Microsoft'un Eylül 2026 Patch Tuesday'si 974 CVE'yi kapattı; sömürülen iki zero-day dahil

Microsoft'un Eylül 2026 Patch Tuesday'si Windows ve ilgili ürünlerde 974 CVE'yi kapattı; dev.to'daki bir analize göre bu rekor kıran aylık sayı, yabanda halihazırda sömürülen iki güvenlik açığını içeriyor. Analizde atıf yapılan kaynaklar, FreeBuf ve bir Huawei Cloud danışma belgesi dahil, sürümü 9 Eylül 2026 olarak tarihlendiriyor ve zaten devasa olan yama kuyruğunu güvenlik ekipleri için acil bir önceliklendirme alıştırmasına dönüştürüyor.

Eylül'de gelenler

Microsoft'un MSRC sürüm notlarını FreeBuf ve Huawei Cloud özetleriyle harmanlayan dev.to makalesi, 974 düzeltmeyi 438 ayrıcalık yükseltme sorunu, 257 uzaktan kod yürütme (RCE) sorunu ve solucan sınıfında 20 güvenlik açığı olarak bölümlüyor. Sürüm ayrıca, e-postayla gönderilen bir Visio dosyası üzerinden tetiklenebilen Kritik dereceli bir Exchange RCE açığı içeriyor; bu dağıtım yolu, internetten erişilebilen Exchange OWA kurulumlarında en fazla önem taşıyor.

Sömürülen iki zero-day

Sürüm, aktif sömürü altındaki iki zero-day listeliyor: Windows Update Stack'teki CVE-2026-81963 ve ALPC'deki CVE-2026-85880. İkisi de yerel ayrıcalık yükseltme hataları. Bu ayrıntı önceliklendirmeyi şekillendiriyor. Bunlar bir saldırganın ağa sızmak için kullandığı giriş noktaları değil; daha çok, bir kötü amaçlı yazılım enfeksiyonu veya hesap ele geçirme sonrası, zaten bir ayak bağı varsa erişimi pekiştirmeye yarayan araçlar. Hâlâ hızlı yama gerektiriyorlar ama internete açık, yamasız bir RCE'den çok farklı türde bir risk oluşturuyorlar.

Yama durumunun dışa açık yüzeyle birleştirilmesi

Makalenin merkezindeki argüman, ekiplerin aylık sürümü yalnızca iç düzeltme biriktası olarak görmeye eğilimli olduğu; oysa internet çapında varlık haritalamasının dışarıdan tamamlayıcı bir bakış sunabileceğidir. Yama kuyruğunu dışa açıklığa göre sıralanmış hale getirmek için üç sorgu öneriyor:

• Kurulum veya ASN başına harici RDP ve uzaktan erişim servislerini listelemek; böylece sömürülen zero-day'lerin önceliklendirmesi, saldırganların tipik olarak bir RCE köprübaşı kurduğu uzak erişim servislerinin açıklık önceliklendirmesiyle yan yana gelir.
• Exchange OWA ve diğer webmail yüzeylerini ayrı izlemek; çünkü webten erişilebilen kurulumlar, Visio-dosyayla-e-posta yolunun sömürülebilir hale geldiği kitledir.
• Dağıtımdan sonra harici banner'ları ve servis sürümlerini yeniden tarayıp görünür ayak izinin gerçekten küçüldüğünü doğrulamak; bu, iç uyumluluk raporlarına karşı bir çapraz kontrol görevi görür.

Yazar, ZoomEye'ı bu sorgu kalıplarını ürün, servis ve sürüm parmak izleriyle destekleyen bir haritalama platformu örneği olarak gösteriyor.

Haritalamanın göremedikleri

Yazı, dışarıdan-içeriye bakışın sınırları konusunda açık sözlü. Harici parmak izleme, güvenlik duvarı arkasındaki ana bilgisayarların yama düzeyini göremez ve sürüm banner'ları bulut ve container'lı dağıtımlarda gerçek sürümün gerisinde kalabilir. Eylül'ün iki zero-day'si dahil yerel ayrıcalık yükseltmeleri dışarıdan tamamen görünmezdir ve bunun yerine iç envanter gerektirir. Önerilen sorumluluk paylaşımı basit: yama durumu iç araçların işi, internetten görünür açıklık haritalamanın işi; öncelikler ise bu iki veri setini birleştirmekten doğar. Yazar ayrıca, makale için canlı haritalama sorgularının yazım anında sorgu kanalı kullanılamadığı için çalıştırılmadığını ve sayıların ile CVE tanımlayıcılarının atıf yapılan danışma belgelerinden geldiğini de belirtiyor.

Neden önemli

Bu boyutta bir sürüm tek seferde yamanamaz; önceliklendirilmesi gerekir. Eylül sayıları uygulayıcılara somut bir önceliklendirme kuralı veriyor: iç yama durumunu dış açıklığa karşı tartın. Etkilenen uzaktan erişim bileşenlerini çalıştıran internetten erişilebilir sistemler veya web'e bakan Exchange ön uçları, aynı şekilde yamasız iç iş istasyonlarından önemli ölçüde daha fazla risk taşıyor; çünkü RCE ve solucan sınıfı açıklar doğrudan bu dışa açıklığa denk düşüyor. Sömürülen iki zero-day ise tabloyu tersine çeviriyor: bunlar, hızlı yama artı iç izleme ile ele alınması en iyi olan sonrası-sızma hatalarıdır. Rekor boyutlu Patch Tuesday'lerin tekrarlanması muhtemel görünüyor ve bu seferden kalıcı ders iş akışı. İç envanteri dış bakışla birleştirin; biriktığı duvarı andıran 974 kalem yerine sıralanmış bir kuyruğa dönüşür.