Microsoft, Ekim 2026 Patch Tuesday kapsamında 13 Ekim'de, tarihindeki en büyük aylık güvenlik güncellemesini yayımladı. Kaynağa göre sayı 1.407 ile 1.417 arasında değişse de tablo net: tek bir ayda 1.400'ü aşkın güvenlik açığı kapatıldı ve bunlardan biri yama çıkmadan önce saldırılarda kullanılıyordu. Bu yazıda bu güncellemenin işletmeniz için ne anlama geldiğini ve hangi sırayla ilerlemeniz gerektiğini sade bir dille anlatıyoruz.
Ekim 2026 Patch Tuesday'de neler var?
Patch Tuesday, Microsoft'un her ayın ikinci salı günü yayımladığı düzenli güvenlik güncellemesidir. Bu ayki paket hem boyutuyla hem de kapsamıyla dikkat çekiyor. SecurityWeek'in aktardığına göre güncellemelerin 1.102'si Windows, 134'ü Office, 36'sı SharePoint Server için. Exchange Server, SQL Server, .NET, Visual Studio ve Azure bileşenleri de pakette yer alıyor.
Microsoft'un resmi bülteninde, uzaktan kod çalıştırma (RCE) açısından en yüksek önem derecesi olan "Kritik" seviyesi şu ürünler için verilmiş:
- Windows 11 ve Windows Server 2016, 2019, 2022, 2025
- Microsoft Office ve SharePoint
- Exchange Server
- .NET ve Visual Studio
Tenable'ın analizine göre kapatılan açıkların yaklaşık yarısı (yüzde 47,9) yetki yükseltme, yüzde 22,3'ü ise uzaktan kod çalıştırma türünde. Yetki yükseltme açıkları tek başına kapıyı açmasa da, içeri sızan bir saldırganın sıradan bir kullanıcı hesabından yönetici yetkisine çıkmasını sağlar. Fidye yazılımı saldırılarında en sık görülen zincir de budur.
Aktif olarak istismar edilen açık: CVE-2026-96951
Bu ayın en acil maddesi, Windows Kabuğu'ndaki (Windows Shell) CVE-2026-96951 numaralı güvenlik özelliği atlatma açığı. Microsoft, bu açığın güncelleme yayımlanmadan önce saldırılarda kullanıldığını doğruladı. ABD Siber Güvenlik Ajansı CISA da açığı, aktif olarak istismar edilen açıklar kataloğuna (KEV) ekledi.
Açık, Windows'un internetten gelen dosyaları işaretlediği "Mark of the Web" korumasını devre dışı bırakmaya imkân veriyor. Normalde e-postayla ya da indirilerek gelen bir dosya açıldığında SmartScreen uyarısı çıkar veya Office belgesi Korumalı Görünüm'de açılır. Bu açık sayesinde saldırgan bu uyarıları atlatabiliyor.
Saldırının gerçekleşmesi için kullanıcının e-posta veya anlık mesajla gönderilen özel hazırlanmış bir dosyayı açması gerekiyor. Yani en olası senaryo, muhasebe ya da satış ekibine gelen "fatura", "teklif" veya "kargo bilgisi" görünümlü bir ek. Uyarı çıkmadığı için kullanıcı dosyayı güvenli sanabilir.
Exchange Server ve Active Directory kullananlar için ek uyarı
Şirket içinde kendi e-posta sunucusunu (Exchange) ve etki alanı denetleyicisini (Active Directory) çalıştıran işletmeler bu ay özellikle dikkatli olmalı. Tenable'ın öne çıkardığı iki kritik açık şöyle:
- CVE-2026-70571 (Exchange Server): Uzaktan kod çalıştırma. Kötü amaçlı hazırlanmış bir e-postanın sunucuda işlenmesiyle tetiklenebiliyor. Microsoft istismar olasılığını "yüksek" olarak değerlendiriyor.
- CVE-2026-70229 (Active Directory Etki Alanı Hizmetleri): Uzaktan kod çalıştırma. Saldırganın AD DS hizmetine özel hazırlanmış bir ağ paketi göndermesini gerektiriyor; istismar olasılığı yine "yüksek".
Exchange tarafında bir konu daha var: Microsoft, Exchange Server 2016 ve 2019 için ücretli uzatılmış güvenlik güncellemesi (ESU) programının Ekim 2026'dan sonra devam etmeyeceğini ve ek bir uzatma yapılmayacağını açıkladı. Yani bu sürümleri kullanıyorsanız, Ekim güncellemesi bu sürümler için gelen son güvenlik güncellemesi olacak. Microsoft'un önerdiği yollar, Exchange Server Subscription Edition'a (SE) geçmek ya da Exchange Online / Microsoft 365'e taşınmak.
Neden bu kadar çok açık var ve bu sizi nasıl etkiliyor?
SecurityWeek'e göre Microsoft bu ay, 2025 yılının tamamında kapattığından daha fazla açık kapattı ve iTnews'in aktardığına göre Ekim 2025'te bu sayı 180 civarındaydı. Bu artışın önemli bir nedeni, yapay zeka destekli güvenlik araştırmalarının açık bulma hızını ciddi biçimde artırması. Bu iyi bir haber, çünkü açıklar saldırganlardan önce bulunuyor. Ama işletmeler açısından yeni bir yük demek: her ay daha fazla güncelleme, daha fazla test ve daha dikkatli bir planlama gerekecek.
Microsoft da bu yükü kabul ediyor. Güvenlik Yanıt Merkezi (MSRC), açıkları "risk grupları" (risk cohorts) halinde ele almayı öneren deneysel bir yaklaşım yayımladı. Fikir basit: aynı soruyu soran açıkları bir arada değerlendirmek. Örneğin "Uzak Masaüstü (RDP) ağ geçidimiz internete açık mı?" sorusunu bir kez yanıtladığınızda, bu sorudan etkilenen onlarca açığın önceliğini birlikte belirleyebilirsiniz. Microsoft bu grupların resmi bir sınıflandırma olmadığını ve her açığın yine de kendi özelinde değerlendirilmesi gerektiğini vurguluyor.
KOBİ ölçeğinde bu yaklaşımın pratik karşılığı şudur: internete açık olan sistemlerinizi (e-posta sunucusu, uzak masaüstü, VPN, web sunucusu) bilin ve önce onları güncelleyin.
Bu hafta yapılacaklar listesi
- Tüm Windows bilgisayarlarda Ekim güncellemesinin yüklendiğini doğrulayın. Otomatik güncelleme açık olsa bile, yeniden başlatılmayı bekleyen cihazlar korunmuş sayılmaz.
- Sunucuları ayrı bir planla güncelleyin. Önce yedek alın, mümkünse bir test sunucusunda deneyin, güncellemeyi mesai dışında yapın. Etki alanı denetleyicileri ve Exchange sunucuları önceliklidir.
- Exchange sürümünüzü kontrol edin. 2016 veya 2019 kullanıyorsanız, Ekim güncellemesini yükleyin ve Exchange SE ya da Microsoft 365 geçiş planını bu ay netleştirin.
- İnternete açık hizmetleri listeleyin. Uzak masaüstü doğrudan internete açıksa, VPN arkasına alın. Bu tek adım pek çok açığın riskini düşürür.
- Ekibinizi e-posta ekleri konusunda uyarın. Bu ay "uyarı çıkmadı, demek ki güvenli" düşüncesi geçerli değil. Beklenmeyen fatura, teklif ve kargo eklerinde gönderene telefonla teyit alın.
- Güvenlik duvarı ve EDR tarafını gözden geçirin. E-posta filtrelemenin ve uç nokta korumasının güncel imzalarla çalıştığından emin olun.
- Bir sonraki tarihi takvime yazın. Microsoft'un sıradaki güvenlik güncellemesi 10 Kasım 2026'da yayımlanacak.
Güncellemeyi ertelemenin riski
Bir açık yayımlandığı anda, saldırganlar da yamayı inceleyerek açığın nasıl istismar edileceğini çözmeye başlar. Bu nedenle güncellemeler yayımlandıktan sonraki günler, güncellenmemiş sistemler için en riskli dönemdir. Güncellenmemiş tek bir bilgisayar; dosya sunucusunu, NAS'ı ve yedekleri de tehlikeye atabilir.
Kişisel veri işleyen işletmeler için güncel olmayan sistemler, KVKK kapsamındaki "uygun teknik tedbir" yükümlülüğü açısından da soru işareti yaratabilir. Bu konudaki somut yükümlülükleriniz için hukuk danışmanınızla görüşmenizi öneririz.
tiNte Bilişim olarak bakım sözleşmeli müşterilerimizin bilgisayar ve sunucularında aylık güncellemeleri merkezi olarak takip ediyor, sunucu güncellemelerini yedek aldıktan sonra mesai dışında uyguluyoruz. FortiGate, Sophos ve WatchGuard güvenlik duvarları ile EDR çözümleriyle internete açık hizmetlerinizi sınırlandırıyor, Exchange 2016/2019 kullanan işletmelerin Microsoft 365'e veya Exchange SE'ye geçişini planlıyoruz. Ofisinizin bu ayki güncelleme durumunu birlikte gözden geçirmek isterseniz 0533 073 60 52 numarasından bize ulaşabilirsiniz.
Kaynaklar
- Microsoft MSRC: Ekim 2026 güvenlik güncellemeleri bülteni
- Microsoft Security Update Guide: October 2026 Release Notes
- Microsoft MSRC: Using risk cohorts to prioritize security updates
- Microsoft Exchange Team: Released: October 2026 Exchange Server Security Updates
- Tenable: Microsoft's October 2026 Patch Tuesday
- SecurityWeek: Microsoft Patches Record 1,413 Vulnerabilities
- BleepingComputer: Microsoft Exchange 2016 and 2019 ESU program ends in October