10 Kasım 2026’da Microsoft, Outlook’ta özel hazırlanmış bir mesaj dosyası açıldığında Windows kimlik doğrulama bilgisinin (NTLMv2 hash) saldırganın kontrol ettiği bir ağ konumuna sızabildiği bir açığın (CVE-2026-124194) güvenlik güncellemesini yayımladı ve açığın istismarının tespit edildiğini bildirdi. CISA aynı gün açığı bilinen istismar edilen açıklar kataloğuna (KEV) ekledi. Bu yazı, bildirilenleri kaynağına göre ayırır, nelerin bilinmediğini söyler ve kurumlar için uygulanabilir adımları sıralar.
Kısaca
- Ne oldu: Microsoft, Outlook için bir “sahtecilik (spoofing)” açığı yayımladı. Microsoft’un kaydına göre özel hazırlanmış bir mesaj dosyası açıldığında Outlook, saldırganın kontrol ettiği bir ağ konumuna bağlanabiliyor ve bunu yaparken olağan dış içerik uyarısını göstermiyor; bağlantı sırasında Windows kimlik doğrulama bilgisi (NTLMv2 hash) saldırgana ulaşabiliyor.
- İstismar var mı? Evet, Microsoft “Exploitation Detected” (istismar tespit edildi) olarak işaretlemiş. Açığın daha önce kamuya açıklanmadığı da kayıtta belirtiliyor.
- CISA: 10 Kasım 2026’da açığı KEV kataloğuna ekledi (katalogdaki adı: “Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability”). KEV kaydındaki son tarih (due date) 24 Kasım 2026; fidye yazılımı kampanyalarında kullanımı kayıtta “Unknown” (bilinmiyor) olarak görünüyor.
- Saldırı için ne gerekiyor? Hesap ya da önceden erişim gerekmiyor; kullanıcının dosyayı açması (kullanıcı etkileşimi) ve ağ bağlantısı gerekiyor. Microsoft, Önizleme Bölmesi’nin saldırı vektörü olmadığını belirtiyor.
- Puan ile istismar farklı şeyler: Microsoft’un verdiği CVSS 3.1 temel puanı 6.5 (“Moderate”). Yama önceliğini belirlerken puana değil, “istismar tespit edildi” ve KEV kaydına bakın.
- Ne yapmalı: Kasım 2026 Office güvenlik güncellemesini uygulayın, Office sürüm numaralarını doğrulayın, internete çıkan SMB (TCP 445) trafiğini engellemeyi değerlendirin (bizim önerimiz, aşağıda).
- Bilinmeyenler: Kimlerin istismar ettiği, kaç kurum etkilendi, faaliyetin ne zaman başladığı, kampanya ya da saldırgan bilgisi ve NVD’nin resmî değerlendirmesi.
Ne zaman, kim ne söyledi?
| Tarih (2026) | Olay | Kaynak |
|---|---|---|
| 10 Kasım | Microsoft güvenlik güncellemesini ve CVE-2026-124194 kaydını yayımlıyor; “Exploited: Yes”, “Publicly disclosed: No”. | Microsoft (MSRC) |
| 10 Kasım | CISA, açığı KEV kataloğuna ekliyor; duyuru aynı tarihli. KEV kaydındaki son tarih (due date) 24 Kasım 2026. | CISA |
| 11 Kasım | Haber siteleri açığı ve istismarı haberleştiriyor (ör. Cyber Security News). | Haber siteleri (ikincil) |
Microsoft’un kaydındaki teşekkür bölümünde açığı bildirenler olarak “nono” ve “Benoît Sevens using Claude with Anthropic” anılıyor (kaynak: MSRC kaydı).
Açık nasıl çalışıyor?
Microsoft’un tarifine göre saldırgan, kurbana özel hazırlanmış bir mesaj dosyası iletir. Kurban dosyayı Outlook’ta açtığında Outlook, saldırganın kontrol ettiği bir ağ konumuna bağlanır ve bu sırada dış içerik için gösterdiği olağan uyarıyı göstermez. Bağlantı, Windows kimlik doğrulama bilgisinin (NTLMv2 hash) saldırgana ulaşmasına yol açabilir. Microsoft açığın türünü “spoofing” olarak, zayıflığı CWE-356 (“ürün arayüzü kullanıcıyı güvensiz eylemlere karşı uyarmıyor”) olarak sınıflandırıyor; CISA, katalogdaki adında “Missing User Interaction for Potentially Unsafe Action” ifadesini kullanıyor.
Microsoft’un SSS bölümü sızan şeyi açıkça yazıyor: açık, kullanıcının NTLMv2 hash’ini saldırgana ifşa ediyor ve saldırgan bunu kullanıcı olarak kimlik doğrulamak için kullanabilir. Sızan şey hash’tir, parolanın kendisi değil. Microsoft, CVSS’in zamansal metriklerinde istismar kodu olgunluğunu “High”, düzeltme düzeyini “Official Fix” ve rapor güvenini “Confirmed” olarak işaretlemiş. Saldırganların sızan değerlerle gerçekte ne yaptığını ve kaç kişiyi hedef aldığını kaynaklar bildirmiyor.
Kimler etkileniyor?
Microsoft’un kaydındaki güvenlik güncellemeleri tablosu şu ürünleri listeliyor (32 ve 64 bit ayrı satırlar):
- Microsoft 365 Apps for Enterprise
- Microsoft Office LTSC 2021
- Microsoft Office LTSC 2024
Microsoft’un tablosunda düzeltilmiş build numaraları şöyle: Office LTSC 2021 için 16.0.14334.21048, Office LTSC 2024 için 16.0.17932.21140. Microsoft 365 Apps için tablo, build numaraları için Microsoft’un Office güvenlik sürümleri sayfasına (aka.ms/OfficeSecurityReleases) yönlendiriyor; kanalınıza uygun build’i oradan doğrulayın. Tabloda yeni Outlook, Mac, web ve mobil sürümler listelenmiyor; Microsoft bu sürümlerin etkilenmediğini ayrıca yazmıyor, kendi kurulumlarınız için kaydı kontrol edin.
Ne yapmalısınız?
- Güncelleyin. Kasım 2026 Office güvenlik güncellemelerini, kurumunuzun kullandığı dağıtım kanalıyla (Microsoft 365 Apps güncelleme kanalları, WSUS/Configuration Manager vb.) uygulayın. Microsoft istismar tespit ettiğini bildirdiği için öncelik sırasında “Moderate” puanına bakmadan öne alınması makul.
- Sürümleri doğrulayın. Tüm uç noktalarda Office build numarasını envanterden çıkarın; yama alınmamış 32 ve 64 bit kurulumları, kapalı kalmış cihazları ve uzaktan çalışan kullanıcıları ayrıca arayın.
- Giden SMB’yi engellemeyi değerlendirin (bizim önerimiz). Microsoft’un kaydında bu açık için bir azaltma önerisi yok. NTLM hash sızıntılarında genel sertleştirme olarak internete çıkan SMB (TCP 445) trafiğini ağ kenarında engellemek yaygın bir uygulamadır; Microsoft saldırganın hangi protokolle bağlandığını kayıtta yazmadığı için bunu yamanın yerine geçen ya da tek bir önlem olarak görmeyin. Önce kendi ortamınızda internete çıkan 445 bağlantılarının zaten kapalı olup olmadığına bakın.
- Günlüklere bakın (bizim önerimiz, kaynaklarda yok). Uç noktalardan internete giden alışılmadık SMB bağlantıları, Outlook sürecinden dış adreslere giden bağlantılar ve şüpheli mesaj dosyalarının geldiği e-posta geçidi günlükleri gözden geçirilebilir. Kaynaklarda tespit göstergesi (IOC) paylaşılmadı; elimizde bir gösterge listesi yok.
- Şüphe varsa (bizim önerimiz): Şüpheli bir mesaj dosyası açıldığı düşünülen kullanıcıların parolalarını değiştirmeyi ve o hesapların son kimlik doğrulama etkinliklerini incelemeyi değerlendirin; kararı kendi risk değerlendirmenize göre verin.
- NTLM’yi azaltmayı planlayın (genel sertleştirme). Mümkünse NTLM kullanımını denetleyin ve kısıtlayın; bu olayın doğrudan önlemi olmasa da kimlik bilgisi sızıntılarının etkisini azaltır.
Zafiyet taraması ve sızma testi bu tür bir olayda ne işe yarar?
Sınırı baştan koyalım: bu, bir yamayla kapanan ürün açığıdır. Hiçbir tarama ya da test, bir kurumun istismara uğramadığını ya da uğramayacağını garanti etmez; tespit için günlükleriniz ve uç nokta/ağ izlemeniz gerekir.
- Hangi sürümler yamasız? Kimlik bilgisiyle yapılan bir iç ağ zafiyet taraması, uç noktalardaki kurulu Office sürümlerini ve eksik güncellemeleri listeleyebilir; envanterinizle karşılaştırmak için kullanılır. Tarama yalnız erişebildiği ve kapsamda olan sistemleri görür.
- Ağ kenarında SMB çıkışı. İç ağ sızma testi, iç ağdaki sistemlerin dışarıya SMB (445) bağlantısı kurup kuramadığını ve NTLM kimlik doğrulamasının ağda ne kadar açık olduğunu sınayabilir; sonuç test kapsamıyla sınırlıdır.
- Kullanıcı davranışı. Sosyal mühendislik testi, çalışanların beklenmedik e-posta eklerini ne ölçüde açtığını, kurumunuzun yetkilendirdiği kapsamda ölçer.
- Yeniden test. Güncelleme ve kural değişikliklerinden sonra yapılan yeniden test, test kapsamındaki durumun düzeldiğini gösterir; ağ ve sistem ayarlarının ayrıca doğrulanması gerekir.
Seemarter Security ile
Ortamınızdaki Office sürümlerini ve ağ çıkışlarını incelemek için zafiyet taraması ve sızma testi hizmetlerimizi inceleyebilir ya da bizimle iletişime geçebilirsiniz. Tüm çalışmalar, sistem sahibinin yazılı yetkisiyle ve önceden anlaşılan kapsamda yürütülür.
Kaynaklar
- Microsoft MSRC: CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability (10 Kasım 2026)
- CISA: CISA Adds Six Known Exploited Vulnerabilities to Catalog (10 Kasım 2026)
- CISA: Known Exploited Vulnerabilities Catalog
- Cyber Security News: Hackers Are Exploiting Outlook 0-Day to Steal Windows Authentication Hashes (11 Kasım 2026)
Bu yazı 11 Kasım 2026’ya (TSİ) kadar yayımlanmış kaynaklara dayanır; olay sürdüğü için gelişmelere göre güncellenir. Kimin istismar ettiği, etkilenen kurum sayısı, NVD’nin değerlendirmesi, kamuya açık kavram kanıtı ve Microsoft 365 Apps kanal bazlı düzeltilmiş sürümler yazıya eklenecektir.