Microsoft, 13 Ekim 2026 tarihli aylık güvenlik güncellemesinde Windows Shell bileşenindeki CVE-2026-96951 numaralı açığı kapattı. Microsoft, açığın yayından önce istismar edildiğini tespit ettiğini bildiriyor. ABD siber güvenlik kurumu CISA, kaydı aynı gün Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi ve federal kurumlara düzeltme için 16 Ekim’e kadar süre verdi.
Ne oldu
Microsoft açığı “Windows Shell güvenlik özelliği atlatma” olarak sınıflandırıyor; CISA’nın KEV kaydı ise aynı açığı komut enjeksiyonu (CWE-77) sınıfında tanımlıyor ve ağ üzerinden erişen yetkisiz bir saldırganın güvenlik özelliğini atlatabildiğini yazıyor. Microsoft’un güvenlik güncelleme rehberine göre açık “Önemli” (Important) derecesinde, CVSS 3.1 taban puanı 8,8; saldırı ağ üzerinden, ayrıcalık gerektirmeden ama kullanıcı etkileşimiyle gerçekleşiyor. İstismar durumu “Exploitation Detected” (istismar tespit edildi) olarak işaretli; kamuya açıklanmış bir açık değildi.
Kullanıcı etkileşimi gerektiren bir güvenlik özelliği atlatması, uygulamada çoğunlukla e-posta ya da indirme yoluyla gelen bir dosyanın açılmasıyla tetiklenir; Windows’un kullanıcıyı uyarması gereken noktada uyarının devre dışı kalması, saldırıyı bir sonraki adıma taşır. Microsoft’un kaydında bildiren taraf belirtilmiyor.
Kimleri etkiler
Microsoft’un duyurusu desteklenen Windows istemci ve sunucu sürümlerini kapsıyor. Her ürün için düzeltilmiş yapı numarası güncelleme rehberinde ayrı ayrı listeleniyor. Açığın sahada kullanılmış olması, Ekim güncellemesinin kurumlarda olağan test döngüsü beklenmeden öne alınması için yeterli bir gerekçe.
CISA’nın KEV kaydında “BOD 26-04 kapsamında adli inceleme gerekli” işareti var; bu, ABD federal kurumlarının yalnız yamayı uygulamasını değil, sistemlerde önceden ele geçirme olup olmadığını da araştırmasını gerektiriyor. Diğer kurumlar için bağlayıcı olmasa da yaklaşım aynı: açık yayından önce kullanılmışsa, yama geçmişi temizlemez.
Üretici ne öneriyor
Microsoft’un önerisi, Ekim 2026 güvenlik güncellemesini desteklenen tüm Windows sürümlerine uygulamak. Açık için ayrı bir geçici çözüm ya da yapılandırma önerisi duyuruda yer almıyor. CISA ise üreticinin talimatlarına göre düzeltmenin uygulanmasını istiyor.
Açığın kaydı ve ürün bazlı düzeltilmiş yapı numaraları yan sütundaki Microsoft bağlantısında. Ekim güncellemesinin tamamı Microsoft’un aylık sürüm notlarında.
