Microsoft Patchday: Düzeltilen 622 güvenlik açığıyla yeni rekor

Güvenlik açığı raporları seli Microsoft'ta da bitmiyor. “Güvenlik açığı”, şirketi Temmuz Yama Günü'nde portföyündeki çeşitli ürünlerdeki 622 güvenlik açığını gidermeye zorladı. Bazı güvenlik açıkları zaten biliniyordu, diğerleri ise halihazırda çevrimiçi olarak aktif olarak saldırıya uğruyor.

Microsoft, Salı Yaması'nda kapatılan güvenlik açıklarına genel bir bakış sunuyor. Microsoft, güvenlik açıklarının yaklaşık 60'ını “kritik” güvenlik riskleri olarak sınıflandırıyor. Geliştiriciler yalnızca Windows'ta 416 güvenlik açığını giderdi ve ardından Office ve Office 2016'nın her birinde 82 güvenlik açığı kapatıldı. Chromium tabanlı web tarayıcısı Edge, istatistiklere 46 güvenlik sızıntısı daha ekledi. Beşinci sırada, artık daha fazla etkilenen 17 yeni CVE güvenlik açığı girişine sahip SharePoint sunucusu yer alıyor.

Güvenlik açıkları zaten saldırıya uğradı

Saldırganlar, SharePoint'teki ayrıcalıklarını artırmak için zaten kimlik doğrulama eksikliğini kötüye kullanıyor; önceden oturum açmalarına bile gerek yok (CVE-2026-56164, CVSS) 5.3risk”orta“). ABD BT güvenlik yetkilisi CISA da bu konuda uyarıyor. Yetkili ayrıca yöneticilerin şirket içi SharePoint sunucularını güçlendirmeleri ve saldırılara karşı korumaları gerektiğine dair acil talimatlar yayınladı. Saldırganlar ayrıca AD altyapılarındaki haklarını genişletmek için Active Directory Federasyon Hizmetlerindeki (AD FS) yetersiz erişim hakları derecelendirmesinden de yararlanıyor (CVE-2026-56155, CVSS) 7.8risk”yüksek“). Trend Micro'nun Sıfır Gün Girişimi (ZDI), bu boşluğun fidye yazılımı saldırıları için diğer kod kaçakçılığı delikleriyle birlikte kullanılabileceğinden yamanın hızlı bir şekilde kontrol edilip kurulmasını önerir.

Microsoft ayrıca, bir güvenlik açığının BitLocker şifrelemesinin atlanmasına izin verdiğini ve bunun zaten herkes tarafından bilindiğini belirtiyor (CVE-2026-50661). Haziran Yama Günü'nde Microsoft, BT güvenlik araştırmacısının daha önce “Nightmare Eclipse” adıyla kamuoyuna açıkladığı birçok Defender ve BitLocker sorununu çözmüştü. Belirli bir liste olmadan Microsoft geliştiricileri, Edge web tarayıcısının Chromium tabanı için Microsoft'un kendisinden gelmeyen 428 CVE girişi de yayınladı.

BT yöneticileri ve Microsoft yazılımı kullanıcıları, siber suçluların saldırı yüzeyini en aza indirmek için gerekirse kendi ortamlarındaki yamaları test etmeli ve hızlı bir şekilde uygulamalıdır.

(dmk)