Microsoft takvimi
Güvenlikte Bu Hafta: Rekor Patch Tuesday, PHP’nin Kötü Dönemi, En Eski Güvenlik Açığı, AI Orduları ve Daha Fazlası, Microsoft 1.400’den fazla güvenlik açığını tek seferde kapattı. Önceki rekor Eylül’de geldi. Eylül ayındaki yaklaşık 1.000 açıklık, normal aylık ortalamanın yaklaşık on katına ulaşarak önceki rekoru oluşturdu ve Tenable’a göre Microsoft, yılın bitmesine iki ay kala 4.000 CVE’yi aştı.
Açıklardan yalnızca biri halihazırda istismar ediliyor ve bu açık, Windows 10, 11 ve bazı Server sürümlerini etkileyen Windows Shell güvenlik özelliği atlatma açığı CVE-2026-96951.
Windows sözleri
CVE-2026-108398 daha önce kamuya açıklanmıştı. En az 78 açık “kritik” derecede bulunuyor ve çoğu, kullanıcı etkileşimi olmadan uzaktan kod çalıştırmaya izin veriyor. Çoğu, uzaktan kod çalıştırmaya izin veriyor. Microsoft, Windows 10 için ücretsiz güncellemeleri sessizce Ekim 2027’ye kadar uzattı. Şirket bunu LLM’lere bağlıyor.
TLS açıklamaları
Fortra’nın analizine göre bu yıl yalnızca 26 Microsoft açığı CISA KEV kataloğuna girdi ve yöneticilere önceliklendirme için bu katalog öneriliyor.
Öte yandan Hintli sertifika otoritesi eMudhra’nın (emSign) sekiz ara sertifikasının — altı TLS, iki kod imzalama — özel anahtarlarının ele geçtiği ortaya çıktı. Sertifikalar, Chrome, Apple ve Mozilla’nın güvendiği emSign ECC Root CA – G3’e bağlıydı. “Wayne” adlı bir araştırmacı, anahtarlarla mesaj imzalayarak durumu kanıtladı. Flüpke’nin Mastodon’da paylaştığına göre “EM OV TLS CA – G3C” anahtarının gizli değeri yalnızca 4’tü; diğerleri de kısa sürede kırıldı:
Flüpke’nin Mastodon’da paylaştığı, anahtarların gizli değerlerini gösteren liste; aşağıdaki altı girdiyi aynı sırayla ve kendi biçimiyle içeriyordu.
Anahtarların zaman çizelgesi
Liste altı değerden oluştu. – 56 – 230 – 237 – 115 – 155 – 156 – 66
Anahtarların Nisan 2025’te oluşturuldukları andan itibaren herkese açık sertifikalardan türetilebildiği belirtildi. Engelleme işlemi hızla geldi. The Hacker News’e göre Chrome iki saat içinde engelleme yayınladı, Mozilla ise üç saatten kısa sürede sertifikaları engelleyip kökü NSS’ten çıkardı ve Firefox güncellemesi yayınladı (CVE-2026-113470).