Microsoft’un Kasım 2026 “Patch Tuesday” Güncellemesi: 1.095 güvenlik açığından biri 6,5 puan aldı ve şu anda saldırı altında

Bu ay Microsoft’ta istismar edilen tek güvenlik açığı “Orta” düzeyde derecelendirilmiştir ve Microsoft’un verdiği en yüksek istismar olgunluk derecesine sahiptir. Bu güvenlik açığı, yapay zeka kullanan bir araştırmacı tarafından tespit edildi ve halihazırda gerçek ortamda istismar ediliyordu. Öte yandan, bu ay güvenlik duvarlarını fiilen devre dışı bırakan güvenlik açığı, Microsoft’a ait değildi.

Bir bakışta

Başlık sayısı, Microsoft tarafından bir Etki derecesi ile sınıflandırılmış CVE’leri ifade eder; bu sayıya, yeniden yayınlanan 267 adet üçüncü taraf CVE’si (Azure Linux / Mariner paketleri, Google tarafından atanan Chromium CVE’leri) dahil değildir. Bunlar da dahil edildiğinde, belgede toplam 1.362 satır bulunmaktadır. Tenable ve Krebs 1.093, ZDI yaklaşık 1.090, BleepingComputer ise farklı bir hesaplama yöntemiyle 1.235 rakamını vermektedir. Bizim verilerimiz 11 Kasım tarihli güncellemeden alınmıştır. Kasım ayı, Ekim ayındaki 1.418 sayısına kıyasla %23’lük bir düşüş göstermiştir — bu, dört haneli rakamlara ulaşan ikinci aydır, ancak yeni bir rekor değildir.

Etki sınıfına göre yayınlanan veriler

Microsoft tarafından bildirilen 1.095 CVE.

Ayrıcalık yükseltme, bu sürümdeki güvenlik açıklarının %49’unu oluşturuyor ve öncelikle bir giriş noktası gerektiriyor. Uzaktan kod yürütme ise böyle bir giriş noktası olmadan da gerçekleşebilen bir tür. Tenable, etkilenen ürün sayısını 287 olarak belirlemiştir; en çok etkilenenler Office Word (65), Office Excel (64) ve SQL Server (53) ürünleridir.

Bu ay asıl önemli olan şey

Öncelik sırasına göre beş madde.

1. Sömürülen tek Microsoft güvenlik açığı 6,5 puan aldı — ve Microsoft bu güvenlik açığının sömürü olgunluk derecesini “Yüksek” olarak değerlendiriyor

Bu, ölçeğin en üst noktasıdır: yaygın olarak erişilebilir, güvenilir istismar kodu. CVE-2026-124194, NTLM hash’lerini sızdıran bir Outlook güvenlik açığıdır ve CVSS puanı, etkinin yalnızca gizlilikle ilgili olması ve kullanıcı etkileşimi gerektirmesi nedeniyle bu açığı olduğundan daha düşük göstermektedir. 1.095 CVE’den 1.084’ü şu şekilde derecelendirilmiştir Kanıtlanmamış olarak derecelendirilmiş, bir tanesi ise Kanıtlama Aşamasındakategorisinde yer alıyor. CVSS, bunun “Orta” düzeyde olduğunu belirtti. Saldırı kodunun olgunluk seviyesi ise “hemen harekete geçin” diyor.

2. Bu yama, Windows toplu güncellemesinde yer almıyor

Düzeltme şu sürümde yayınlanıyor: Office güvenlik güncellemeleriyle (Microsoft 365 Apps for Enterprise ve Office LTSC 2021/2024) sunulmaktadır; KB5132061 ile değil. Aylık Windows toplu güncellemesini uygulayıp işi bitmiş sayan bir kurum, yine de bu güvenlik açığına maruz kalacaktır. CISA'nın son tarihi 24 Kasım'dır.

3. AI, aynı ayın her iki yarısında da ortaya çıktı

Microsoft, Outlook’taki bu güvenlik açığının keşfini “Anthropic’in Claude’unu kullanarak” çalışan bir araştırmacıya atfediyor — ve bu güvenlik açığı, tespit edildiğinde zaten istismar ediliyordu. Aynı süreçte, saldırganlar yapay zeka desteğiyle, Palo Alto güvenlik duvarlarını ele geçiren php2shell istismar zincirini oluşturdular. Keşif ve istismar, aynı haber döngüsü içinde hızla gerçekleşti.

4. Bu ayki asıl zarar Microsoft’tan değil, PHP’den kaynaklandı

CVE-2026-109618 ve CVE-2026-109619, PHP çekirdeğinin kendisinde bulunan kimlik doğrulaması gerektirmeyen uzaktan kod yürütme (RCE) güvenlik açıklarıdır — EPSS 0,9999, bu dönemde tüm CVE'ler arasında en yüksek değerdir. Amazon’un honeypot'u, kamuya açıklanmadan dört gün önce, yani hâlâ gizlilik süresi devam ederken bir istismar girişimini yakaladı. En az 25 Palo Alto güvenlik duvarı ele geçirildi. Bunların hiçbiri Patch Tuesday güncelleme listesinde yer almıyor.

5. Riskten kaçış nedeniyle hacim düşmeye devam ediyor

1.095 Microsoft CVE’si, bunlardan biri istismar edildi — %0,09. VulnCheck verilerine göre, yayınlanan CVE’lerin sayısı bir önceki yıla göre %45 artarken, istismar edildiği teyit edilenlerin sayısı %10 arttı ve istismar edilenlerin oranı %2,7’lik zirveden %1,4’e düştü. Ancak, yayınlanmasından istismar edilmesine kadar geçen medyan süre 120 günden 80 güne düştü. Birikim azalıyor; fitil kısalıyor.

Etki azaltma kılavuzu

Sadece bir yama değil, bir plan gerektiren beş Microsoft düzeltmesi. Her biri için: bir saldırganın bunu gerçekte nasıl kullandığı, kendi sistem ortamınızda nelere dikkat etmeniz gerektiği ve güncellemeyi yüklemenin ötesinde neler yapmanız gerektiği.

CVE-2026-124194 — Microsoft Outlook, NTLM karma değerlerinin ifşa edilmesi

SİSTEMİ KULLANILMIŞ · CVSS 6,5 · Sömürü olgunluğu: Yüksek · KEV son tarihi 24 Kasım 2026 · CWE-356

Microsoft bunu “spoofing” olarak sınıflandırıyor; işlevsel olarak ise bu bir kimlik bilgisi sızıntısıdır. Özel olarak hazırlanmış bir mesaj dosyası, Outlook’un olağan dış içerik uyarısı olmadan saldırganın kontrolündeki bir konuma bağlanmasına neden olur ve ardından Windows otomatik olarak kimlik doğrulaması yaparak kullanıcının NTLMv2 hash değerini teslim eder. 6,5 puanı, yalnızca gizlilik açısından etkiyi ve gerekli etkileşimi yansıtmaktadır — bu puan, aktarılan etki alanı kimlik bilgilerinin ne kadar değerli olduğu konusunda hiçbir şey ifade etmemektedir.

Saldırganlar bunu nasıl istismar ediyor?

• Özenle hazırlanmış bir mesaj dosyası gönderin; kullanıcı bunu açar. Önizleme Bölmesi bir vektör değildir — dosyanın açılması gerekir.
• Outlook, giden bağlantıları kurar ve Windows otomatik kimlik doğrulaması gerçekleştirir; bu sırada NTLMv2 hash değeri açığa çıkar.
• SMB/LDAP imzalaması veya Kimlik Doğrulama için Genişletilmiş Koruma özelliğinden yoksun herhangi bir hizmete karşı bunu canlı olarak iletin ya da dilediğiniz zaman çevrimdışı olarak kırın.

Dikkat edilmesi gerekenler

• Bir mesaj dosyası açıldıktan kısa bir süre sonra, harici hedeflere giden SMB (445 numaralı bağlantı noktası) trafiği.
• İnternet hedeflerine yönelik NTLM kimlik doğrulama denemeleri — NTLM İşlem olay günlüğünü kontrol edin.
• SMB imzalaması, LDAP imzalaması ve EPA’nın gerçekten uygulanıp uygulanmadığı. Bir veri ihlalinden sızan bir hash değerini gerçek bir sorun haline getiren unsurlar işte bunlardır.
• Henüz hiçbir IOC yayınlanmadı ve hiçbir aktörün adı geçmedi; dolayısıyla davranışsal arama tek seçenek olarak kalıyor.

Etki azaltma kılavuzu

• Sadece Windows toplu güncellemesini değil, Office güncellemesini de yükleyin. Microsoft 365 Apps for Enterprise ve Office LTSC 2021/2024 sürümlerinde bu düzeltme bulunmaktadır. Bu, yamayı yüklediğinizi sandığınız halde aslında yüklememiş olmanızın en olası nedenidir.
• Sunuculardan önce uç noktalar. İletim e-posta yoluyla yapılır ve hedef bir kişidir.
• Henüz yapmadıysanız, SMB ve LDAP imzalamayı ve Kimlik Doğrulama için Genişletilmiş Koruma özelliğini etkinleştirin. Bu önlemler, sadece bu CVE’ye değil, bu sorunun gelecekteki tüm varyantlarına karşı aktarım saldırılarını etkisiz hale getirir.
• Dış ağda giden SMB trafiğini engelleyin. Bunun için nadiren meşru bir neden bulunur.

CVE-2026-116928 — Windows Arama Bileşeni, Uzaktan Kod Yürütme

KRİTİK · CVSS 9,8 · AV:N / PR:N / UI:N · Tetikleyici: indekslenmiş ek · Henüz istismar edilmemiştir

Kullanıcı müdahalesi gerektirmeyen, kimlik doğrulama öncesi uzaktan kod yürütme (RCE) açığı. Bu açığı diğer 9,8 puanlık açıkların üstüne çıkaran ayrıntı şudur: Bir Exchange sunucusuna gönderilen kötü amaçlı ek, indeksleme sırasında otomatik olarak işlenir. Kimse hiçbir şeyi açmaz. Bu açığın tamamen kapatılması için hem Windows hem de Exchange yamalarının uygulanması gerekir.

Saldırganlar bunu nasıl istismar ediyor?

• Dizin oluşturma özelliği etkinleştirilmiş bir Exchange sunucusundaki herhangi bir posta kutusuna özel olarak hazırlanmış bir ek gönderin.
• Arama indeksleyicisi, mesajı bir kişi görmeden önce onu çözümler ve işleme alır.

Dikkat edilmesi gerekenler

• İçerik indeksleme özelliği etkinleştirilmiş Exchange sunucuları — ki bunların çoğu böyledir.
• Arama indeksleyicisinden veya Exchange aktarım bileşenlerinden kaynaklanan beklenmedik alt işlemler.
• Yüklemeleri kabul eden paylaşımlarda Windows Search özelliğinin etkinleştirildiği dosya sunucuları.

Etki azaltma kılavuzu

• Yama hem Windows hem de Exchange için. Düzeltmenin yarısı, bu yolu açık bırakıyor.
• Bunu, istismar edilen öğeyle aynı aciliyetle ele alın — kimlik doğrulaması yok, etkileşim yok ve her kuruluşun halihazırda kullandığı bir dağıtım mekanizması.
• Güncellemenin, yalnızca test ettiğiniz sunucuya değil, DAG’deki tüm sunuculara ulaştığını doğrulayın.

CVE-2026-119958 — Windows LDAP, Uzaktan Kod Yürütme

KRİTİK · CVSS 9,8 · Sınır dışı yazma · AV:N / PR:N / UI:N · Henüz istismar edilmemiştir

LDAP hizmetinde kimlik doğrulaması yapılmamış sınır dışı yazma işlemi. LDAP her etki alanı denetleyicisinde çalışır; bu da bu sorunu Kasım ayındaki DNS sorununa benzetir: güvenlik açığı bulunan hizmet ile en değerli varlıklar aynı ana bilgisayarda yer almaktadır.

Saldırganlar bunu nasıl istismar ediyor?

• Özenle hazırlanmış LDAP trafiğini erişilebilir bir etki alanı denetleyicisine gönderin. Kimlik bilgileri gerekmez, hiçbir şeye tıklanmaz.
• LDAP hizmet bağlamında çalıştırın — bir DC’de bu, dizinin kendisidir.

Dikkat edilmesi gerekenler

• DC’lerinizde 389/636 adresine hangi ağlar erişebilir? Cevap genellikle “istediğinizden daha fazlası”dır.
• LDAP hizmeti, herhangi bir değişiklik olmamasına rağmen çöküyor veya yeniden başlatılıyor.
• Konuk, uzaktan erişim veya OT segmentlerine maruz kalan veri merkezleri.

Etki azaltma kılavuzu

• Öncelikle etki alanı denetleyicileri, ardından genel sunucu altyapısı. Dizin içindeki diğer her şey bunlara bağlıdır.
• Yaygınlaştırma sürecinde LDAP erişilebilirliğini kısıtlayın. Ağ denetimleri zaman kazandırır; hatayı yalnızca yama giderir.
• Hazır oradayken: LDAP imzalaması zorunlu kılınmamışsa, bu ay size bunu düzeltmeniz için iki ayrı neden sunuyor.

CVE-2026-88218 — Windows DNS Server, Uzaktan Kod Yürütme

KRİTİK · CVSS 9,8 · AV:N / PR:N / UI:N · Bu döngüde 4 adet DNS CVE'si · Henüz istismar edilmemiştir

Windows DNS’de kimlik doğrulaması gerektirmeyen uzaktan kod yürütme; bu döngüdeki dört DNS güvenlik açığından biri ve ZDI’nin “solucan yayılabilen” olarak sınıflandırdığı 30 CVE’den biri. Çoğu ortamda DNS Server etki alanı denetleyicilerinde çalışır; dolayısıyla bu güvenlik açığı, yukarıdaki LDAP güvenlik açığıyla aynı alana denk gelir — bu da tek bir bakım penceresi içinde her ikisinin de giderilebileceği anlamına gelir.

Saldırganlar bunu nasıl istismar ediyor?

• Ulaşılabilir herhangi bir Windows DNS sunucusuna özel olarak hazırlanmış bir paket gönderin.
• DNS hizmeti bağlamında yürütülür; aynı ortamda bulunan bir etki alanı denetleyicisinde bu durum, etki alanının ele geçirilmesine giden doğrudan bir yoldur.

Dikkat edilmesi gerekenler

• Active Directory ile aynı ana bilgisayarı paylaşan DNS sunucuları — planlamadan önce envanterinizi çıkarın, planlama sırasında değil.
• Windows DNS’ine kullanıcı VLAN’larından, uzaktan erişim aralıklarından veya internet üzerinden erişilebilir.
• Bu sürümdeki diğer üç DNS CVE’si; bunları tek bir bütün olarak düzeltin.

Etki azaltma kılavuzu

• LDAP yamasıyla birlikte tek bir DC bakım penceresi içinde gerçekleştirin. Aynı ana bilgisayarda iki adet 9.8 sürümü bulunması, bakım penceresinin öne alınmasını haklı kılar.
• İlk erişim noktası, kimlik avı yoluyla ele geçirilmiş bir dizüstü bilgisayar olduğunda, “sadece şirket içi” kısıtlaması bir güvenlik önlemi olarak kabul edilmez.
• Toplu güncellemeden sonra hizmet durumunu kontrol edin — bir döngüde dört DNS düzeltmesi, normalden daha geniş bir gerileme yüzeyi oluşturur.

CVE-2026-119952 — Windows Schannel, Uzaktan Kod Yürütme

KRİTİK · CVSS 8.1 · Sömürülenme Olasılığı Yüksek · AV:N / PR:N / UI:N · Henüz sömürülmemiştir

Schannel, Windows’un TLS uygulamasını oluşturur — şifreli bir bağlantıyı sonlandıran her şeyin altında yer alır. Yukarıdaki güvenlik açıklarına kıyasla daha düşük bir puan almıştır; ancak bu sürümde “Sömürülenme Olasılığı Daha Yüksek” olarak derecelendirilen çok az sayıdaki güvenlik açığından biridir. Bu, Microsoft’un bir sonraki silahlandırmanın nereden geleceğini öngördüğünü size gösterir.

Saldırganlar bunu nasıl istismar ediyor?

• Schannel aracılığıyla TLS ile sonlanan tüm hizmetlere erişin — IIS, RDP, LDAPS, TLS üzerinden SMB.
• El sıkışma aşamasında, kimlik doğrulama aşamasına geçilmeden önce yürütülecektir.

Dikkat edilmesi gerekenler

• TLS'yi sonlandıran, internete açık her Windows hizmeti. Etkilenen alan, tek bir ürün adının ima ettiğinden daha geniştir.
• Sistem olay günlüklerinde yoğunlaşan kanal hataları veya el sıkışma hataları.

Etki azaltma kılavuzu

• Yukarıdaki Microsoft değerlendirmesine 8,1’den daha fazla ağırlık verin. “Sömürü Olasılığı Daha Yüksek” ifadesi ileriye dönük bir değerlendirmedir; CVSS ise statik bir tanımlamadır.
• Önce İnternet’e açık TLS sonlandırıcıları, ardından da dahili olanlar.
• Bu konuda herhangi bir geçici çözüm yoktur — Schannel devre dışı bırakılamaz. Güncelleme, kontrol mekanizmasıdır.

Üçüncü taraf sürümleri

Sömürünün gerçekte nerede olduğu. Bu dönemde istismar edildiği doğrulanan 43 CVE’den 42’si Microsoft dışından kaynaklanıyordu. Bunların dokuzu uç veya çevre cihazlarıdır.

PHP ve Palo Alto

php2shell · EPSS 0,9999 · SİVRİLENMİŞ

CVE-2026-109618 ve CVE-2026-109619, PHP çekirdeğindebulunan kimlik doğrulaması gerektirmeyen uzaktan kod yürütme (RCE) açıklarıdır ve 21 Ekim'de açıklanmıştır. Bunlardan biri, bellek yetersizliği durumunun ardından istek temizleme sırasında belleği bozarken; diğeri ise geri dönüştürülmüş bir işleyicide eski istek durumunu yeniden kullanır. Bu açıklar, web isteklerini işleyen her PHP kurulumunu (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed) etkiler; mod_php en kötü durumdadır, çünkü istismar, uygulama kodu çalışmadan önce gerçekleşir. Bu güvenlik açıkları PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde düzeltilmiştir.

Amazon’un MadPot honeypot’u, 17 Ekim'de, açıklanmasından dört gün önce ve hâlâ yayın yasağı altında iken. Saldırganlar, Fragnesia adlı bir çekirdek ayrıcalık yükseltme hatasıyla bunu zincirleyerek Palo Alto güvenlik duvarı yönetim arayüzlerine root web kabukları yerleştirdiler; Dream Research, en az 25 sistemin ele geçirildiğini tespit etti. Palo Alto: “Etkilenmek için özel bir yapılandırma gerekmiyor.” SecurityWeek’e göre, saldırganlar zinciri oluşturmak için yapay zeka desteğinden yararlandılar.

Ivanti

Secure 'a bağlan · zincir kapalı · SÖMÜRÜLDÜ

Ekim ayındaki bildirimde, Connect Secure zincirinde yamalanmamış bir bağlantı olduğu belirtilmişti. Bu bağlantı artık kapatılmıştır. CVE-2026-111357 (CVSS 8,8, dsinvoked kök bakım hizmetinde kimlik doğrulama eksikliği) ve CVE-2026-118527 (4,3, yükleme yarışını mümkün kılan öngörülebilir tanımlayıcılar) 29 Ekim'de 25.1.1.3 ve 22.8R2.6 sürümlerinde yayınlandı. Her ikisi de 30 Ekim'de KEV'e girdi; 118527 için son tarih 13 Kasım — iki gün sonra.

Volexity’nin UTA0576 hakkındaki ayrıntılı açıklaması okunmaya değer: dsinvoked aşaması, bellek içi bir kütüphaneyi geçici olarak değiştiren, bir bakım görevini root olarak çalıştırılmak üzere yeniden yönlendiren ve ardından orijinal yapılandırmayı ve bellek durumunu geri yükleyen bir Python yükünü çalıştırdı. Web kabuğu yok, kalıcı arka kapı yok — komutlar, tekrarlanan HTTPS istekleri üzerinden iletildi. Saldırı sonrası aşamada, Windows LAPS yönetici şifreleri ve BitLocker kurtarma anahtarları ele geçirildi. Saldırıya uğrayan cihaz, o sırada tüm yamaları yüklenmiş durumdaydı. “Tek başına temiz bir bütünlük kontrolü sonucu, cihazın ele geçirilmiş olma olasılığını ortadan kaldırmaz.”

Adobe

110 CVE · 9 bülten · KRİTİK

Adobe Connect başlıkta yer alıyor — APSB26-191, 24 CVE'den 18'i Kritik seviyede olup, CVSS puanı 10,0'a ulaşıyor ve kimlik doğrulama ya da kullanıcı etkileşimi gerektirmeden ağ üzerinden erişilebiliyor. ZDI, bunu ayın en büyük ve en ciddi Adobe bülteni olarak nitelendiriyor. Experience Manager (APSB26-189) ise, yalnızca düşük ayrıcalıklı bir hesap gerektiren dört adet 9,9 puanlı güvenlik açığı da dahil olmak üzere 14 güvenlik açığı daha ekliyor.

Sadece bu ikisi 2. Öncelikli; geri kalan yedi güvenlik bülteni ise 3. Öncelikli. Bu ayki Adobe güncelleme paketinde istismar edilen hiçbir güvenlik açığı bulunmuyor — ancak Commerce ve Magento’da sınırsız dosya yüklemesine yol açan CVE-2026-48356, 27 Ekim’de 0,475 EPSS değeriyle KEV’e girdi. Bu, üçüncü ay Adobe Commerce'daki bir güvenlik açığının istismar edildiği teyit edildi.

SAP

43 not · 12 Önemli Haber · ÖNEMLİ

Onapsis bunu bir rekor olarak nitelendiriyor: 43 yeni ve güncellenmiş Güvenlik Notu, 12 HotNews ve dört adet CVSS 10.0 güvenlik açığı; bunların tümü kimlik doğrulaması gerektirmeyen türdedir. Bunlardan ikisi, ICM2SHELL bellek bozulması çifti: CVE-2026-76964 (NetWeaver AS ABAP) ve CVE-2026-89126 (Web Dispatcher ve HANA XSA). CVE-2026-89103, SAP Gateway’deki erişim kontrolü bozukluğu olan PROXYGATE’dir; CVE-2026-120017 ise NetWeaver SAML2 hizmet sağlayıcısında kimlik doğrulama eksikliğidir.

İki aktif tuzak. PROXYGATE, yama uygulandıktan sonra profil parametrelerinin manuel olarak değiştirilmesini gerektirir — yama tek başına bu sorunu çözmez. Ayrıca, ICM2SHELL için WebSocket'i devre dışı bırakma geçici çözümü SAP tarafından açıkça önerilmemektedir. Araştırmacılar, SAP'ye çalışan istismar kodlarını teslim etti; şu ana kadar gerçek ortamda istismar edildiğine dair bir rapor bulunmamaktadır.

Edge cihazları

Citrix · SonicWall · Barracuda · SİĞRİLMİŞ

Barracuda en yenisi: CVE-2026-116606 (kimlik doğrulama atlaması) ve CVE-2026-111560 (işletim sistemi komut enjeksiyonu) açıkça birbirine zincirlenmiş durumda; Barracuda, “az sayıda kuruluş”a yönelik saldırıları doğruladı; watchTowr, istismar kodunu yayınladı ve her ikisi de 13 Kasım’da yayınlanacak.

SonicWall CVE-2026-19868 (7.1) güvenlik açığı, geçerli SAML dışı kimlik bilgilerine sahip bir kullanıcının SSL-VPN üzerinde SAML ile zorunlu kılınan çok faktörlü kimlik doğrulamayı (MFA) atlamasına olanak tanır. Geçici çözüm yoktur; düzeltmeler 7.3.4-7013 ve 8.2.3-8015 sürümlerindedir ve 20 Kasım’da yayınlanacaktır. Citrix, 8 Ekim'de CVE-2026-107406 (CVSS 9.5, SAML yapılandırmalı NetScaler) güncellemesini yayınladı ve ayrıca Eylül ve Ekim ayındaki düzeltmeleri de içeren ayrı bir php2shell toplu güncellemesini 14.1-73.49 / 13.1-64.32 sürümlerinde yayınladı.

Mozilla Firefox

160 · 99 CVE · SÖMÜRÜ YOK

Firefox 160 (MFSA 2026-125), Patch Tuesday kapsamında 99 CVE ile piyasaya sürüldü — 57’si Yüksek, 24’ü Orta, 18’i Düşük ve hiçbir Kritik seviyede değil. ESR 115.45 ve 153.7 sürümleri de aynı zamanda yayınlandı; ayrıca Thunderbird 160 ve 153.7 sürümleri de piyasaya sürüldü. Tek bir tarayıcı sürümünde 99 güvenlik açığı, Mozilla’nın geçmişteki ortalamasının çok üzerinde ve Microsoft’unkiyle aynı hacim modeline uyuyor; ancak Mozilla bunu yapay zeka destekli keşiflere atfetmiş değil.

Apple

2024 tarihli bir CVE, şu anda kötüye kullanılıyor · SİLAHLANDIRILDI

Apple, 9 Kasım’da iOS/iPadOS 27.2.1, 26.7.3 ve 18.7.12 sürümlerinin yanı sıra üç macOS dalını da kullanıma sundu. Eşzamanlı olarak üç iOS dalının bulunması başlı başına bir işaret niteliğinde — SANS’tan Lee Neely: “Apple, ikiden fazla sürüm için düzeltme yayınladığında buna dikkatimi veriyorum.”

Daha ilginç olan sorun ise daha eski. CVE-2024-27834 — Apple’ın Mayıs 2024’te yama uyguladığı, CVSS puanı 5,5 olan bir Pointer Authentication atlatma açığı — 4 Kasım’da KEV’e girdi. Sekoia, bu açığın istismar edilmesini APT29 / Midnight Blizzard’a'e atfediyor. Saldırı, ele geçirilmiş meşru web siteleri ve Plerdy SEO izleyicisinin tedarik zincirinde meydana gelen bir güvenlik ihlali yoluyla gerçekleştirildi ve çerez çalan bir bilgi hırsızı ile sonlanan sıfır tıklama zinciri şeklinde gerçekleşti. İki buçuk yıllık, orta şiddet derecesinde bir güvenlik açığı, bir devlet aktörü tarafından silah olarak kullanıldı.

Bu, Gönderim Yapıyorsanız Ne Anlama Gelir? Software

Bu ayı tanımlayan unsur, olayların sayısı değildir. Asıl belirleyici olan, en önemli iki olayın — Microsoft’un istismar edilen tek güvenlik açığının keşfi ve Palo Alto güvenlik duvarlarının ele geçirilmesi — her ikisinin de birbirinden üç hafta içinde, zıt taraflar olarak yapay zeka desteğiyle gerçekleşmiş olmasıdır. Bir araştırmacı, halihazırda istismar edilmekte olan bir hatayı bulmak için yapay zekayı kullandı. Bir saldırgan ise, üretim ortamındaki cihazlara kök erişim sağlayan bir saldırı zinciri oluşturmak için yapay zekayı kullandı.

Aslında insanların sistemlerinin ele geçirilmesine neden olan şey PHP’ydi: bir bağımlılık, bir ürün değil. CVE yayınlanmadan önce ürününüzün içinde ve uç noktalarınızda neler olduğunu bilmek, işin püf noktasıdır. OESIS Algılama ve Yama Uygulama Panosu’nun haritalandırdığı zincir işte budur: hangi uygulamanın yüklü olduğu, hangi CVE’leri barındırdığı ve henüz bir yamanın mevcut olup olmadığı.

Öncelik matrisi

Dört bant; en zor olanı en başta. Bant, CVSS’ye göre değil, maruz kalma ve istismar durumuna göre belirlenmiştir — bu yüzden 6,5 puanı en üstte yer alırken 10,0 puanı en altta bulunmaktadır. Çoğu kuruluşun fiilen kullandığı yazılımlara odaklanılmıştır; tam veri kümesi, istismar edilen 43 CVE’nin tamamını ve döngüdeki tüm satıcıları kapsamaktadır.

P1 — ŞİMDİ 24 saat içinde 43'ün 19'u istismar edildi

Gerçek ortamda istismar edildiği doğrulandı — öngörülen değil, gözlemlenen. En yeniler önce sıralandı: En üstteki satırlar, bir önceki döngüde ele alınmayanları göstermektedir.

Microsoft ve Chrome satırlarında EPSS değeri bulunmamaktadır; çünkü bu anlık görüntü alındığında model bu satırları henüz puanlamamıştı. Kalan 24 istismar edilmiş CVE, medya sunucularında, yedekleme cihazlarında, geliştirici araçlarında ve 8 Ekim tarihli eski grupta yer almaktadır; bu 43 CVE’nin tümü, OPSWAT adresindeki CVE Dashboard’da aranabilir.

P2 — BU HAFTA 72 saat içinde 32'den 12'si

Windows, kimlik doğrulaması yapılmamış, ağ üzerinden erişilebilir, kullanıcı etkileşimi gerekmez. Maruz kalma durumunuzu değiştirmeleri için hiçbir şeye tıklamanız gerekmez. Öncelikle Server adresindeki rollere bakın — ayrıca DNS ve LDAP’nin her ikisinin de etki alanı denetleyicilerinde yer aldığını unutmayın.

Bu ay EPSS sütunu yok. Bu anlık görüntünün alındığı sırada model, 1.095 Microsoft CVE'sinden yalnızca 1'ini puanlamıştı — oysa Ekim ayında, neredeyse aynı saatte yapılan bir çalışmada kapsama oranı neredeyse tamdı. EPSS puanları kendi zamanlamasına göre gelir ve tirelerle dolu bir sütun, veri yokluğu yerine düşük risk anlamına gelir. Zaten doğrulanmış istismar vakaları için bu hiçbir zaman doğru bir sıralama göstergesi olmamıştı.

P3 — BU DÖNGÜ 7 gün içinde 8 CVE

Kritik ve erişilebilir, ancak her birinin bir ön koşulu var — bir kimlik bilgisi, kimliği doğrulanmış bir oturum, iletilmiş bir dosya. “Kavram Kanıtı” satırı, puanı ne olursa olsun, istismar olgunluğu açısından buraya aittir.

P4 — HAREKET YOK Sadece bilgilendirme 4 CVE

Hizmet tarafında. Microsoft, kendi sistemlerinde bu sorunları gidermiştir; müşterinin kurması gereken herhangi bir şey yoktur. Her ay ham CVSS sıralamasını yayınlıyorlar — işte bu yüzden, kafa karışıklığına yol açmamak için bu listeye dahil edilmişlerdir.

72 saatlik plan

Öncelik matrisinin size söylemediği şeyler.

Takvimde sırada ne var?

Kaynaklar

Öncelikle ana tedarikçilere yönelik uyarılar.

1. Microsoft Güvenlik Müdahale Merkezi, CVRF belgesi 2026-Kasım, revizyon tarihi 11 Kasım 2026 — standart CVE listesi, Microsoft tarafından atanan CVSS değerleri ve zamansal vektörler.
2. CISA’nın “Bilinen ve İstismar Edilen Güvenlik Açıkları” kataloğu ve FIRST EPSS.
3. Zero Day Initiative, Kasım 2026 Güvenlik Güncellemesi İncelemesi.
4. Tenable, Kasım 2026 “Patch Tuesday” güncellemesi 1.093 CVE’yi ele alıyor; Krebs on Security; Rapid7.
5. CVE-2026-109618 ve CVE-2026-109619 ile ilgili PHP Group güvenlik bildirimleri; NCSC-NL’nin php2shell ürün izleme sistemi; SecurityWeek’in Palo Alto güvenlik ihlalleriyle ilgili haberi.
6. Volexity’nin UTA0576 ve Ivanti Connect hakkındaki açıklaması Secure; CVE-2026-111357 ve CVE-2026-118527 ile ilgili Ivanti güvenlik bildirimleri.
7. Onapsis, SAP Güvenlik Yaması Günü, Kasım 2026.
8. Adobe Güvenlik Bültenleri (APSB26-191, -189 ve diğerleri).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; Barracuda güvenlik uyarıları; The Hacker News’te CVE-2024-27834 ve APT29 hakkında haberler.
11. VulnCheck: Yapay zeka tarafından tespit edilen güvenlik açıkları ve istismar oranları.

Metodoloji. Başlık sayısı, CVRF'de Microsoft tarafından Etki derecesi ile sınıflandırılan CVE'leri içerir; yeniden yayınlanan 267 adet üçüncü taraf CVE hariçtir. Microsoft CVSS ve istismar olgunluk değerleri, CVRF'den satıcı tarafından atanmıştır; üçüncü taraf CVSS değerleri ise CISA tarafından yayınlanmayan durumlarda NVD'den veya ilgili satıcıdan alınmıştır. EPSS bir tahmin modelidir ve raporlanır, ancak doğrulanmış istismarları sıralamak için asla kullanılmaz — bu ay, verilerin alındığı tarihte 1.095 Microsoft CVE'sinden yalnızca bir tanesini puanlamıştı; bu nedenle Microsoft tablolarında yer almamaktadır. Öncelik matrisi, yaygın olarak kullanılan kurumsal yazılımlarla sınırlıdır; temel veri kümesi, 8 Ekim ile 10 Kasım arasında istismar edildiği teyit edilen 43 CVE’nin tamamını ve döngüdeki tüm satıcıları kapsamaktadır. İstismar durumu, üçüncü taraf iddialarını değil, CISA KEV ve birinci taraf satıcıların teyidini yansıtmaktadır.

Veriler 11 Kasım 2026 itibarıyla. CISA KEV ve EPSS sürekli olarak güncellenmektedir ve Microsoft, sürümün yayınlanmasından sonra CVRF'yi revize etmektedir — buradaki rakamlar, 11 Kasım'daki revizyonu ve o sabahki kataloğu yansıtmaktadır. Risk azaltma kılavuzu genel niteliktedir ve her bir güvenlik açığının yayınlanmış özelliklerinden türetilmiştir; kendi ortamınızda test yapmanın yerini almaz.