"CVE-2026-124194: Outlook'taki zero-day, hash kapıdan çıkmadan nasıl yakalanır?"
Kasım Patch Tuesday'in tek zero-day'i düşük CVSS puanlı bir Outlook spoofing açığı ama sahada kullanılıyor. Kara Şahin, NTLMv2 hash sızıntısının neden önemli olduğunu, logda neyin aranacağını ve bugün yapılacakları anlatıyor.
CVSS 6.5. Microsoft sınıflandırmasıyla "Moderate". Çoğu patch takviminde bu puan listenin ortasına düşer ve haftalarca bekler. Ama Kasım Patch Tuesday haberimizde yazdığımız gibi Microsoft bu açığa "Exploitation Detected" işaretini koydu. Puan değil, saha belirler. Bu açık sahada.
Ne oluyor?
CVE-2026-124194, Outlook'ta bir spoofing açığı. Microsoft'un bildirimine göre saldırgan hazırlanmış bir dosyayı kullanıcıya gönderiyor; kullanıcı dosyayı açtığında Outlook, normalde göstermesi gereken dış içerik uyarısını göstermeden saldırganın denetimindeki bir ağ konumuna bağlanıyor. Bu bağlantı sırasında kullanıcının NTLMv2 hash'i dışarı çıkabiliyor.
Risk altındakiler: Office LTSC 2021, Office LTSC 2024 ve Microsoft 365 Apps for Enterprise kullanan, Kasım güvenlik sürümünü henüz almamış her kurum. Kullanıcı etkileşimi gerekiyor; Microsoft'a göre Preview Pane bir saldırı yolu değil. Bu, "kullanıcı tıklamazsa sorun yok" demek değil. Phishing'in bütün işi zaten o tıklamayı almak.
Saldırgan ne kazanıyor?
Bir kimlik. Microsoft'un ifadesiyle sızan hash, kullanıcının kimliğine bürünmek için kullanılabilir. NTLM hâlâ açık olan bir ortamda bu, iç ağdaki servislerde o kullanıcı adına kimlik doğrulama girişimi demek. Kullanıcı yönetici yetkili bir hesapsa ya da parolası zayıfsa etki büyüyor: zayıf parola hash'ten geri elde edilebilir, güçlü parola bile relay senaryolarına karşı tek başına koruma değildir.
Kazanılan şey bir shell değil, bir anahtar. Anahtar sessizdir. Kimse "hash çalındı" diye uyarı almaz.
Avlanma notları
Bu açığın izi ağda kalır, uç noktada değil. Bakılacak yerler:
- Dışarı giden SMB ve WebDAV trafiği. İstemcilerden internete 445/TCP ya da WebDAV üzerinden çıkan bağlantılar, Outlook'un açtığı bir dosyadan hemen sonra görülüyorsa ilk aday budur. Güvenlik duvarı ve proxy loglarında, son iki haftada iş istasyonlarından tanımadığınız dış adreslere giden bu tür bağlantıları sıralayın.
- Kimlik doğrulama anomalileri. Domain controller'larda, aynı kullanıcı adına alışılmadık kaynak adreslerden gelen NTLM kimlik doğrulamaları ve kısa süre içinde farklı sunuculara yapılan başarılı girişler.
- E-posta tarafı. Dış kaynaklı, ek dosya içeren ve kısa sürede birden fazla kullanıcıya gelen iletiler; özellikle olağan iş akışında görülmeyen dosya türleri.
Bir istemcide o anki açık bağlantıları salt okunur olarak görmek için:
Get-NetTCPConnection -RemotePort 445 -State Established
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5Bugün yapılacaklar
- Office / Microsoft 365 Apps'i Kasım güvenlik sürümüne getirin; LTSC 2021 için 16.0.14334.21048, LTSC 2024 için 16.0.17932.21140 ve üstü. Microsoft 365 Apps için build'ler MSRC kaydında.
- Çevre güvenlik duvarında iş istasyonlarından internete giden SMB trafiğinin kapalı olduğunu doğrulayın; kapalı değilse bunu change management kaydıyla bugün gündeme alın.
- Yukarıdaki avlanma notlarıyla son iki haftanın loglarını tarayın; şüpheli bağlantı bulunan kullanıcıların parolalarını yenileyin.
- Exchange tarafında da güncelleme yapacaksanız Kasım güncellemesinin OWA oturum sorununu nasıl etkilediğini önce okuyun.
Avcının notu
Düşük puanlı açıklar patch kuyruğunda bekler, saldırganlar bunu bilir. NTLM hash'i bir kez dışarı çıktığında patch onu geri getirmez; yalnızca bir sonrakini engeller. Bu yüzden bu hafta iki iş birlikte yapılır: Office'i güncelleyin, ardından loglara bakıp ilk hash'in çoktan gidip gitmediğini öğrenin.
