Microsoft Güvenlik Açıklarını Kapatan Güncellemeler Yayınladı
Microsoft, geçen Salı günü, yazılımlarında tanımlanan 63 yeni güvenlik açığını yamanmak üzere güncellemeler yayınladı. Bu güncellemeler arasında, aktif olarak istismar edilen bir sıfır gün açığı da bulunuyor.
Güvenlik Açıklarının Ciddiyeti
Bu 63 açığın dört tanesi Kritik, 59 tanesi ise Önemli olarak derecelendirilmiş. Güvenlik açıklarından yirmi dokuzu yetki yükseltme ile ilgiliyken, on altısı uzaktan kod çalıştırma, on biri bilgi ifşası, üçü hizmet reddi (DoS), ikisi güvenlik özelliklerini atlama ve ikisi de sahtecilik ile ilgili.
Bu düzeltmeler, şirketin Ekim 2025’teki Patch Tuesday güncellemesinin ardından Chromium tabanlı Edge tarayıcısında ele aldığı 27 güvenlik açığını da kapsıyor.
Aktif Olarak İstismar Edilen Sıfır Gün Açığı
Güncellemelerde belirtilen sıfır gün açığı, CVE-2025-62215 (CVSS puanı: 7.0) olarak adlandırılmakta ve Windows Kernel’deki bir yetki yükseltme hatası olarak tanımlanıyor. Microsoft Tehdit İstihbaratı Merkezi (MSTIC) ve Microsoft Güvenlik Yanıt Merkezi (MSRC) tarafından keşfedilmiş ve rapor edilmiştir.
Microsoft’a göre, Windows Kernel’de paylaşılan kaynaklar kullanılarak yapılan etkisiz senkronizasyon nedeniyle, yetkili bir saldırganın yerel olarak yetkileri yükseltmesine olanak tanıyor.
Saldırganların Sıklıkla Kullandığı Yöntemler
Başarılı bir istismar için, saldırganın zaten sisteme girmiş olması ve bir yarış koşusunu kazanması gerekiyor. Bu koşul sağlandığında, sistem yetkileri elde edebilir.
Ben McCarthy, Immersive’in siber güvenlik mühendisine göre, düşük yetkili yerel erişime sahip bir saldırgan, bu yarışı tetiklemeye çalışan özel bir uygulama çalıştırabilir. İşin aslı, bir saldırganın, birden fazla iplikin paylaşılan bir çekirdek kaynağıyla eşzamanızsız bir şekilde etkileşime girmesini sağlamak, böylece çekirdek hafıza yönetimini karıştırmaktır.
Diğer Kritik Güvenlik Açıkları
Ayrıca, Microsoft’un Grafik Bileşeni (CVE-2025-60724, CVSS puanı: 9.8) ve Windows Alt Sisteminde Linux GUI (CVE-2025-62220, CVSS puanı: 8.8) bulunan iki yığın tabanlı bellek taşması hatası da yamanmaktadır. Bu hatalar, uzaktan kod çalıştırmaya sebep olabilir.
Öne çıkan bir diğer önemli güvenlik açığı ise Windows Kerberos’teki yüksek şiddetli bir yetki yükseltme açığıdır (CVE-2025-60704, CVSS puanı: 7.5). Bu açık, bir kriptografik adımın eksikliği yoluyla yöneticilik yetkisi kazanma imkanı sunmakta. Silverfort tarafından “CheckSum” adıyla kodlanmıştır.
Diğer Yazılım Sağlayıcılarının Güncellemeleri
Microsoft dışında, son birkaç hafta içinde diğer firmalar da çeşitli güvenlik açıklarını kapatan güncellemeler yayınladı. Bunlar arasında Adobe, Amazon Web Services, Apple, ve daha birçok firma yer almakta.
Bu güncellemeleri zamanında uygulamak, hem bireysel kullanıcılar hem de kuruluşlar için kritik bir öneme sahiptir. Zira, bu tür güvenlik açıklarının istismar edilmesi, veri hırsızlığı ve sistem ele geçirmeleri gibi ciddi sorunlara yol açabilir.
