Microsoft Ağustos 2026 Patch Tuesday: 400 açık ve Lazarus'un kullandığı AFD.sys sıfırıncı günü

Microsoft, Ağustos 2026 Patch Tuesday güncellemelerini 11 Ağustos'ta yayımladı. BleepingComputer'ın sayımına göre paket 400 açığı kapatıyor; Qualys ise farklı bir yöntemle 421 açık sayıyor. BleepingComputer'a göre açıkların 42'si kritik: 37'si uzaktan kod çalıştırma, 5'i yetki yükseltme.

Aktif istismar edilen: CVE-2026-68820

Ayın en önemli maddesi, Windows Ancillary Function Driver for WinSock (AFD.sys) sürücüsündeki CVE-2026-68820. Yerel olarak çalışan bir uygulamanın yarış durumu (race condition) ile tetikleyebildiği serbest bırakılmış bellek kullanımı (use-after-free) hatası, kullanıcı etkileşimi olmadan SYSTEM yetkisi sağlıyor. Açığı Check Point araştırmacıları bildirdi. Check Point'e göre Kuzey Kore bağlantılı Lazarus grubu bu açığı FudModule adlı çekirdek düzeyi rootkit'i yüklemek için kullandı. CISA açığı KEV kataloğuna ekledi.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Önceden açıklanan iki açık

• CVE-2026-62832: Windows User Profile Service'te "link following" kaynaklı yetki yükseltme. Başka bir hesabın kimlik bilgisine sahip yerel saldırgan, farklı bir kullanıcının kayıt defteri kovanını yükleyip yönetici yetkisi kazanabiliyor. Ayrıntıların, bir ay önce yayımlanan "LegacyHive" çalışmasıyla örtüştüğü belirtiliyor.
• CVE-2026-72971: Windows Container Isolation FS Filter Driver'da (unionfs.sys) kurcalama (tampering) açığı.

Öne çıkan kritik açıklar

• CVE-2026-62818: Active Directory Certificate Services (AD CS) RCE
• CVE-2026-62815: Microsoft QUIC RCE
• CVE-2026-62889: Windows SSTP RCE
• CVE-2026-62893: Windows Deployment Services TFTP Server RCE
• CVE-2026-62823: Windows DHCP Server RCE

Ne yapılmalı?

• Ağustos toplu güncellemelerini, özellikle Windows 11 istemcilerde ve sunucularda öncelikli olarak dağıtın; CVE-2026-68820 saldırganın zaten bir dayanak noktası edindiği durumlarda kritik hâle geliyor.
• AD CS, DHCP ve WDS/TFTP sunucularını yama sırasında üst sıraya alın.
• EDR telemetrisinde beklenmedik kesintileri ve sürücü yükleme olaylarını izleyin; bunlar rootkit faaliyetine işaret edebilir.