Microsoft, Kasım 2026 Yama Salısı’nda İkinci Kez 1.000’den Fazla Güvenlik Açığı Duyurdu

Microsoft, Kasım 2026 Yama Salısı’nda İkinci Kez 1.000’den Fazla Güvenlik Açığı Duyurdu

Microsoft, en son Yama Salısı güncellemesinde 1.000’den fazla güvenlik açığı açıkladı. Bu durum, federal siber güvenlik yetkililerinin Google, Barracuda ve Cisco’dan gelen istismar edilen hataları yamalamaları için sivil kurumları uyarmasıyla aynı zamana denk geldi.

Salı günü açıklanan 1.093 hatadan biri, Microsoft Outlook’u etkileyen ve 6.5 ciddiyet puanına sahip CVE-2026-124194 kodlu güvenlik açığıydı. Şirket, bu açığın aktif olarak istismar edildiğini belirtti.

Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi ve federal kurumlara ay sonuna kadar yamalamaları için süre tanıdı.

Microsoft’a göre, bu hata Benoît Sevens tarafından Anthropic’in Claude’u kullanılarak keşfedildi. Şirket, bir saldırganın “özel olarak hazırlanmış bir mesaj dosyası göndererek bir kullanıcıyı Microsoft Outlook’un etkilenen bir sürümünde açmaya ikna edebileceğini” açıkladı.

Microsoft, “Dosyayı açmak, Outlook’un olağan harici içerik uyarısını göstermeden saldırgan kontrollü bir ağ konumuna bağlanmasına neden olabilir ve potansiyel olarak kullanıcının kimliğine bürünmek için kullanılabilecek kimlik doğrulama bilgilerini ifşa edebilir” dedi.

Tenable’da kıdemli araştırmacı mühendisi Satnam Narang, bu güvenlik açığını kullanan bir saldırının, birinin istismar edilen kullanıcı olarak oturum açmasına izin verebileceğini belirtti.

Uzmanlar, CVE-2026-124194’ün Microsoft’un Yama Salısı sürümünde belirtilen tek istismar edilen hata olduğunu, ancak 63 güvenlik açığının kritik olarak derecelendirildiğini ifade etti. Narang, Salı günkü sürümle birlikte Microsoft’un bu yıl açıklanan güvenlik açığı sayısının 5.160’ı aştığını ve bunun önceki tüm yılları geride bırakacağını kaydetti.

Geçen ay, Microsoft tarafından 1.400’den fazla güvenlik açığı açıklanmış, Eylül ayında ise yaklaşık 900 güvenlik açığı duyurulmuştu.

Microsoft’un açıklamalarına ek olarak, Google, Cisco, Adobe, Barracuda, Ivanti ve diğer bazı şirketler düzinelerce hata için yamalar yayınladı. Bunlardan birkaçı CISA tarafından istismar edildiği için öne çıkarıldı.

CISA, federal kurumlara Barracuda’nın e-posta güvenlik ürününü etkileyen CVE-2026-116606 ve CVE-2026-111560 kodlu iki hatayı Cuma gününe kadar yamalamaları talimatını verdi. Ayrıca, tüm federal kurumların her iki güvenlik açığıyla ilgili potansiyel ihlalleri araştırmalarını emretti.

N-able Güvenlik Açıklarına Yanıt

Bir araştırmacı, BT ekiplerinin ağları uzaktan izlemek ve çalıştırmak için kullandığı popüler bir uzaktan yönetim aracı olan N-Central’da 30’dan fazla ciddi güvenlik açığı keşfetti.

Bu aracın arkasındaki şirket olan N-able, barındırılan tüm N-central ortamlarını çevrimdışı duruma getirdi ve müşterilerine sunucularını kapatmaları talimatını verdi.

Şirket Salı günü yaptığı açıklamada, “Beklendiği gibi, yayınlanan kavram kanıtlama koduyla ilişkili tarama etkinliği gözlemliyoruz. Şu anda, herhangi bir müşteri ortamının başarılı bir şekilde istismar edildiğine dair bir kanıtımız yok” dedi.

“Bu süre zarfında, müşteriler Barındırılan N-central klasik ortamlarına erişemeyecek ve ilgili hizmetler kullanılamayabilir.”