Microsoft Eylül 2026 Patch Tuesday ile 999 Zafiyeti Yama Altına Alıyor
Microsoft, Eylül 2026 güvenlik bülteniyle yazılım tarihindeki en yoğun yama döngülerinden birini başlattı. Şirket, kendi ürünlerinde 974 zafiyeti ve üçüncü taraf kaynaklı 25 CVE'yi içeren toplam 999 güvenlik açığını tek bir günde kapattı. Bu devasa yama paketi, özellikle Windows tarafında 723 ayrı zafiyeti hedef alıyor.
Güvenlik güncellemeleri arasında, saldırganlar tarafından aktif olarak sömürüldüğü bilinen iki kritik sıfırıncı gün (zero-day) zafiyeti öne çıkıyor. Bunlardan ilki olan CVE-2026-85880, Windows Gelişmiş Yerel Prosedür Çağrısı (ALPC) mekanizmasındaki bir bellek taşması hatasından kaynaklanıyor. Bu açık, saldırganların sistem üzerinde SYSTEM yetkilerine erişmesine olanak tanıyor. İlginç bir şekilde, Windows 11 ve Server 2025 sürümleri bu yamanın dışında tutuluyor; bu durum, Microsoft'un çekirdek bileşenlerini Rust ile yeniden yazarak bellek güvenliğini artırma çabalarının sonuç verdiğine işaret ediyor.
İkinci kritik açık olan CVE-2026-81963 ise Windows Güncelleme Yığını'nı hedef alıyor. Hatalı bağlantı çözünürlüğü nedeniyle tetiklenen bu yetki yükseltme zafiyeti, saldırganların düşük yetkili bir yerel erişimi, sistem genelinde tam yetkiye dönüştürmesini sağlıyor. CVSS v3 puanı 7.8 olarak belirlenen bu açık, karmaşık uzaktan kod yürütme saldırılarına gerek kalmadan, iki aşamalı bir saldırı zinciriyle sistemin ele geçirilmesine yol açabiliyor.
Microsoft Edge kullanıcıları için durum biraz daha karmaşık bir hal alıyor. Google Chrome, 3 Eylül'de V8 JavaScript motorundaki CVE-2026-85046 kodlu sıfırıncı gün açığını yamalamış olsa da, Microsoft bu zafiyet için henüz resmi bir güvenlik danışma belgesi yayınlamadı. Edge tarayıcısı için yama 2 Eylül'de sessizce dağıtılmış olsa da, ilgili güvenlik danışma sayfasının hala 404 hatası vermesi, kullanıcıların hangi zafiyetlerin giderildiğini takip etmesini zorlaştırıyor. Microsoft'un bu belirsizliği giderene kadar, Chrome ile paylaşılan diğer 11 zafiyetin Edge üzerinde koruma altında olup olmadığı netlik kazanmış değil.
Ekim 2026 itibarıyla Microsoft ürün ekosisteminde önemli destek sonları yaşanacak. Windows 11 24H2 Home ve Pro sürümleri ile Windows Server 2022, destek süreçlerinde kritik eşiklere ulaşıyor. Ayrıca, Windows Server 2012 ve 2012 R2 için sunulan ücretli Genişletilmiş Güvenlik Güncellemesi (ESU) programı da tamamen sona eriyor. Office 2021 ve Exchange Server 2016/2019 sürümleri de bu tarihten itibaren güvenlik güncellemelerini almayacak olan ürünler listesine ekleniyor.
