SharePoint CVE-2026-108452: KB5002927 ile kapatılan 8.8 şiddetinde path traversal açığı

Açığın sade bir anlatımı

3 Kasım 2026'da dev.to'da yayımlanan bir analiz, Microsoft'un kaydında CWE-22 path traversal sorunu olarak sınıflandırılan Microsoft Office SharePoint açığı CVE-2026-108452'yi ele alıyor. CVSS 3.1 puanı 8.8 ve satıcı, yetkili bir saldırganın ağ üzerinden kod çalıştırabildiğini belirtiyor. Saldırı yalnızca düşük ayrıcalıklar gerektiriyor, kullanıcı etkileşimi gerekmiyor ve hem gizlilik hem bütünlük etkisi Yüksek olarak derecelendirilmiş.

Etkilenen kapsam belirli: x64 sistemlerde Microsoft SharePoint Server Subscription Edition, 16.0.0'dan 16.0.20326.20190'a kadar (bu sürüm hariç) tüm build'leri kapsıyor. Düzeltilmiş build, 13 Ekim 2026 tarihli KB5002927 ile geliyor. dev.to yazısına göre Microsoft Support, SharePoint Workflow Manager çalıştıran farm'lar için ön koşul olarak ayrıca KB5002799'u listeliyor; klasik kurulumlar için ise ek bir debug-flag adımı öngörülüyor.

Maruziyet sayısı neden mağdur sayısı değil

Yazının öne çıkardığı merkezî gerilim, güvenlik ekiplerinin elinde aynı anda bulunan iki sayı arasındaki uçurum: büyük bir dış maruziyet sayısı ve çok daha küçük bir doğrulanmış etkilenen host listesi. 3 Kasım 2026'da ZoomEye, Microsoft SharePoint ürün parmak izi için 163.243 eşleşme döndürdü. Ancak yazarın da belirttiği gibi, bir parmak izi eşleşmesi build sürümü veya dağıtım sürümü hakkında hiçbir şey söylemiyor. Başka kuruluşlara ait servisleri, honeypot'ları, test dağıtımlarını veya yanıltıcı başlıklara sahip sistemleri içerebilir.

Bu arada CVE-2026-108452'ye özel ZoomEye sorgusu sıfır sonuç döndürdü. dev.to analizi bunun ne anlama geldiğine dikkatli yaklaşıyor: bu, ürün maruziyetini ortadan kaldırmıyor. Bunun yerine, kontrol anında indeksin bu CVE'yi eşleşen bir varlıkla ilişkilendirmediğini gösteriyor; bu sonuç sürüm görünürlüğü, tarama zamanlaması ve indeksleme davranışından etkileniyor.

Dört adımlı bir önceliklendirme çerçevesi

Yazı, belirsiz veriyi savunulabilir bir karara dönüştürmek için dört adım öneriyor. Birincisi, kuruluşa ait olmayan varlıkları eleyin. İkincisi, kalan her varlığın gerçekten başka bir SharePoint ürünü değil, SharePoint Server Subscription Edition olduğunu belirleyin. Üçüncüsü, build numarasını 16.0.20326.20190 ile karşılaştırarak doğrulayın. Dördüncüsü, doğrulanmış savunmasız host'ları internet erişilebilirliğine ve kimlik maruziyetine göre sıralayın.

Bu çerçevede en düşük riskli karar, doğrulanmış biçimde savunmasız ve internete açık bir farm'ı, düşük ayrıcalıklı erişim mümkünken yamalamaktır. İzole bir farm da güncellemeye ihtiyaç duyar, ancak zamanlaması dış erişimin yokluğunu göz önünde bulundurabilir. Dikkat edilmesi gereken bir uç durum var: dahil olduğu varsayılan ama dış arama sonuçlarında görünen bir host, aksi kanıtlanana kadar bir envanter tutarsızlığı olarak ele alınmalıdır.

Ne zaman düzelmiş sayılır

Yazarın önerdiği kapanma ölçütü, kapatılmış bir change ticket değil, farm'daki her sunucuda doğrulanmış bir build'dir. Bu, kurulu KB5002927 sonucunun ve bildirilen sürümün kaydedilmesini ve workflow ön koşullarının onaylanmasını gerektirir. Bir host atlanırsa, iş sahibi, gerekçe ve uygulanan erişim kısıtlamaları kayda geçirilmelidir.

Geçici önlemler

Yama uygulanana kadar önerilen savunma önlemleri şunlar: yönetim ve yazma arayüzlerine güvenilmeyen erişimi sınırlamak, SharePoint üzerinde işlem yapabilen devredilmiş izinleri ve uygulama kimliklerini gözden geçirmek, olağandışı kimlik doğrulamalı istekleri sunucu tarafı dosya etkinliğiyle birlikte izlemek. dev.to yazısı, bunların test edilmiş bir geçici çözüm değil savunma tercihleri olduğu ve açığı ortadan kaldırdığı şeklinde sunulmaması gerektiği konusunda açık.

Neden önemli

CVE-2026-108452, bilinen bir düzeltilmiş build'e sahip somut ve yamalanabilir bir açık; bu da önceliklendirmeyi gerçekten eyleme dönüştürüyor. Daha geniş ders metodolojik: büyük bir parmak izi nüfusu bir keşif sinyalidir, savunmasızlık sayımı değil; ve sıfır sonuçlu bir CVE sorgusu da güvende olmanın kanıtı değildir. Güvenlik ekiplerinin hem aday varlıkları bulmak için dış maruziyet verisine hem de bu listeyi yama kararlarına dönüştürmek için satıcının build eşiğine ihtiyacı var. Büyük sayıyı doğrulanmış mağdur olarak görmek eforu boşa harcatır; CVE sorgusu sonuç döndürmedi diye onu görmezden gelmek ise savunmasız build'ler çalıştıran internete açık farm'ların gözden kaçması riskini taşır.