2025’in ilk Yaması Salı: Birkaç sıfır gün düzeltmesi dahil 159 yama

Microsoft 2025’e bu ay Windows, Microsoft Office ve Visual Studio için 159 yama ile sekiz sıfır günü ele alan büyük bir yama sürümüyle başladı. Hem Windows hem de Microsoft Office’in Ocak ayı için “Şimdi Yama” önerileri (tarayıcı veya Exchange yaması olmadan) var.

Microsoft ayrıca önemli bir açıklama yayınladı hizmet yığını güncellemesi (SSU), masaüstü ve sunucu platformlarının güncellenme şeklini değiştirerek MSI Installer, MSIX ve AppX paketlerinin nasıl yüklendiği, güncellendiği ve kaldırıldığı konusunda ek testler gerektirir.

Bu değişikliklere uyum sağlamak için Hazırlık ekibi şunları sağladı: bu yararlı infografik güncellemeleri dağıtmanın risklerini ayrıntılarıyla anlatıyor.

Bilinen sorunlar

Readiness, kurumsal masaüstü bilgisayarları etkileyen daha ciddi güncelleme sorunlarının ayrıntılarını belirlemek için hem Citrix hem de Microsoft ile birlikte çalıştı:

• Windows 10/11: Ekim 2024 güvenlik güncelleştirmesinin yüklenmesinin ardından bazı müşteriler,OpenSSH (Güvenli Kabuğu Aç) hizmeti başlatılamıyor ve engelleniyor SSH bağlantılar. Hizmet, ayrıntılı günlük kaydı olmadan başarısız olur; sshd.exe işleminin çalıştırılması için manuel müdahale gereklidir. Microsoft, azaltımlar veya çözüm için (şu an itibariyle) yayınlanmış bir program olmadan sorunu araştırıyor.

Citrix, önemli sorunlar bildirdi Oturum Kayıt Aracısı (SRA), Ocak güncellemesinin başarıyla tamamlanamamasına neden oluyor. Microsoft bir güvenlik bülteni yayınladı (KB5050009) şunu söylüyor: “Etkilenen cihazlar başlangıçta Ocak 2025 Windows güvenlik güncellemesini örneğin Ayarlar’daki Windows Güncelleme sayfası aracılığıyla doğru bir şekilde indirip uygulayabilir.” Ancak bu durum ortaya çıktığında güncelleme işlemi durdurulur ve orijinal duruma geri dönmeye devam edilir.

Kısacası, Citrix SRA’yı yüklediyseniz cihazınız (büyük olasılıkla) bu ay güncellenmemiştir.

Büyük revizyonlar

Bu Salı Yaması için daha önce yayınlanmış güncellemelerde aşağıdaki revizyonlara sahibiz:

• CVE-2025-21311: Windows Installer’da Ayrıcalık Yükselmesi Güvenlik Açığı. Microsoft güncelleştirilmiş bir grup ilkesi yayımladı (SkuSiPolicy.p7b) bilgi notunda yer alan VBS komut dosyalarıyla ilgili güvenlikle ilgili sorunları daha iyi ele almak için, “Sanallaştırma Tabanlı Güvenliğin (VBS) geri alınmasını engelleme kılavuzu”.
• CVE-2025-21308: Windows Temalarında Kimlik Sahtekarlığı Güvenlik Açığı. Microsoft devre dışı bırakmanızı önerir NTLM masaüstü sistemlerin bu güvenlik açığını gidermesi için. Süreçle ilgili rehbere buradan ulaşabilirsiniz: NTLM’yi kısıtla: Uzak sunuculara giden NTLM trafiği.

Microsoft da yayınladı CVE-2025-21224 eski satır yazıcı arka plan programındaki bellekle ilgili iki güvenlik açığını gidermek için (LPD), 15 yıldır kullanımdan kaldırılan bir Windows özelliği. Yazdırmayla ilgili bu işlevlerde herhangi bir gelişme göremiyorum (son on yılda gördüğümüz sorunlar göz önüne alındığında). Belki şimdi bu eski özellikleri platformunuzdan kaldırmaya başlamanın zamanı gelmiştir.

Windows yaşam döngüsü ve uygulama güncellemeleri

Aşağıdaki Microsoft ürünleri olacaktır emekli bu yıl:

• Microsoft Genomik: 6 Ocak 2025
• Visual Studio Uygulama Merkezi: 31 Mart 2025
• SAP’nin HANA Büyük Örnekleri (HLI): 30 Haziran 2025

Odadaki filden bahsetmemize gerek yok elbette. Microsoft, Ekim ayında Windows 10 desteğini sonlandıracak.

Her ay, yama uygulama çalışmalarına öncelik vermenize yardımcı olmak için Microsoft’un Windows, Office ve geliştirici araçları gibi önemli ürün ailelerindeki güncellemelerini analiz ediyoruz. Bu kuralcı, uygulanabilir kılavuz, geniş bir uygulama portföyünün değerlendirilmesine ve Microsoft yamalarının ve bunların Windows platformları ve uygulamaları üzerindeki potansiyel etkilerinin ayrıntılı bir analizine dayanmaktadır.

Microsoft’un bu sürüm döngüsü için, kritik güncellemeleri ve gerekli test çalışmalarını aşağıdakiler de dahil olmak üzere farklı işlevsel alanlarda gruplandırdık:

Uzak masaüstü

Ocak ayında, aşağıdaki test rehberliğiyle birlikte Uzak Masaüstü Ağ Geçidi (RD Ağ Geçidi) ve ağ protokolleri üzerinde yoğun bir şekilde durulmaktadır:

• RD Ağ Geçidi Bağlantıları: RD Ağ Geçidini Sağlayın (RDG), performans düşüşü olmadan hem UDP hem de TCP trafiğini sorunsuz bir şekilde kolaylaştırmaya devam ediyor. RDG’nin mevcut/kurulu bir bağlantıyla bağlantısını kesmeyi deneyin.
• VPN, Wi-Fi ve Bluetooth Senaryoları: uçtan uca yapılandırmaları ve yakındaki paylaşım işlevselliğini test edin.
• Operatörler için DNS Yönetimi: “Ağ Yapılandırma Operatörleri” grubundaki kullanıcıların DNS istemci ayarlarını zahmetsizce yönetebildiğini doğrulayın.

Yerel Windows dosya sistemi ve depolama

Dosya sistemi ve depolama bileşenleri de küçük güncellemeler alır. Masaüstü ve sunucu dosya sistemi test çalışmaları aşağıdakilere odaklanmalıdır:

• Çevrimdışı Dosyalar ve Eşlenen Sürücüler: Eşlenen ağ sürücülerini hem çevrimiçi hem de çevrimdışı koşullar altında test edin. Çok dikkat edin Senkronizasyon Merkezi durum güncellemeleri.
• BitLocker: Sürücü kilitleme ve kilidini açma, BitLocker yerel önyükleme senaryolarını ve hazırda bekletme sonrası durumlarını BitLocker etkinken doğrulayın.

Sanallaştırma ve Microsoft Hyper-V

Hyper-V ve sanal makineler hafif güncellemeler alır:

• Trafik Testi: Hyper-V özelliğini yükleyin ve sistemleri yeniden başlatın. Ağ performansını izleyin ve sanal ağ trafiğinde veya sanal makine yönetiminde gerileme olmadığından emin olun.

Güvenlik ve kimlik doğrulama

Güvenlikle ilgili testlerin kilit alanları şunları içerir:

• Digest Kimlik Doğrulaması Stres Testi: Olası sorunları ortaya çıkarmak için Digest kimlik doğrulamasını kullanırken ağır yükleri simüle edin.
• SPNEGO Anlaşmalar: Etki alanları arası veya çoklu orman Active Directory kurulumlarında Güvenli Anlaşma Protokolü (SPNEGO) işlevlerini doğrulayın.
• Kimlik Doğrulama Senaryoları: Uygulamaları aşağıdakilere dayanarak test edin: LSASS süreçleri ve aşağıdaki gibi protokollerin sağlanmasını sağlayın Kerberos, NTLMve sertifika tabanlı kimlik doğrulama yük altında sabit kalır.

Diğer kritik güncellemeler

Bu sürüm için bazı ek test öncelikleri vardır:

• Uygulama Dağıtım Senaryoları: Yükleme ve güncelleme MSIX/Ekx Paket servisli ve paketsiz paketler, güncellemeler için yalnızca yönetici gereksinimlerini doğrular.
• WebSocket Bağlantıları: Güvenli bağlantı kurun ve izleyin WebSocket uygun şifreleme ve el sıkışma sonuçlarının sağlanması.
• Grafikler ve Temalar: Test GDI+Kullanıcı arayüzü öğelerinin farklı görünüm modlarında doğru şekilde görüntülenmesini sağlamak için tema dosyalarını içeren tabanlı uygulamalar ve iş akışları. Bazı öneriler, Giriş Yöntemi Düzenleyicilerine dayanan yabancı dil uygulamalarını içerir (IME’ler).

Ocak ayının güncellemeleri çoğu sistem için orta risk profilini koruyor ancak özellikle ağ oluşturma, kimlik doğrulama ve dosya sistemi senaryoları için test yapılması hâlâ önemli. Depolama ve sanallaştırma ortamları için hafif testlerle uzaktan ağ trafiği doğrulamasına öncelik vermenizi öneririz. Geniş bir MSIX/Appx paket portföyünüz varsa paketinizin başarılı bir şekilde kurulmasını, güncellenmesini ve kaldırılmasını sağlamak için yapmanız gereken çok iş vardır.

Her ay, güncelleme döngüsünü aşağıdaki temel gruplamalarla ürün ailelerine (Microsoft tarafından tanımlandığı şekilde) ayırıyoruz:

• Tarayıcılar (Microsoft IE ve Edge)
• Microsoft Windows (hem masaüstü hem de sunucu)
• Microsoft Ofisi
• Microsoft Exchange ve SQL Sunucusu
• Microsoft Geliştirici Araçları (Visual Studio ve .NET)
• Adobe (eğer bu kadar ileri giderseniz)

Tarayıcılar

Bu ay Salı Yaması için Microsoft tarayıcı güncellemesi yoktu. Önümüzdeki hafta Microsoft Edge’i etkileyecek Chromium güncellemelerini bekleyin. (Chromium’un kurumsal sürüm programını burada bulabilirsiniz. Burada.)

Microsoft Windows

Bu, Windows ekosistemi için oldukça büyük bir güncellemedir; hem masaüstü bilgisayarlar hem de sunucular için 50’den fazla ürün/özellik grubunu kapsayan 124 yama içerir. Başlıca ilgi alanlarından bazılarını vurguladık:

• Faks/Telefon
• MSI/AppX/Installer ve Windows güncelleme mekanizmaları
• Windows COM/DCOM/OLE
• Ağ İletişimi, Uzak Masaüstü
• Kerberos, Dijital Sertifikalar, BitLocker, Windows Önyükleme Yöneticisi
• Windows grafikleri (GDI) ve Çekirdek sürücüleri

Ne yazık ki, Windows güvenlik açıkları CVE-2025-21275 Ve CVE-2025-21308 her ikisi de temel uygulama işlevselliğini etkiler ve kamuya açıklanmıştır. Bu Windows güncellemelerini “Şimdi Yama” yayın programınıza ekleyin.

Microsoft Ofisi

Microsoft Office, üç kritik güncellemenin yanı sıra önemli olarak derecelendirilen 17 düzeltme ekini daha alıyor. Alışılmadık bir şekilde, Microsoft Access’i etkileyen üç Microsoft Office güncelleştirmesi sıfır gün kategorisine girmektedir. CVE-2025-21366, CVE-2025-21395 Ve CVE-2025-21186 kamuya açıklandı. Bu Microsoft güncellemelerini “Şimdi Yama” takviminize ekleyin.

Microsoft Exchange ve SQL Sunucusu

Bu ay SQL Server veya Microsoft Exchange sunucuları için Microsoft’tan herhangi bir güncelleme gelmedi.

Microsoft Geliştirici Araçları (Visual Studio ve .NET)

Microsoft, Microsoft .NET ve Visual Studio’yu etkileyen önemli olarak derecelendirilen yedi güncelleştirme yayımladı. Bu ay Office ve Windows’a gösterilen acil ilgi göz önüne alındığında, bu standart, düşük profilli yamaları standart geliştirici sürüm planınıza ekleyebilirsiniz.

Adobe ve üçüncü taraf güncellemeleri

Bu ay Microsoft tarafından Adobe ile ilgili herhangi bir yama yayınlanmadı. Ancak geliştirmeyle ilgili iki üçüncü taraf güncellemesi yayınlandı; GitHub’u etkilerler (CVE-2024-50338) Ve Sertifika CC yaması (CVE-2024-7344). Her iki güncelleme de standart geliştirici sürüm planına eklenebilir.