Microsoft Kasım 2026 Patch Tuesday: Outlook'ta istismar edilen zero-day, 63 kritik açık
Microsoft Kasım güncellemelerinde 1.094 açığı kapattı. Outlook'taki CVE-2026-124194 spoofing açığının saldırılarda kullanıldığı doğrulandı; açık, hazırlanmış bir dosya açıldığında kullanıcının NTLMv2 hash'ini sızdırabiliyor. Exchange, Active Directory, Schannel ve Windows NAT'taki kritik açıklar da "istismar olasılığı yüksek" listesinde.
CVE-2026-124194, CVE-2026-118207, CVE-2026-118146
Microsoft, 10 Kasım'daki aylık güncelleme paketinde (Patch Tuesday) Chromium tabanlı Edge kayıtları hariç 1.094 güvenlik açığını kapattı; bunların 63'ü kritik olarak sınıflandırıldı. Dağılımda 535 yetki yükseltme, 296 uzaktan kod çalıştırma, 156 bilgi ifşası, 46 hizmet engelleme, 27 güvenlik özelliği atlatma ve 22 spoofing açığı yer alıyor. Paket, 4 Kasım'da yayımlanan erken güncellemeleri de kapsıyor.
Ayın tek zero-day'i Outlook'ta: CVE-2026-124194 (CVSS 6.5, Microsoft sınıflandırması "Moderate") için Microsoft "Exploitation Detected" işaretini koydu, yani açık saldırılarda kullanılıyor. Üreticiye göre saldırgan hazırlanmış bir dosyayı kullanıcıya gönderip açtırdığında Outlook, olağan dış içerik uyarısını göstermeden saldırganın denetimindeki bir ağ konumuna bağlanıyor ve kullanıcının NTLMv2 hash'i sızabiliyor. Bu hash, kullanıcının kimliğine bürünmek için kullanılabilir. Kullanıcı etkileşimi gerekiyor; Microsoft'a göre Preview Pane saldırı yolu değil. Düşük CVSS puanına karşın aktif istismar nedeniyle önceliği en üstte tutmak gerekiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Microsoft Office LTSC 2021 (32/64 bit) — CVE-2026-124194 | 16.0.14334.21048 öncesi | 16.0.14334.21048 |
| Microsoft Office LTSC 2024 (32/64 bit) — CVE-2026-124194 | 16.0.17932.21140 öncesi | 16.0.17932.21140 |
| Microsoft 365 Apps for Enterprise (32/64 bit) — CVE-2026-124194 | Üretici bildirimindeki liste | Kasım güvenlik sürümü (aka.ms/OfficeSecurityReleases) |
| Windows, Windows Server, Exchange Server, SQL Server, SharePoint ve diğer ürünler | Üretici bildirimindeki liste | Kasım 2026 güncellemeleri (KB listesi MSRC'de) |
Ürün bazında KB numaraları ve build'ler için MSRC Kasım 2026 sürüm notlarına bakın.
Öne çıkan diğer açıklar
Aktif istismar edilmeyen ama Microsoft'un "Exploitation More Likely" dediği ya da puanı yüksek kritik açıklar:
| CVE | Bileşen | Tür | Not |
|---|---|---|---|
| CVE-2026-118207 | Exchange Server | Uzaktan kod çalıştırma (8.8) | Kritik, istismar olasılığı yüksek |
| CVE-2026-118146 | Active Directory Domain Services | Uzaktan kod çalıştırma (8.8) | Kritik, istismar olasılığı yüksek |
| CVE-2026-118148 | Active Directory Domain Services | Yetki yükseltme (7.5) | Kritik, istismar olasılığı yüksek |
| CVE-2026-119952 | Windows Schannel | Uzaktan kod çalıştırma (8.1) | Kritik, istismar olasılığı yüksek |
| CVE-2026-113862 | Windows NAT | Uzaktan kod çalıştırma (8.1) | Kritik, istismar olasılığı yüksek |
| CVE-2026-119958 | Windows LDAP | Uzaktan kod çalıştırma (9.8) | Kritik |
| CVE-2026-116928 | Windows Search | Uzaktan kod çalıştırma (9.8) | Kritik |
| CVE-2026-112967 | Xbox Live Networking Service | Uzaktan kod çalıştırma (9.8) | Kritik |
| CVE-2026-88218 / CVE-2026-88243 | Windows DNS / DHCP Server | Uzaktan kod çalıştırma (9.8) | Important |
| CVE-2026-116945 | SQL Server | Uzaktan kod çalıştırma (9.8) | Important |
| CVE-2026-120002 | SharePoint Server | Yetki yükseltme (9.9) | Important |
| CVE-2026-109467 | Azure DevOps Server | Uzaktan kod çalıştırma (9.9) | Important |
Bunlara ek olarak Message Queuing (MSMQ) bileşeninde beş, Hyper-V'de sekiz kritik açık ve Word, Excel, Outlook, PowerPoint'te çok sayıda kritik kod çalıştırma açığı kapatıldı. Bulut tarafında Entra Device Registration açığı (CVE-2026-109469, CVSS 10) Microsoft tarafında tamamen giderildi, müşteri işlemi gerekmiyor. Azure OpenAI açığı (CVE-2026-119990, CVSS 9.8) için ise MSRC kaydı "Customer Action Required: Yes" diyor; Azure OpenAI kullananlar kayıttaki adımları incelemeli.
Beni etkiliyor mu?
- Office / Microsoft 365 Apps sürümünü Outlook'ta Dosya › Office Hesabı › Outlook Hakkında ekranından kontrol edin; yukarıdaki build'lerin altındaysanız CVE-2026-124194'ten etkilenirsiniz.
- Windows tarafında yüklü güncellemeleri ve build'i salt okunur olarak görebilirsiniz:
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10
Get-ComputerInfo -Property OsName, OsVersion, OsBuildNumber- Exchange Server sürümünü Exchange Management Shell'de kontrol edin:
Get-ExchangeServer | Format-Table Name, Edition, AdminDisplayVersion- Dışa giden SMB (TCP 445) ve WebDAV trafiğinin firewall'da engellenip engellenmediğini mevcut kural setinden doğrulayın; NTLM hash sızdırma saldırıları bu çıkışa dayanır.
Ne yapılmalı?
- Önce Outlook: Office LTSC 2021/2024 ve Microsoft 365 Apps'i Kasım güvenlik sürümüne yükseltin; aktif istismar nedeniyle bu adımı acil change olarak ele alın.
- Exchange ve domain controller'lar: CVE-2026-118207 (Exchange) ile CVE-2026-118146 / CVE-2026-118148 (AD DS) için patch'i ilk dalgaya alın; internete açık Exchange sunucularını öne çekin.
- Sunucu rolleri: DNS, DHCP, LDAP, MSMQ, IIS ve Schannel kullanan sunucularda Kasım güncellemesini test ortamında doğrulayıp hızla yayın. Kullanılmayan rollerin (ör. MSMQ) açık olup olmadığını envanterden kontrol edin.
- NTLM hash sızıntısına karşı workaround: Dışa giden SMB ve WebDAV bağlantılarını perimeter firewall'da engelleyin, ayrıcalıklı hesapları Protected Users grubuna almayı ve NTLM kullanımını denetlemeyi değerlendirin. Bu değişiklikleri change management sürecinden geçirin.
- İzleme: Kullanıcı istemcilerinden dış IP'lere giden SMB/WebDAV denemelerini ve olağan dışı NTLM kimlik doğrulamalarını SIEM'de izleyin; şüpheli ekli e-postaları geriye dönük tarayın.
- Son kontrol: Güncelleme sonrası Office build'ini ve
Get-HotFixçıktısını tekrar doğrulayın; yeniden başlatma bekleyen sistemleri listeleyin.
