Microsoft'un Ekim güncellemesi KB5002927, SharePoint path traversal açığı CVE-2026-108452'yi kapatıyor

Microsoft'un SharePoint Server Subscription Edition için Ekim 2026 güvenlik güncellemesi KB5002927, CVSS 3.1 ölçeğinde 8.8 puan alan ve Microsoft'a göre yetkili bir ağ saldırganının kod çalıştırabilmesine yol açabilecek path traversal açığı CVE-2026-108452'yi kapatıyor. Ancak bu düzeltme rutin bir paket kurulumu değil. Microsoft'un destek dokümantasyonunu özetleyen bir dev.to yazısına göre güncelleme, eşgüdümlü bir farm değişikliği olarak uygulanmalı; bunun için bir sıralama ön koşulu, workflow manager bağımlılığı ve her sunucuda build doğrulaması gerekiyor.

Güncelleme ne yapıyor

KB5002927, 13 Ekim 2026 tarihli güvenlik güncellemesi olup SharePoint Server Subscription Edition'ı 16.0.20326.20190 sürümüne yükseltiyor. Güvenlik açığını içeren aralık 16.0.0'dan düzeltilmiş sürümün altındaki tüm build'lere uzanıyor. CVE kaydı x64 sistemlerdeki SharePoint Server Subscription Edition'ı kapsıyor; yazı, SharePoint 2019, SharePoint 2016 ve bulut hizmetlerinin üretici kaydı kontrol edilmeden kapsam dahilinde varsayılmaması gerektiği uyarısında bulunuyor.

Yüksek önem dereceli bir path traversal açığı

Bu kusur CWE-22 path traversal olarak sınıflandırılıyor. Microsoft, CVSS 3.1 üzerinde 8.8 puan veriyor; düşük ayrıcalık yeterli ve kullanıcı etkileşimi gerekmiyor; yani etkilenen yola erişebilen düşük ayrıcalıklı bir hesap, herhangi bir kullanıcı eylemi olmadan kod çalıştırabilir. Yazı, puanın tek başına harekete geçmek için yegâne neden olmadığını vurguluyor: SharePoint, genellikle hassas belgeleri barındıran ve kimlik, iş akışı ile veri sistemlerine bağlanan bir iş birliği platformudur.

Workflow manager ön koşulu

Yazıda atıf yapılan Microsoft Support yönergelerine göre, SharePoint Workflow Manager çalıştıran farm'lar, KB5002927'yi uygulamadan önce KB5002799'u kurmalı. Klasik Workflow Manager sürümü için destek makalesi ayrıca devam etmeden önce bir debug bayrağının etkinleştirilmesini şart koşuyor. Yazı, bakım penceresinden önce her farm sunucusunda build'in doğrulanmasını, farm topolojisinin ve iş akışı hizmetlerinin konumunun belgelenmesini ve ekip için normal değişiklik süreci üzerinden yedeklerin ve kurtarma sorumluluğunun teyit edilmesini öneriyor; çünkü başarısız veya kısmi bir farm güncellemesi test edilmiş bir kurtarma yolu gerektiriyor.

Dağıtım ve doğrulama

Güncelleme Microsoft Update, Microsoft Update Catalog ve Microsoft Download Center üzerinden sunuluyor ve üreticinin farm dağıtım kılavuzu izlenerek uygulanmalı. Yazı, tek bir makinede kurulumun başarılı çıkış kodu vermesinin farm genelinde kanıt olmadığı uyarısında bulunuyor. Kurulumdan sonra ekipler her sunucunun build'ini, iş akışı bağımlılık durumunu ve güncellenen bileşenlere bağlı sitelerin ile hizmet uygulamalarının davranışını kontrol etmeli, ardından nihai envanteri onaylı sunucu listesiyle karşılaştırmalı. Değişiklik sırasında çevrimdışı kalan bir sunucu, yamalanıp doğrulanana kadar istisna listesinde kalmalı. Yazının önerdiği başarı ölçütü basit: ilgili her sunucu ve bileşen 16.0.20326.20190 veya daha yeni bir build raporlamalı.

Harici taramalar ne gösteriyor

Yazıya göre ZoomEye, 3 Kasım 2026'da app="Microsoft SharePoint" için 163.243 eşleşme döndürürken, CVE filtresi sıfır sonuç verdi. Yazı, ürün sayısının bir keşif aracı olduğunu, eşleşen tüm sistemlerin güvenlik açığı taşıdığının kanıtı olmadığını vurguluyor: tarama, açığa sahip bir sistemin Subscription Edition olup olmadığını, hangi build'i çalıştırdığını veya düşük ayrıcalıklı bir hesabın etkilenen yola erişip erişemediğini gösteremiyor. Harici sinyalin önerilen kullanımı, dahili envanteri sorgulamak. Varlık yönetimi listesinde yer almayan dışa dönük bir SharePoint adayı için sahiplik ve sürüm açısından inceleme yapılmalı; düzeltilmiş build'in altındaki dahili bir farm için ise yama sıralaması ve erişim kısıtlamalarından sorumlu bir isim belirlenmeli.

Geçici önlemler

Dağıtımın beklemesi gereken durumlarda yazı, ağ erişilebilirliğini azaltmayı, devredilmiş erişimleri gözden geçirmeyi, düşük ayrıcalıklı ve iş ortağı kimliklerini yalnızca gerçekten ihtiyaç duydukları sitelerle işlemlerle sınırlandırmayı ve olağandışı sunucu tarafı dosya etkinliği ile kimliği doğrulanmış kullanıcılardan gelen şüpheli istekleri izlemeyi öneriyor. Yazı ayrıca birincil kaynakların test edilmiş bir geçici çözüm tanımlamadığını belirtiyor; dolayısıyla bu önlemler istismar edilme riskini azaltır ama yamanın yerini tutmaz.

Neden önemli

CVE-2026-108452, kurumların en hassas belgelerini sık sık barındıran bir platformdaki, 8.8 puanlı, kimlik doğrulaması gerektiren bir path traversal açığı. Yamanın kendisi de operasyonel risk taşıyor: KB5002799 ön koşulunun atlanması veya farm güncellemesinin yarıda kesilmesi dağıtımı kısmi bir durumda bırakabilir; bu yüzden yedekler ve test edilmiş bir kurtarma yolu önemli. Asıl konu burada build doğrulama disiplini. "Tamamlandı" tanımını "kurulum bitti" yerine "her bileşen düzeltilmiş build'de, ön koşullar karşılanmış, harici erişim envanterle mutabık kılınmış" olarak ele almak, kapatılmış bir talep ile hâlâ savunmasız bir farm arasındaki farktır. SharePoint Subscription Edition çalıştıran BT ekipleri bunu bir paket iterlemesi değil, eşgüdümlü bir değişiklik olarak planlamalı.