Patch Nöbeti, 14 Kasım: bugün hangi upgrade'ler bekliyor?

Bak usta, yeni gün, yeni pano; ama iş emirleri dünden devralındı. Her saat başı bakıyorum: yeni bülten geldiyse en üste yazıyorum, listeyi baştan diziyorum. Sıralama basit: saldırıda kullanılan açık önce (ACİL), Türkiye'de yaygın üründeki kritik açık sonra (YÜKSEK), gerisi bakım penceresine (PLANLI). Her satırın sürümü bağlı olduğu haberden; komut lazımsa habere gir, orada salt okunur kontrol adımları var. Dünün saat saat dökümü 13 Kasım nöbetinde duruyor.

06:00 · Bu saat ne değişti?

• IBM QRadar EDR'da TOTP deneme sınırı açığı: IBM, Security QRadar EDR 3.12 – 3.12.26 için iki açığı kapatan bülten yayımladı. CVE-2026-91869 (8,1) TOTP doğrulamasındaki yetersiz deneme sınırıyla güvenlik kısıtlamalarının aşılmasına, CVE-2026-91868 (6,5) hassas bilginin açığa çıkmasına yol açabiliyor; ikisi de kimliği doğrulanmış saldırgan istiyor. Hedef 3.12.27, workaround yok. Bültende istismar bilgisi yok, KEV'de değil, ürün Türkiye yaygınlık listesinde de yok; satır PLANLI'ya girdi.
• Bak usta, burada kör nokta "operator kendi yükselir" rahatlığı. IBM'e göre onay stratejisi "Automatic" ise yükseltme kendiliğinden gelir; "Manual" seçildiyse güncelleme sizin onayınızı bekler, kimse de fark etmez. Sahada iş böyle dönmez: sürümü gözle doğrulamadan ticket kapanmaz. EDR konsolu uç noktalardaki müdahale yetkisine açılan kapıdır; yükseltmeye kadar konsol yalnızca yönetim ağından görünsün. Kontrol adımları haberde.
• Gün dönerken 7 günlük pencere de kaydı: 6 Kasım tarihli ve KEV işareti olmayan Citrix XenServer ve Microsoft Paint satırları listeden çıktı; "Takipte kalın"daki D-Link DGS-3130 ve Ubuntu LTS kernel notları da öyle. Liste dışı kalmak iş bitti demek değil usta; kurmadıysanız iş emri sizde açık duruyor.
• Geceden bu yana gelen diğer haberler patch tarafında değil: Osaka Belediyesi'nde 1 milyon e-posta adresi, OpenAI'ın robotik ekibi kararı ve FAA'in ABD genelindeki ground stop'u. Hiçbirinde hedef sürüm yok, listeye girmediler.

Bugünün upgrade listesi

Takipte kalın

• Windows SignDrop (CLFS): exploit kodu açıkta, CVE ve patch yok, iddia henüz bağımsız doğrulanmadı. Microsoft patch yayımladığı saat listeye girer; sahada istismar raporlanırsa ACİL'e çıkar.
• N-central 4EverAble2Shell / Agent2Shell: istismar başladı, yetki yükseltme açığına CVE yok, düzeltme yok. N-able yeni hotfix çıkardığı saat ACİL satırın hedefi o sürüme çekilir. Şimdilik miner kuruyorlar ama RMM sunucusu yönetilen her cihaza giden kapıdır; iz bulan sunucuyu ele geçirilmiş saysın.
• ScreenConnect eklenti kampanyası: initial access yöntemi doğrulanmadı; BlackPoint davranışı KEV'deki CVE-2026-84869 ile ilişkilendiriyor ama bu kampanyada kullanıldığı netleşmedi. ConnectWise sürüm duyurduğu saat listeye girer; o zamana kadar on-premises'te üçüncü taraf eklentiler kapalı.
• Qlik Sense reverse shell denemeleri: Cynet'e göre AB'deki birkaç ortamda denemeler engellendi, initial access yöntemi bilinmiyor; davranış 2023'teki CACTUS saldırılarını andırıyor. Saldırganın sunucusunda Apache ActiveMQ (CVE-2023-46604) ve Veeam (CVE-2024-40711) exploit'leri hazır bekliyordu. İnternete açık Qlik Sense'i olan habere gitsin; yanındaki ActiveMQ ve Veeam'in bu iki patch'i kurulu mu, ona da baksın.
• SQL Server brute force kampanyası: FortiGuard Labs'e göre internete açık SQL Server'larda zayıf parola deneniyor, giren XMRig tabanlı miner ve Gh0st RAT türevi kuruyor. Patch işi değil; SQL portu internete açık sunucu varsa habere gidin.
• Windows Kasım güncellemelerinin bilinen sorunları: yazdırma hatası ve SLMGR'de 0x80041008. Microsoft aktivasyon düzeltmesini önümüzdeki günlerde bekliyor, yazdırma için tarih yok. Düzeltme çıktığı saat YÜKSEK'teki Windows satırına eklenir; o zamana kadar yeni cihaz dağıtımı ve KMS geçişi mümkünse beklesin, paket yerinde kalsın.
• SQL Server linked server bağlantı sızıntısı: Ekim'den beri çıkan Windows güncellemeleri OLE DB linked server bağlantılarını kapatmıyor. Out-of-band düzeltme bekleniyor; çıkınca Kasım paketiyle aynı pencereye alın.
• MISP Modules CVE-2026-127016 / CVE-2026-127046: son sürüm 8 Kasım tarihli v3.1.4, düzeltme ondan sonra commit olarak geldi. Yeni sürüm etiketi çıktığı saat listeye PLANLI girer; o zamana kadar arayüz kapalı, anahtarlar yenilenmiş olsun.
• FortiMail 7.2: bildirimlerde düzeltilmiş sürüm yok, IBE parola sıfırlama açığı için 7.2.10 bekleniyor. Yeni bildirimlere göre FortiMail 8.0.3 ile FortiRecorder ve FortiVoice düzeltmeleri de "yakında"; çıktıkları saat satır güncellenir.
• Red Hat Quay 5 ve ara dallar: Quay 3'ün sekiz dalına RHSA geldi, satır listeye girdi. Quay 5 Red Hat kaydında hâlâ "etkileniyor", düzeltmesi listelenmedi; 3.11 ve 3.13 gibi dallar için de kayıt yok. Parola ya da robot token yenilemek sahte anahtarı geçersiz kılmıyor; Quay 5 düzeltmesi çıktığı saat satıra eklenir.
• Gömülü TCP/IP stack'leri: Forescout'un bildirdiği 66 yeni açıktan 24'ü düzeltildi, 29'u hâlâ inceleniyor. Contiki, lwIP, Ethernut, wolfIP gibi stack'leri kullanan IoT ve OT cihazlarında üretici bildirimi çıktığı saat listeye girer; destek dışı cihaz için satır "değiştir" olur.
• Siemens'in düzeltme bekleyen ürünleri: AMIS TS, blueplanet 360, Spectrum Power 4 ve Industrial Edge Common Configurator için düzeltme henüz yok; üretici değerlendirmenin sürdüğünü, listenin değişebileceğini söylüyor. Düzeltme çıktığı saat ACİL'deki satırın hedefi doldurulur.
• Trezor Safe 5 implantı: Trezor, eski satıcısı CryptoBilis'ten alınan üç Safe 5'te recovery phrase'i kopyalayan implantı doğruladı. Firmware 2.13.1 bilinen implantları etkisiz kılıyor ama önceden kopyalanmış yedeği korumuyor; şu ana kadar bulgu yalnızca bu satıcının Safe 5 cihazlarında. O satıcıdan cihaz alan fonlarını yeni recovery phrase'li cüzdana taşısın; başka satıcı ya da modelde bulgu çıkarsa buraya yazarım.
• llama.cpp v1.0.0: llama-server tarafında DNS rebinding ve SSRF düzeltmeleri geldi, CVE ve şiddet puanı yok. Sürüm eski fonksiyonları da kaldırıyor, upgrade önce test ortamında denensin; llama.cpp'yi gömülü kullanan araçlar kendi takvimiyle geçer. CVE atanır ya da istismar raporlanırsa listeye girer; o zamana kadar llama-server internete doğrudan açık durmasın.
• LNbits: aktif saldırı var, patch yok; proje operatörlere sunucuyu kapatın diyor.
• Windows Error Reporting CVE-2026-97798: PoC yayında; Ekim güncellemesini almamış makineler önce.
• iOS'taki worse_query sandbox escape ve Android'deki GhostMap: ikisinde de düzeltme duyurulmadı.
• Kararlı sürümü olmayanlar: Kubero, Tasmota, AVideo.

Son söz

Sahada iş böyle döner usta: önce internete bakan kapılar, yani VPN, Check Point Mobile Access portalı, NetScaler Gateway, e-posta gateway'i ve eski Exchange'in OWA'sı; sonra RMM sunucusu, EDR konsolu ve içerideki sunucular. ACİL satırları bitirmeden PLANLI'ya el sürmeyin; Check Point'te gateway'i yükseltip yönetim sunucusunu eski take'te bırakmak da işi yarım bırakmaktır.