Microsoft'un Ekim 2026 Patch Tuesday'si, sömürülen bir Windows Shell bypass'ı da dahil 1.400'den fazla açığı kapatıyor

Microsoft, Ekim 2026 Patch Tuesday paketini 13 Ekim'de yayımladı ve iki kamuya açık sayıma göre de Windows, Office, Exchange Server, Microsoft'un QUIC uygulaması, PostScript yazıcı sürücüsü, DHCP Server ve Message Queuing genelinde 1.400'den fazla ayrı güvenlik açığını ele alıyor. Sürüm notları üzerine yazılmış bir dev.to yazısına göre CrowdStrike 1.413 güvenlik açığı sayarken, Johannes Ullrich'in kaleme aldığı SANS Internet Storm Center günlüğü 1.417 açık sayıyor — hiçbir izleyicinin açıklamadığı dört açıklıklık bir fark bu; bu nedenle alıntılanan her rakamın kaynağını belirtmesi gerekiyor.

Tek bir açık halihazırda sömürülüyor

Sürümdeki tek doğrulanmış sömürülmüş zero-day, Önemli (Important) düzeyinde sınıflandırılan ve 8.8 CVSS puanına sahip bir Windows Shell güvenlik özelliği bypass'ı olan CVE-2026-96951. dev.to analizine göre bu açık, indirilen dosyalardan Mark of the Web etiketini kaldırıyor — bir dosyanın çalışmasına izin verilmeden önce SmartScreen ve Office'in Korumalı Görünümü'nün danıştığı etiket bu. Etiket kaldırıldığında bu aşamadaki uyarılar geçerliliğini yitiriyor; ancak SANS, kurbanın yine de dosyayı açması gerektiğine dikkat çekiyor, yani saldırı sosyal mühendisliğe dayanıyor.

CISA konuyu acil olarak ele aldı: kurum, CVE'yi 13 Ekim'de, yamaların yayımlandığı aynı gün Known Exploited Vulnerabilities kataloğuna ekledi ve düzeltme için 16 Ekim 2026 son tarihini belirledi. Bu üç günlük pencere, çoğu kuruluşun normal güncelleme takviminden daha sıkı. Ayrıca bir mutabakat sorunu daha var — CISA açıklığı "Microsoft Windows Command Injection Vulnerability" olarak adlandırırken Microsoft onu bir güvenlik özelliği bypass'ı olarak sınıflandırıyor; dolayısıyla iki kaydı başlığa göre eşleştirmek başarısız oluyor ve aralarındaki güvenilir bağlantı CVE tanımlayıcısı.

İkinci bir bypass uygulama allow-listing'ini hedefliyor

Detayları sürümden önce yayımlanan CVE-2026-108398, yine Önemli düzeyinde ve CVSS 8.8 puanlı bir .NET Framework açığı. CrowdStrike bunu, sisteme hazırlanmış bir .NET assembly'si yerleştirmek için yerel erişime sahip kimliği doğrulanmış bir saldırgan gerektiren bir Windows Defender Application Control bypass'ı olarak tanımlıyor; SANS, Microsoft'un yayım anında herhangi bir sömürme tespit etmediğini bildiriyor. dev.to yazısı, allow-listing'i yönetim iş istasyonlarında birincil denetim olarak gören yapılar için bu bypass'ın, saldırganın sahip olmayabileceği ağ erişilebilirliği gerektiren daha yüksek puanlı açıklıklara göre öncelik taşıdığını savunuyor.

AD FS sahteciliği ve kritik RCE yığını

İki AD FS sahteciliği açığı, CVE-2026-108131 (CVSS 7.5) ve CVE-2026-96222 (CVSS 7.4), Microsoft tarafından Kritik (Critical) olarak derecelendirildi ve CrowdStrike'a atıfta bulunan dev.to analizine göre ikisi de kimliği doğrulanmamış bir ağ saldırganının federasyon servisini taklit etmesine izin veriyor. Kimlik doğrulama federasyon servisi üzerinden aktığı için, ona güvenen her uygulama da birlikte açığa çıkıyor; mütevazı puanların etkisini küçümsemesinin nedeni bu. İkinci açık hatalı sertifika doğrulamasından kaynaklanıyor ve CrowdStrike'a göre yapılandırma ve ortam bağımlılıkları nedeniyle yüksek saldırı karmaşıklığı gerektiriyor. Kimlik doğrulamayı bir bulut kimlik sağlayıcısına taşıyan kuruluşlar bu belirli çifte maruz değil. Kimlik katmanında ayrıca Active Directory Domain Services'taki CVSS 8.1 puanlı, Kritik düzeyde bir uzaktan kod yürütme açığı olan CVE-2026-70229 bulunuyor.

Office uygulamaları en büyük kritik hata bloğunu taşıyor: Excel, PowerPoint, Visio ve Word'e yayılmış yirmi uzaktan kod yürütme açığı — altısı Önizleme Bölmesi üzerinden tetiklenebilir — artı CVSS 9.8 puanlı beş Outlook RCE'si, ikisi Okuma Bölmesi'nden erişilebilir.

Paketin içeriği

Dağılım, manşet toplamından daha önemli. dev.to analizine göre yükseltilmiş ayrıcalık (elevation of privilege) 677 yamanın (%48), uzaktan kod yürütme 317'sinin (%22), bilgi ifşası ise 254'ünün (%18) karşılığı. On beş güvenlik açığı, DHCP Server, QUIC, PostScript yazıcı sürücüsü ve PDF işleme arasında dağılmış şekilde ağ üzerinden kimliği doğrulanmamış uzaktan kod yürütmeye izin veriyor. CrowdStrike'ın sayımı ayrıca yamalar var olmadan önce kamuya açıkça ifşa edilmiş iki açık içeriyor; SANS ise yöneticilerden müşteri tarafında herhangi bir eylem gerektirmeyen yedi kritik açık bildiriyor.

Neden önemli

Bu sürüm, aynı anda iki güven mekanizması setine dokunuyor: dışarıdan gelen kodun çalışıp çalışamayacağına karar veren denetimler (Mark of the Web ve uygulama allow-listing'i) ile diğer sistemlerin bağlı olduğu kimlik altyapısı (AD DS ve AD FS). dev.to analizinin önerdiği gibi uygulanabilir bir önceliklendirme sırası, CISA son tarihi çoktan geçmiş olan sömürülen Windows Shell açığıyla başlıyor; ardından internete açık federasyon servisleri, sonra kimlik doğrulamasından önce yanıt veren ağ servisleri geliyor. CrowdStrike ile SANS ISC arasındaki dört açıklıklık fark ise daha küçük ama pratik bir ders: yama istatistikleri her zaman onları üreten izleyiciye atfedilmeli, yoksa rakam sonradan mutabık hale getirilemez.