azure tarafındaki açıkların çoğu Microsoft tarafından sunucu tarafında kapatılır, müşterinin bir şey yapması gerekmez; yine de her açığın tavsiye sayfasındaki "Customer action required" satırına bakmak gerekiyor.

Sayı neden bu kadar büyük? (Why so many CVEs)

SecurityWeek, artışı büyük ölçüde yapay zekâ destekli açık keşfine bağlıyor. Zero-day'in bildirenleri arasında bir yapay zekâ şirketinin bulunması da bu eğilimi gösteriyor. Microsoft bu ay ilk kez "risk grupları" (risk cohorts) kavramını kullandı: benzer değerlendirme gerektiren açıklar gruplandı. En büyük grup, Windows dosya sistemi, depolama ve yedekleme bileşenlerindeki 136 açık. Microsoft bu grupların "son karar değil, başlangıç noktası" olduğunu, her açığın istismar durumu, şiddeti ve saldırı vektörüyle ayrıca değerlendirilmesi gerektiğini belirtiyor.

Aynı gün Windows 11 24H2 Home ve Pro sürümleri ile Windows 10 Enterprise LTSB 2016 desteğin sonuna ulaştı. Ekim paketi bu sürümler için son güvenlik güncellemesi. Bu sürümleri kullanan bilgisayarlar Kasım'dan itibaren yama almayacak.

Yama önceliği ve kontrol listesi (Patch priority)

1. Kullanıcı bilgisayarları: Ekim toplu güncellemesini (cumulative update) hemen yükleyin; CVE-2026-96951 aktif saldırı altında.
2. Etki alanı denetleyicileri ve AD FS: Bakım penceresinde, önce test ortamında.
3. SharePoint ve Exchange Server: Şirket içinde çalışan sunucular için ayrı güncelleme paketleri var.
4. Geliştirici makineleri: Visual Studio ve .NET SDK güncellemelerini alın, projelerde MessagePack paket sürümünü kontrol edin.
5. Desteği biten sürümler: Windows 11 24H2 Home/Pro cihazları 25H2 veya sonrasına yükseltin.

# Yüklü son güncellemeleri listeleme (PowerShell)
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

# Windows sürümünü görme
winver

Diğer üreticiler de bu hafta önemli güncellemeler yayımladı: Fortinet FortiMail (CVE-2026-104286), Citrix NetScaler (CVE-2026-88779), Atlassian Confluence/Jira/Bitbucket Data Center (CVE-2026-21589), Cisco NX-OS ve SonicWall SMA1000. NetScaler ve FortiMail açıklarını daha önce NetScaler ve FortiMail yazılarımızda ele almıştık.

Alesta WEB olarak yönettiğimiz sunucularda Windows tarafında istemci bilgisayarlar, Linux tarafında ise çekirdek ve paket güncellemeleri ayrı takvimle izleniyor. Büyük aylık paketlerde önce aktif saldırı altındaki açıklar, sonra kimlik altyapısı kapatılıyor.

Sık sorulan sorular

Ekim 2026'da kaç açık kapatıldı?

Kaynaklara göre 1.411 ile 1.413 arasında; yayın kuruluşlarının sayımı arasında küçük fark var. Kesin liste için Microsoft Security Update Guide'a bakılmalı.

Hangi açık aktif olarak kullanılıyor?

CVE-2026-96951, Windows Shell'de Mark of the Web atlatma. CVSS 8.8, CISA KEV kataloğunda.

Ev kullanıcısı ne yapmalı?

Ayarlar > Windows Update'ten güncellemeleri yükleyip bilgisayarı yeniden başlatmak yeterli. Windows 11 24H2 Home kullanıyorsanız 25H2'ye geçmeniz gerekiyor.

Bir sonraki Patch Tuesday ne zaman?

Kasım ayının ikinci salısı, 10 Kasım 2026.

İlgili yazılar: Eylül 2026 Patch Tuesday · Ağustos 2026 Patch Tuesday · Web hosting · İletişim

Kapak fotoğrafı: Clint Patterson / Unsplash