ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), fidye yazılımı çetelerinin Windows Task Host bileşenindeki CVE-2025-60710 güvenlik açığından yararlandığını doğruladı. Ajans, açığı 13 Nisan'da aktif olarak istismar edildiği bilinen güvenlik açıkları listesine eklemişti. Cuma günü listesini yeniden güncelleyerek açığın fidye yazılımı çeteleri tarafından yürütülen saldırılarla bağlantılı olduğunu açıkça belirtti.
Açık, Windows 11 ve Windows Server 2025 cihazlarını etkiliyor ve bağlantı izleme mekanizmasındaki bir zayıflıktan kaynaklanıyor. Microsoft, sorunu Kasım 2025'te yayımlanan güvenlik güncellemeleri kapsamında düzeltti. Açığın açıklamasına göre, temel kullanıcı izinlerine sahip yerel bir saldırgan, ayrıcalıklarını SYSTEM düzeyine yükseltmek için bu açıktan yararlanabilir; bu da saldırgana güncellenmemiş cihaz üzerinde tam denetim sağlar.
Windows Task Host'un rolü nedir?
Task Host, Windows'un temel bileşenlerinden biridir. DLL dosyalarına dayalı işlemlerin arka planda çalıştırılmasını sağlar ve veri bozulması riskini azaltmak için sistemin kapatılması sırasında bu işlemlerin düzgün biçimde sonlandırılmasına yardımcı olur. Açığın istismar edilmesi için saldırganın sınırlı izinlere sahip bir hesapla yerel olarak bulunması gerektiğinden, bu açık mutlaka ağa ilk giriş noktası değildir; ancak saldırgan bir cihaza eriştikten sonra kritik bir ayrıcalık yükseltme aşaması sağlayabilir.
Pratikte ne değişiyor?
CISA devam eden saldırılar veya CVE-2025-60710'dan yararlanan taraflar hakkında ayrıntı yayımlamadı. Microsoft da bu içerik yayımlandığı sırada güvenlik bildirimini gerçek saldırılarda istismar edildiğini doğrulayacak şekilde güncellememişti. Buna rağmen açığın Known Exploited Vulnerabilities listesine eklenmesi ve ardından fidye yazılımı çeteleri tarafından kullanıldığının belirtilmesi, hâlâ yamasız sürümler kullanan kuruluşlar için güncellemelerin uygulanmasına daha yüksek öncelik verilmesini gerektiriyor.
Microsoft, açığın Kasım 2025 güncellemesinde giderildiğini ve güncellemeyi yükleyen müşterilerin korunduğunu, ek bir işlem yapmalarına gerek olmadığını belirtti. CISA ise kuruluşları, şirketin talimatları doğrultusunda düzeltme adımlarını uygulamaya ve bulut hizmetlerine ilişkin zorunlu operasyonel yönlendirme BOD 22-01 yönergelerine uymaya çağırdı. Uygun azaltma yöntemleri sağlanamıyorsa ürünün kullanımının durdurulmasını istedi.
Microsoft ürünlerine yönelik istismarın daha geniş bağlamı
Uyarı, CISA'nın bir hafta önce fidye yazılımı çetelerinin Microsoft SharePoint'te uzaktan kod yürütülmesine olanak tanıyan ve CVE-2026-45659 tanımlayıcısını taşıyan bir açıktan yararlanmaya başladığını duyurmasının ardından geldi. Söz konusu açık için aktif istismar, temmuz ayının başında doğrulanmıştı. Ajans, Kasım 2021'den bu yana Microsoft ürünlerinde aktif olarak istismar edilen 383 açığı listesine ekledi; bunların 112'si fidye yazılımı saldırılarında da kullanıldı.
Bu, CVE-2025-60710'un giderilmesinin güvenlik açığı yönetimi programından bağımsız bir işlem olarak görülmemesi gerektiği anlamına geliyor. Pratik öncelik, Kasım 2025 güncellemesinin Windows 11 ve Windows Server 2025 cihazlarına yüklendiğini doğrulamak ve ardından güncellenmeden kalan sistemlerde ihlal göstergeleri veya beklenmeyen yerel hesaplar bulunup bulunmadığını incelemektir. İçerikte ihlal göstergeleri veya kullanılan saldırı yöntemleri hakkında ek ayrıntı verilmedi.