Ekim 2026 Patch Tuesday özeti: 3 sıfırıncı gün, sunucularda 9,8'lik açıklar

Microsoft'un Ekim 2026 Patch Tuesday güncellemeleri 13 Ekim 2026'da yayımlandı. Küçük ve orta ölçekli işletmeler (KOBİ) için en önemli başlıklar: aktif olarak istismar edilen bir Windows Shell sıfırıncı günü, sunucularda 9,8'lik uzaktan kod çalıştırma açıkları, Outlook'ta önizleme bölmesinden tetiklenebilen kritik açıklar ve Exchange için son bir güncelleme.

Rakamlar: Kaynağa göre yaklaşık 1.400

Bu ay kapatılan açık sayısında kaynaklar tam uzlaşmıyor, çünkü sayım yöntemleri farklı. BleepingComputer 13 Ekim günü yayımlanan 1.411 açıktan (bunların dışında ay içinde daha önce kapatılan 348 açık hariç), SecurityWeek 1.413, SecPod 1.407 CVE'den söz ediyor. Bu yüzden kesin bir rakam vermek yerine "yaklaşık 1.400" demek daha doğru. Microsoft'a göre bu ay 3 sıfırıncı gün kapatıldı: biri istismar ediliyor, ikisi kamuya açıklanmıştı.

Üç sıfırıncı gün

CVE-2026-96951 (Windows Shell, 8,8): Bir komut enjeksiyonu açığı, saldırganın Mark of the Web (MOTW) korumasını aşmasını sağlıyor. Microsoft "istismar tespit edildi" diyor; CISA açığı 13 Ekim'de Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. Kullanıcının hazırlanmış bir dosyayı açması gerekiyor. Microsoft bir geçici çözüm (workaround) yayımlamadı, tek düzeltme Ekim kümülatif güncellemesi.

CVE-2026-108398 (.NET Framework, 8,8): Kimliği doğrulanmış bir saldırganın Windows Defender Application Control (WDAC) kısıtlamasını aşıp korunan bir süreç içinde kod çalıştırmasına izin veriyor. Kamuya açıklanmış, istismar bildirilmedi.

CVE-2026-92707 (MessagePack-CSharp, 5,3): Ağ üzerinden hizmet reddine (DoS) yol açan bir açık. Kamuya açıklanmış, istismar bildirilmedi. Daha çok .NET/SignalR kullanan uygulamaları ilgilendiriyor.

Sunucularda öne çıkanlar

Öncelik sırası: DHCP ve MSMQ çalıştıran sunucular ile etki alanı denetleyicileri (domain controller) ve internete açık Remote Desktop Gateway sunucuları. QUIC açıkları, QUIC kullanan hizmetler için önemli.

Outlook ve Exchange

Outlook'ta iki kritik RCE (9,8): CVE-2026-70291 ve CVE-2026-88156. Microsoft, her ikisinde de Önizleme/Okuma Bölmesi'nin (Preview Pane) bir saldırı vektörü olduğunu belirtiyor: Hazırlanmış bir e-postayı yalnızca Okuma Bölmesi'nde görmek, mesajı açmadan veya tıklamadan kodu tetikleyebilir. Outlook güncellemesini istemci güncellemeleriyle aynı hızda dağıtın.

Exchange CVE-2026-70571 (8,1, Kritik): Ayrıntısı için ayrı güvenlik bültenimize bakın. Özet: Exchange SE için KB5128895, 2019 CU15 için KB5128896; 2016/2019 güncellemeleri yalnızca Period 2 ESU'ya kayıtlı kurumlara sunuluyor ve bu, 2016/2019 için son güvenlik güncellemesi.

Windows Server güncelleme numaraları (13 Ekim 2026)

Bir not: Windows Server 2012/R2 için Genişletilmiş Güvenlik Güncellemeleri (ESU) 13 Ekim 2026'da sona erdi. Microsoft'un yaşam döngüsü sayfasına göre bu tarihten sonra 2012/R2 sunucularına güvenlik güncellemesi çıkmayacak. Hâlâ 2012/R2 çalıştırıyorsanız bu ayki güncellemeler size gelmiyor; desteklenen bir sürüme geçiş planı artık ertelenemez.

KOBİ'ler için eylem planı

1. Kümülatif güncellemeleri kurun: Önce sunucular (özellikle DHCP, MSMQ, etki alanı denetleyicileri, RD Gateway, Exchange, SharePoint), ardından tüm istemciler. Yeniden başlatmaların tamamlandığından emin olun; yarıda kalan güncelleme koruma sağlamaz.
2. Outlook'u aynı hızda güncelleyin: Önizleme bölmesi açıkları nedeniyle istemci tarafını sunuculardan sonraya bırakmayın.
3. Exchange'i kontrol edin: ESU'lu 2016/2019'da KB5128896/KB5128897/KB5128898, SE'de KB5128895 kurulu mu bakın. ESU'nuz yoksa Exchange yükseltme/taşıma kararı bu ay verilmeli.
4. Desteksiz sistemleri listeleyin: Server 2012/R2 (ESU bitti) ve desteği bitmiş Exchange 2016/2019. Bu sistemler için artık "sonra yamalarız" seçeneği yok; izole edin ve geçiş tarihini netleştirin.
5. Sonucu doğrulayın: WSUS/Intune raporlarında başarısız güncellemeleri, yeniden başlatma bekleyen cihazları kontrol edin.

Doğa Network nasıl yardımcı olabilir?

Ekim güncellemelerinin sunucu ve istemcilerinizde planlı, kontrollü dağıtımı, Exchange SE yükseltmesi veya Microsoft 365'e taşıma, Server 2012/R2 ve Exchange 2016/2019 gibi desteksiz sistemler için geçiş planı ve lisans hesabı konusunda ekibimiz destek verebilir. Bize 0850 888 3642 numaralı telefondan veya hi@doga.network adresinden ulaşabilirsiniz.

Kaynaklar

• MSRC – Security Update Guide, Ekim 2026
• MSRC – CVE-2026-96951 (Windows Shell)
• CISA – KEV kataloğuna ekleme duyurusu, 13 Ekim 2026
• MSRC – CVE-2026-70571 (Exchange Server)
• Microsoft Support – SharePoint Server SE, 13 Ekim 2026 (KB5002927)
• Microsoft Support – Windows Server 2025 (KB5126646), Server 2022 (KB5126655), Server 2019 (KB5126651), Server 2016 (KB5126868)
• Toplam sayı için ikincil kaynaklar: BleepingComputer (1.411), SecurityWeek (1.413)