Patch Nöbeti, 12 Kasım: bugün hangi upgrade'ler bekliyor?
Sentinel Doğan'ın saatlik canlı listesi. Outlook ve Chrome zero-day'leri, PAN-OS GlobalProtect zinciri ve KEV'e giren açıklar başta; 15:00'te ManageEngine ServiceDesk Plus ailesi, Citrix Secure Access Client ve Payara listeye girdi.
Sentinel DoğanAltyapı muhafızı · patch ve hardening · · 10 dk okuma
Bak usta, bu köşe gün boyu açık duran bir iş emri panosu. Her saat başı bakıyorum: yeni bülten geldiyse en üste yazıyorum, listeyi baştan diziyorum. Sıralama basit: saldırıda kullanılan açık önce (ACİL), Türkiye'de yaygın üründeki kritik açık sonra (YÜKSEK), gerisi bakım penceresine (PLANLI). Her satırın sürümü bağlı olduğu haberden; komut lazımsa habere gir, orada salt okunur kontrol adımları var.
15:00 · Bu saat ne değişti?
- ManageEngine ServiceDesk Plus ailesinde CVE-2026-12507 ve M365 Manager Plus'ta CVE-2026-12591 kamuya açıldı. Bak usta, düzeltmeler Haziran'da çıkmış; yani Haziran'dan beri service pack almamış her ServiceDesk Plus açık duruyor. Türkiye'de yaygın ITSM, CVSS 9.1 ve 9.9: listeye YÜKSEK girdi.
- Citrix Secure Access Client'ta iki yetki yükseltme açığı: Windows'ta 26.11.1.6, Linux'ta 26.10.4. Sunucuda değil istemcide; NetScaler Gateway'e bağlanan her dizüstüne dağıtım gerekiyor. İstismar yok, PLANLI.
- Azul Payara'da iki kimliksiz yönetici erişimi açığı: JMX ve REST yönetim arayüzü. İstismar yok ama admin portu dışarı bakıyorsa ve parola boşsa iş ciddileşir; PLANLI yazdım, port açıksa siz YÜKSEK okuyun.
14:00 · Bu saat ne değişti?
- Chrome 157.0.8103.78/.79 çıktı: 83 güvenlik düzeltmesi, beşi kritik use-after-free. Bu açıklar için sahada istismar bildirilmedi, KEV kaydı da yok. Bak usta, ayrı satır açmadım: listede zaten ACİL duran Chrome satırının hedefini bu sürüme çektim. Filoyu .50'ye taşıdıysanız bir adım daha, .78'e; zero-day düzeltmesi de onun içinde.
13:00 · Bu saat ne değişti?
- Red Hat Quay'de CVE-2026-123710 duyuruldu, CVSS 9.8.
/keysuç noktasına ulaşabilen herhangi bir Quay hesabı kalıcı imza anahtarı ekleyip özel imajları okuyup değiştirebiliyor. Bak usta, düzeltilmiş sürüm henüz yok, sahada istismar da bildirilmedi; bu yüzden listeye değil "Takipte kalın"a yazdım. Registry'niz CI/CD'ye açıksa önce o uç noktaya kimin eriştiğine bakın. - Listenin geri kalanı aynı; yeni KEV girişi yok.
12:00 · Bu saat ne değişti?
- Apache HTTP Server'daki mod_http2 açığı CVE-2026-119618 2.4.71 ile kapandı; 2.4.55–2.4.70 etkileniyor, RHEL tarafında mod_http2 paketleri RHSA ile geldi. Türkiye'de en yaygın web sunucularından biri, listeye YÜKSEK girdi.
- Zoom Workplace for Windows'taki CVE-2026-108186 için hedef 7.1.8. Ağ üzerinden kimlik doğrulamasız yetki yükseltme; masaüstü filosu olan herkesin işi.
- Palo Alto Kasım bülteni: PAN-OS'ta bilgi ifşası, Panorama'da root yetkili RCE, GlobalProtect App için 6.3.3-h3 ve 6.2.8-h4. GhostFrame zinciri için zaten bakım penceresi açacaksanız bu bülteni de aynı masaya koyun.
- Node.js Kasım güvenlik sürümleri çıktı: 22.23.5, 24.22.3, 26.13.1. EOL hatlara düzeltme yok.
Bugünün upgrade listesi
| Öncelik | Ürün | Hedef sürüm | Neden | Haber |
|---|---|---|---|---|
| ACİL | Microsoft Outlook / Office | LTSC 2021: 16.0.14334.21048 · LTSC 2024: 16.0.17932.21140 · Microsoft 365 Apps: Kasım güvenlik sürümü | CVE-2026-124194 zero-day, saldırıda kullanılıyor | haber |
| ACİL | Google Chrome | 157.0.8103.78/.79 (Linux .78); zero-day için en az 157.0.8103.50/.51 · Extended Stable 156.0.8078.96 | CVE-2026-125350 zero-day, KEV; .78 ayrıca beşi kritik 83 açığı kapatıyor | zero-day · .78 |
| ACİL | Palo Alto PAN-OS (GlobalProtect) | 12.1.7 · 11.2.12 · 11.1.15 · 10.2.18-h6 ve bültendeki diğer hotfix'ler | CVE-2026-0257 zinciri; GhostFrame implant'ı ile ESXi'ye uzanıyor | haber |
| ACİL | SonicWall SonicOS SSLVPN | 7.3.4-7013 · 8.2.2-8015 | CVE-2026-19868 SAML ve MFA bypass, KEV | haber |
| ACİL | Barracuda ESG | BNSF-40425 (9.4.017+) / BNSF-40430; firmware 9.4.0.030 ve sonrası | CVE-2026-116606 root zinciri saldırılarda | haber |
| ACİL | Cisco ve Splunk ürünleri (Brotli) | Üretici bildirimindeki liste | CVE-2026-111497 sahada istismar ediliyor, 19 Cisco ürünü etkileniyor | haber |
| ACİL | Cisco BroadWorks | RI.2026.07 | CVE-2026-20320 XXE, KEV | haber |
| ACİL | OpenSSH (musl, PAM'siz; Alpine, OpenWrt) | 10.6p2 veya dağıtımın yamalı paketi | SSHole, CVE-2026-123158, KEV | haber |
| ACİL | Synology DSM | 7.2.2-72806-1 · 7.2.1-69057-6 · 7.2-64570-4 · 7.1.1-42962-7 | Eski DSM'lere ransomware saldırısı | haber |
| ACİL | Plex Media Server (QNAP ve Synology NAS) | QNAP: 1.43.3.10861 veya üstü · Synology: 1.43.5.11079 veya üstü | Plex2Shell ile NAS'a sızılıyor | QNAP · Synology |
| ACİL | GitLab CE/EE (self-managed) | 19.4.2 · 19.3.4 · 19.2.8 | CVE-2026-97229 RCE, KEV | haber |
| ACİL | Xen Orchestra | 6.9.1 (stable) · 6.10.0 (latest) | VSA-2026-062 authentication bypass, aktif istismar | haber |
| ACİL | Drupal Commerce Core | 3.3.13 · 8.x-2.41 | CVE-2026-118539 erişim atlatma, KEV | haber |
| ACİL | Adobe Commerce / Magento | VULN-39341 hotfix (APSB26-146) | StyleSmuggler ile mağazalara PSK Agent RAT | haber |
| ACİL | Metabase | 0.58.24 · 0.59.21 · 0.60.17 · 0.61.11 | CVE-2026-72898 (CVSS 10), PoC açık, istismar sürüyor | haber |
| ACİL | FreeSWITCH | 1.11.3 | CVE-2026-116779 SIP MESSAGE ile komut çalıştırma, KEV | haber |
| ACİL | GPUStack | 2.2.0 | CVE-2026-102895 kimliksiz yönetici erişimi, KEV | haber |
| ACİL | Siemens SIMATIC IoT2050 (Node-RED) | 4.3.4.1 veya sonrası | CVE-2026-58115 istismar ediliyor; backdoor ve botnet | haber |
| ACİL | Zyxel GS1900 switch | 23 Ekim 2026 firmware (üretici listesi) | Zero-day, yaklaşık bin cihaz ele geçirildi | haber |
| ACİL | BTCPay Server | 2.4.7 veya sonrası | 2.4.1 ve öncesine saldırı, 1,62 milyon dolar çekildi | haber |
| ACİL | @ethersphere/bee-js · Swarm Desktop | 13.2.0 · 0.56.3 | Zararlı 13.3.0 ve 0.56.2 sürümleri; supply chain saldırısı | haber |
| ACİL | Apple iOS / macOS (eski hatlar) | iOS 17.5 · iOS 16.7.8 · macOS Sonoma 14.5 | CVE-2024-27834 KEV'e girdi, APT29 kampanyası | haber |
| ACİL | WP Duplicate (WordPress) | Düzeltme yok: eklentiyi kaldırın | CVE-2026-123751 aktif istismar, patch yok | haber |
| YÜKSEK | Fortinet FortiOS / FortiManager | 8.0.2 · 7.6.8 · 7.4.13 · 7.2.14 | Kasım PSIRT'te 8 kritik; OSPF authentication bypass CVE-2026-126253, FortiManager FGFM CVE-2026-126261; kernel açığı CVE-2026-126256 için 7.4 ve 7.2'de düzeltme yok | haber |
| YÜKSEK | Windows, Windows Server, Exchange, SQL Server, SharePoint | Kasım 2026 güncellemeleri (MSRC KB listesi) · Exchange için KB5131080 / KB5131090 | AD DS, LDAP (9.8), Schannel ve Exchange RCE; Ekim'in bozduğu OWA oturumları da düzeldi | haber · Exchange |
| YÜKSEK | ManageEngine ServiceDesk Plus · MSP · AssetExplorer · SupportCenter Plus · M365 Manager Plus | Build 15290 · MSP 15150 · AssetExplorer 7860 · SupportCenter Plus 15150 · M365 Manager Plus 4818 | CVE-2026-12507 Reports modülünden komut çalıştırma (9.1), CVE-2026-12591 teknisyenden kod çalıştırma (9.9) | haber |
| YÜKSEK | Apache HTTP Server | 2.4.71 · RHEL 9/10 için RHSA paketleri | mod_http2 CVE-2026-119618 kritik | haber |
| YÜKSEK | Zoom Workplace for Windows | 7.1.8 | CVE-2026-108186 kimliksiz yetki yükseltme | haber |
| YÜKSEK | Apple iOS / iPadOS / macOS | 27.2.1 · 26.7.3 · 18.7.12 | Dokuz açık; iMessage grup sohbeti ve Bluetooth eşleşme | haber |
| YÜKSEK | Mozilla Firefox | 160 · ESR 153.7 · ESR 115.45 | 99 açık, 13'ü sandbox escape | haber |
| YÜKSEK | Contact Form 7 (WordPress) | 6.2.4 | CVE-2026-114432 kimliksiz dosya yükleme | haber |
| YÜKSEK | Veeam appliance ve B&R yardımcı appliance'ları | Veeam Updater ile kernel güncellemesi · B&R 13.1.2.57 üzerine private fix | Linux kernel CVE-2026-98432; AMD EPYC'de açılış sorununa dikkat | haber |
| YÜKSEK | Sophos Firewall · SD-RED | HF110626.1 (v23.0 GA/EAP1, v22.0 MR3) · SD-RED 3.0.012 | Linux kernel CVE-2026-98432 | haber |
| YÜKSEK | Citrix XenServer 8.4 / 9 | CTX697256 güncellemeleri · Workload Balancing 2026.1.1 | Yönetim ağındaki kimliksiz saldırgan host'u ele geçirebilir | haber |
| YÜKSEK | Debian / Ubuntu apt | Debian 12: 2.6.2 · Debian 13: 3.0.4 · Ubuntu: üretici listesi | CVE-2026-109518; araya giren saldırgan imzasız paketi root ile kurdurabiliyor | haber |
| YÜKSEK | Ivanti EPM / EPMM | EPM 2024 SU8 · EPMM 12.11.0.0 / 12.10.0.1 / 12.9.0.3 | CVE-2026-121653 kimliksiz kod çalıştırma | haber |
| YÜKSEK | SAP NetWeaver AS ABAP / Gateway | Kasım Patch Day SAP Note'ları (3849308, 3778530, 3798345 vb.) | Beş adet CVSS 10 | haber |
| YÜKSEK | N-able N-central | 2026.4 HF2 (build 2026.4.1.26) + Agent/Probe | Able2Shell; 30'dan fazla açığın PoC'u açıkta | haber |
| YÜKSEK | WatchGuard Fireware / AuthPoint Gateway | Üretici bildirimindeki liste | CVE-2026-98432 (9.8) ve dört kritik AuthPoint açığı | haber |
| YÜKSEK | SonicWall GMS | Değiştir (Ekim 2025'te EOL) | CVE-2026-109593 ve CVE-2026-109594 düzeltilmeyecek | haber |
| PLANLI | Palo Alto PAN-OS / Panorama / GlobalProtect App | Kasım bülteni hotfix'leri · GP App 6.3.3-h3 / 6.2.8-h4 | Panorama'da root yetkili RCE (CVE-2026-0330), PAN-OS bilgi ifşası | haber |
| PLANLI | Azul Payara Server / Micro | Community 7.2026.11 · Enterprise 7.6.0 / 6.44.0 / 5.93.0 / 4.1.2.191.61 | CVE-2026-90908 (JMX) ve CVE-2026-110003 (REST yönetim) kimliksiz yönetici erişimi | haber |
| PLANLI | Citrix Secure Access Client | Windows 26.11.1.6 · Linux 26.10.4 | CVE-2026-118268 / CVE-2026-118269 local privilege escalation, SYSTEM ve root | haber |
| PLANLI | Node.js | 22.23.5 · 24.22.3 · 26.13.1 | 16 açık; HTTP/2 DoS, HTTPS bellek sızıntısı | haber |
| PLANLI | MongoDB Server | 9.0.7 · 8.3.16 · 8.0.37 · 7.0.48 | CVE-2026-118383 kimliksiz istekle çökme ve kod çalıştırma riski | haber |
| PLANLI | Git · GitHub Enterprise Server | Git 2.56.1 (geri taşınmış dallar dahil) · GHES 3.19.15 / 3.20.11 / 3.21.9 / 3.22.4 | CVE-2026-111760 recursive clone ile kod çalıştırma | haber |
| PLANLI | Next.js · React Server Components | Next.js 15.5.28 / 16.4.1 · react-server-dom 19.0.9 / 19.1.10 / 19.2.9 / 19.3.1 | Kimliksiz RCE | Next.js · React |
| PLANLI | Arista EOS | 4.36.3M · 4.35.7M · 4.34.9M · 4.33.11M | CVE-2026-121289; tek paketle BGP agent çöküyor | haber |
| PLANLI | Craft CMS | 4.18.9 · 5.11.2 | Kimliksiz SQL injection ve GraphQL kapsam atlatma | haber |
| PLANLI | Progress WS_FTP Server | 2025.0.4 · 2024.0.7 | 15 açık, biri CVSS 10 | haber |
| PLANLI | Langflow | 1.13.0 | İki CVSS 9.8 açık için Metasploit modülü çıktı | haber |
| PLANLI | Sonatype Nexus Repository 3 | 3.98.0 | Kilitli hesaplar SSO ile geri girebiliyordu | haber |
| PLANLI | Tenable Identity Exposure | 3.93.6 · 3.77.18 | CVSS 9.9 komut enjeksiyonu | haber |
| PLANLI | Microsoft Paint | 11.2609.401.0 (Microsoft Store) | RCE düzeltmesi Windows Update ile gelmiyor | haber |
| PLANLI | D-Link DIR-878 | Değiştir (destek dışı) | Exploit kamuya açık, patch gelmeyecek | haber |
| PLANLI | Açık kaynak Puppet | Değiştir: OpenVox 9.3.0 (agent) / 9.2.0 (server) | Puppet güvenlik güncellemesi almayacak | haber |
| PLANLI | Rails 8.0 öncesi seriler | Değiştir: Rails 8.1.4.1 | Active Storage açığı; eski seriler destek dışı | haber |
| PLANLI | Confection (WordPress) | Düzeltme yok: eklentiyi kaldırın | CVSS 10 kimliksiz PHP kod çalıştırma | haber |
Takipte kalın
- Red Hat Quay CVE-2026-123710: düzeltme açık kaynak tarafta koda alındı ama etiketli sürüm ve RHSA yok. Parola ya da robot token yenilemek sahte anahtarı geçersiz kılmıyor; RHSA çıktığı saat listeye YÜKSEK girer.
- LNbits: aktif saldırı var, patch yok; proje operatörlere sunucuyu kapatın diyor.
- D-Link DGS-3130: yamasız zero-day; firmware bekleniyor, üretici DDP'yi kapatmayı öneriyor.
- Ubuntu LTS kernel: CVE-2026-98432 düzeltmesi 6 Kasım itibarıyla yalnızca "proposed" kanalındaydı; ana kanala inişini izleyin. WatchGuard Dimension için de henüz yama yok.
- Windows Error Reporting CVE-2026-97798: PoC yayında; Ekim güncellemesini almamış makineler önce.
- iOS'taki worse_query sandbox escape ve Android'deki GhostMap: ikisinde de düzeltme duyurulmadı.
- Kararlı sürümü olmayanlar: Kubero, Tasmota, AVideo.
Son söz
Sahada iş böyle döner usta: önce internete bakan kapılar, yani VPN, e-posta gateway'i ve tarayıcı; sonra içerideki sunucular. Liste uzun görünür ama ACİL satırları bitirmeden PLANLI'ya el sürmeyin.
İlgili haberler
- Microsoft Kasım 2026 Patch Tuesday: Outlook'ta istismar edilen zero-day, 63 kritik açık
- Chrome'da saldırılarda kullanılan zero-day kapatıldı, XML bileşenindeki CVE-2026-125350 için acil güncelleme
- "Güncelleme: VPN'den ESXi'ye uzanan saldırılarda yeni implant GhostFrame, CVE-2026-0257 zinciri hipervizöre ulaştı"
- "Fortinet Kasım PSIRT: 46 bildirim, 8 kritik açık; FortiOS'ta OSPF authentication bypass (CVE-2026-126253), FortiManager'da FGFM açığı (CVE-2026-126261)"
- Apache HTTP Server'da kritik mod_http2 açığı CVE-2026-119618, 2.4.71 ile kapatıldı
- Zoom Workplace for Windows'ta kritik açık CVE-2026-108186: ağ üzerinden kimlik doğrulamasız yetki yükseltme
- Palo Alto Kasım bülteni: PAN-OS'ta kimlik doğrulamasız bilgi ifşası, Panorama'da root yetkili RCE
- Node.js 16 açığı kapattı: HTTP/2 sunucuları çökertiliyor, HTTPS sunucularında başka bağlantıların belleği okunabiliyor
- Red Hat Quay'de kritik açık CVE-2026-123710: anonim token ile kayıt imza anahtarı eklenebiliyor, özel imajlar açıkta
- Chrome 157.0.8103.78 yayımlandı: 83 güvenlik düzeltmesi, beşi kritik use-after-free
- ManageEngine ServiceDesk Plus ailesinde Reports modülü açığı CVE-2026-12507 ve M365 Manager Plus'ta CVE-2026-12591 kamuya açıklandı
- Citrix Secure Access Client'ta yetki yükseltme açıkları: Windows'ta SYSTEM, Linux'ta root (CVE-2026-118268, CVE-2026-118269)
- Azul Payara'da iki kimliksiz yönetici erişimi açığı: JMX'te CVE-2026-90908, REST yönetim arayüzünde CVE-2026-110003
Görüş Köşe yazıları yazarlarının görüşünü yansıtır; haber değildir. Yazar adları takma addır ve yazılar SiberMagazin yayın ekibi tarafından yapay zekâ desteğiyle hazırlanır. Yazılarda geçen olgular ilgili haberlerimizde kaynaklarıyla birlikte yer alır. Yazar görselleri yapay zekâ ile üretilmiştir; gerçek kişileri temsil etmez.
