Microsoft, BleepingComputer raporuna göre şirketin açıkladığı en büyük aylık rekorla 1.411 açığı gidermek için Ekim 2026 güvenlik güncellemelerini yayınladı. Paket, "kritik" olarak sınıflandırılan 70 açığı içeriyor; bunların arasında 57 uzaktan kod yürütme açığı, 11 ayrıcalık yükseltme açığı ve 2 koruma mekanizmasını atlatma açığı bulunuyor.
Salı günkü güncellemelerle giderilen açıklar şu şekilde dağıldı: 677 ayrıcalık yükseltme açığı, 317 uzaktan kod yürütme açığı, 254 bilgi ifşası açığı, 73 hizmet reddi (DoS) açığı, 40 güvenlik özelliği atlatma açığı ve 28 kimliğe bürünme (spoofing) açığı.
Üç Sıfırıncı Gün Açığı
Paket, Microsoft tarafından sıfırıncı gün açıkları olarak sınıflandırılan üç açığı içeriyor. Windows Shell'deki CVE-2026-96951 açığı aktif olarak istismar ediliyordu ve komut enjeksiyonu yoluyla Mark of the Web özelliğinin atlanmasına izin veriyor. Microsoft, açığın kimler tarafından istismar edildiği veya saldırıların nasıl gerçekleştirildiğine dair ayrıntı yayınlamadı.
NET Framework'teki CVE-2026-108398 açığı ise kamuya açık olarak ifşa edilmişti ve kimliği doğrulanmış bir saldırganın Windows Defender Application Control kısıtlamalarını atlamasına ve kullanıcı etkileşimi gerekmeden korumalı bir işlem içinde kod çalıştırmasına olanak tanıyor. Açık, Google Project Zero'dan James Forshaw tarafından keşfedildi.
Microsoft ayrıca MessagePack-CSharp'taki ağ üzerinden istismar edilebilen, kamuya açık bir hizmet reddi açığı olan CVE-2026-92707 açığını da gideriyor.
Bazı Windows Sürümleri İçin Desteğin Sonu
Microsoft aynı gün, Windows 11 Sürüm 24H2'nin Home ve Pro sürümlerinin yanı sıra Windows 10 Enterprise LTSB 2016 için desteğin sona erdiğini duyurdu. Ekim 2026 güncellemesi, bu sürümler için son güvenlik güncellemesi olma özelliğini taşıyor ve bu durum, desteklenen sürümlere geçişi etkilenen kurumlar ve kullanıcılar için doğrudan bir güvenlik meselesi haline getiriyor.
Şirket daha önce Windows 11 23H2 Enterprise, Education ve IoT Enterprise sürümlerinin sonraki günden itibaren güvenlik güncellemeleri almayı durduracağını açıklamıştı.
Güvenlik Ekipleri İçin Pratikte Ne Değişiyor?
Microsoft, bu sürümle birlikte benzer açıkları "risk grupları" altında toplayarak bir yama önceliklendirme deneysel yöntemi sundu. Şirket, Ekim ayı için 15 grup yayınladı; bunların arasında Windows dosya sistemleri, depolama ve yedekleme ile ilgili 136 açık, Office belgeleri ve e-posta istemcilerini ilgilendiren 135 açık, grafikler, medya ve içerik işlemede 131 açık, Windows çekirdeğinde yetki sınırlarını etkileyen 109 açık ve yükleme, dağıtım ve güncelleme hizmetleriyle bağlantılı 103 açık yer alıyor.
Microsoft, bu grupların içindeki açıkların otomatik olarak en tehlikeli olduğu anlamına gelmediğini açıklıyor; çünkü gerçek risk, saldırılardaki istismara, önem derecesine ve kurumun ürünü nasıl kullandığına bağlıdır. Bu nedenle mekanizma deneysel kalmaya devam ediyor ve mevcut yama önerilerinin yerini almasa da onları tamamlıyor.
Rakamların Kapsamı
1.411 rakamı yalnızca Microsoft'un salı gününün kendisinde düzeltmelerini yayınladığı açıklarla sınırlıdır. Bu rakam, şirketin ekim ayının başlarında Azure API Center, Azure App Service, Azure Event Grid, Microsoft Exchange Server ve Microsoft Partner Center gibi ürün ve hizmetlerde düzelttiği diğer 348 açığı içermiyor.
Sayıdaki artış, önceliklendirme ihtiyacını ortadan kaldırmıyor: Aktif olarak istismar edilen açık ile internete açık veya yüksek ayrıcalıklı sistemleri etkileyen açıklar, devasa listenin tamamıyla aynı anda başa çıkmaya çalışılmadan önce acil müdahaleyi hak ediyor. Bununla birlikte materyal, etkilenen tüm ürünlerin eksiksiz ayrıntılarını veya dahili dağıtım takvimlerini sunmuyor; bu da uygulama sırasını belirlemeden önce Microsoft bültenlerine başvurmayı ve her kurumun kendi ortamını değerlendirmesini zorunlu kılıyor.