Microsoft Kasım Güncellemesi 1.094 Açığı Kapattı: Outlook Kullanıyorsanız Hemen Güncelleyin

Outlook kullanıyorsanız bu ay yalnızca Windows güncellemesi yetmiyor; Office güncellemesini de yüklemeniz gerekiyor. Microsoft, 10 Kasım’da yayımladığı Kasım 2026 Yama Salısı paketiyle ürünlerindeki 1.094 güvenlik açığını kapattı. Paketteki en acil düzeltme, saldırganların şimdiden istismar ettiği bir Outlook açığı. Bu, üst üste ikinci ayın 1.000’i aşan güncellemesi.

Outlook’taki açık neden önemli?

SecurityWeek’in aktardığına göre CVE-2026-124194 numaralı açık resmi olarak “orta” dereceli bir sahtecilik (spoofing) açığı olarak sınıflandırılıyor ve CVSS puanı 6,5. Microsoft’a göre saldırgan, özel hazırlanmış bir mesaj dosyası gönderip kullanıcıyı bunu açmaya ikna ettiğinde Outlook, olağan uyarıyı göstermeden saldırganın kontrolündeki bir sunucuya bağlanabiliyor. Bu bağlantı, kullanıcının parola karması (NTLMv2 hash) denen kimlik doğrulama verisini sızdırıyor; saldırgan da bu veriyle kullanıcı adına oturum açabiliyor. Mesajı yalnızca önizleme bölmesinde görmek açığı tetiklemiyor. Zero Day Initiative’den Dustin Childs, The Register’a açığın etkisinin adından büyük olduğunu söyledi. ABD siber güvenlik ajansı CISA da açığı istismar edilen açıklar listesine ekledi ve federal kurumlara 24 Kasım’a kadar süre verdi.

Hangi ürünler etkileniyor, nasıl güncellenir?

Etkilenen ürünler Microsoft 365 Apps for Enterprise, Office LTSC 2021 ve Office LTSC 2024. CyberInsider’ın haberine göre Outlook düzeltmesi Office güncellemeleriyle geliyor; bu yüzden yalnızca Windows toplu güncelleştirmesini yüklemek açığı kapatmıyor. Bireysel kullanıcılar Windows Update’in yanı sıra herhangi bir Office uygulamasında Dosya > Hesap > Güncelleştirme Seçenekleri > Şimdi Güncelleştir yolunu izleyerek Office’i güncelleyebilir. Açıkların 726’sı Windows’ta, 174’ü Office’te bulunuyor. SQL Server’da 59, SharePoint Server’da 27, Exchange Server’da dokuz açık kapatıldı. Bu ayki paket, Windows 11 23H2 sürümünün Enterprise ve Education kullanıcıları için son güncelleme oldu; bu sürümü kullanan kurumların yeni sürüme geçmesi gerekiyor.

Rekor hızın arkasında yapay zekâ var

Krebs on Security bu ay 1.093, BleepingComputer ise 1.235 açık saydı; rakamlar, yayın organlarının güncellemenin kapsamını farklı ele almasından kaynaklanıyor. Krebs’e göre 63 kritik açığın yaklaşık yarısı uzaktan kod çalıştırmaya imkân veriyor. Ekim ayında 1.413 düzeltmeyle rekor kıran Microsoft, SecurityWeek’e göre 2026’da şimdiye kadar 5.000’den fazla açığı yamaladı. Şirket bu hızda yapay zekânın payı olduğunu belirtiyor. Childs ise CyberScoop’a, yapay zekânın yamaları tersine mühendislikle çözerek açık bulmakta da başarılı olduğunu, bu yüzden güncellemeleri geciktirmenin daha riskli hale geldiğini söyledi. Aynı hafta Adobe yaklaşık 110 açığı kapattı, Google da Chrome’daki aktif istismar edilen bir sıfırıncı gün açığını yamaladı.