Microsoft’un Aralık 2025 Patch Tuesday güncellemeleri, toplamda 57 güvenlik açığını kapatıyor. Bu güncelleme, biri aktif olarak istismar edilen ve ikisi kamuya açık şekilde duyurulmuş üç sıfır günü içermektedir. Ayrıca, bu güncellemeler üç “Kritik” uzaktan kod yürütme (RCE) açığını da ele alıyor.
Açıklanan Güvenlik Açıkları
Bu ayki güncelleme, çeşitli güvenlik açığını kapatmaktadır. Toplanılan veriler ise şu şekildedir:
- 28 Yükseltme Hakları Açığı
- 19 Uzaktan Kod Yürütme Açığı
- 4 Bilgi Açığa Çıkma Açığı
- 3 Hizmet Dışı Bırakma Açığı
- 2 Sahtelik Açığı
BleepingComputer, yalnızca Microsoft’un bugün yayınladığı güvenlik güncellemelerini hesaba katar. Dolayısıyla bu sayı, Microsoft Edge (15 açık) ve Mariner gibi daha önceki güncellemeleri kapsamıyor.
Üç Sıfır Günü Açığı
Aralık ayındaki Patch Tuesday, biri aktif olarak istismar edilen ve ikisi kamuoyuna açıklanan üç sıfır günü açığını kapatmaktadır. Microsoft, sıfır günü zayıflığını, resmi bir düzeltme olmadığı sürece kamuya duyurulmuş veya aktif olarak istismar edilen bir açık olarak tanımlar.
Aktif olarak istismar edilen sıfır günü açığı CVE-2025-62221 – Windows Cloud Files Mini Filter Driver Yükseltme Hakları Açığıdır. Microsoft, bu açığı kapatmaya yönelik bir yamanın yayımlandığını bildirdi.
Microsoft, bu açığın “Windows Cloud Files Mini Filter Driver içerisinde bir yetki yükseltme açığı” olduğunu ve yetkisiz bir saldırganın yerel olarak yetkileri yükseltebileceğini belirtmektedir. Bu açığın etkili bir şekilde istismar edilmesi, saldırganların SYSTEM yetkisi kazanmasına neden olmaktadır.
Kamuya Açıklanan Diğer Açıklar
Bu ay bildirilen diğer sıfır günü açıkları ise şunlardır:
- CVE-2025-64671 – GitHub Copilot for Jetbrains Uzaktan Kod Yürütme Açığı: Bu açı, bir saldırganın yerel olarak komutlar yürütmesine izin veriyor. Microsoft’a göre, bu açık “yanlışlıkla özel unsurların nötralize edilmesinden” kaynaklanmaktadır.
- CVE-2025-54100 – PowerShell Uzaktan Kod Yürütme Açığı: Bu açık, web sayfasında gömülü scriptlerin çalışmasına neden olabiliyor. Kullanıcıdan “-UseBasicParsing” eklemesini isteyecek bir değişiklik yapıldı.
Diğer Şirketlerden Güncellemeler
Aralık 2025’te güncelleme veya bildirim yayını yapan diğer şirketler şunlardır:
- Adobe, ColdFusion ve Acrobat Reader gibi ürünler için güvenlik güncellemeleri yayınladı.
- Fortinet, kritik bir açığı kapsayan güvenlik güncellemeleri yayımladı.
- Google, Android için Aralık güvenlik bültenini yayınladı.
- React, uzaktan kod yürütme açığını düzeltmek için güvenlik güncellemeleri sağladı.
Sonuç
Microsoft’un Aralık 2025 Patch Tuesday güncellemeleri, kullanıcılar için önemli güvenlik iyileştirmeleri sunuyor. Sıfır günü açıkları, sistemlerinizi tehdit eden önemli riskler taşıdığı için, acilen güncellemelerinizi yapmanız önerilmektedir. Güvenlik açıklarını şimdiden kapatmak, yarın oluşabilecek olumsuz senaryoların önüne geçmekte büyük fayda sağlayacaktır.
