Tek ayda 1.400 güvenlik açığı: Microsoft'un rekor yaması ve “risk kohortları” fikri

13 Ekim 2026 Salı günü yayımlanan Microsoft güncellemesi, aylık yama döngüsünün tarihindeki en büyük paket oldu. Sayı, kimin nasıl saydığına göre biraz değişiyor: Rapid7 1.413, Cisco Talos ve Zero Day Initiative 1.415, Tenable 1.407 CVE diyor. Hangi rakamı alırsanız alın, tablo aynı: Microsoft ilk kez tek bir Patch Tuesday'de dört haneli sayıda açık kapattı.

Karşılaştırma için: Eylül ayındaki paket de zaten bir rekordu ve yaklaşık bin CVE içeriyordu. iTnews'in analizine göre bir yıl önce, Ekim 2025'te bu sayı 180 civarındaydı. Yani bir yılda yaklaşık sekiz katlık bir artıştan söz ediyoruz.

Bu yazıda yalnızca “çok fazla yama var” demekle kalmayıp iki şeye odaklanacağım: Microsoft'un bu yükü yönetmek için önerdiği risk kohortları fikri ve bu ayki pakette geliştiricileri doğrudan ilgilendiren başlıklar.

Sayılar neden bu kadar arttı?

Microsoft resmi bir açıklama yapmadı. Rapid7, 2026 boyunca açık sayısının sektör genelinde arttığını ve bunun süreceğini beklediğini yazıyor. Zero Day Initiative (ZDI) ise artışın büyük ölçüde yapay zekâ destekli hata avcılığından kaynaklandığını düşünüyor. ZDI'a göre yapay zekâ yeni hata üretmiyor, var olan hataların bulunma süresini kısaltıyor.

Bence asıl önemli olan da şu ayrım: Bulunan açık sayısı, istismar edilen açık sayısından çok daha hızlı artıyor. Bu ay 1.400 küsur açığın yalnızca biri aktif olarak saldırıda kullanılıyor. ZDI'ın verdiği örnek de bunu destekliyor: 2023'ün ilk on ayında 17 Microsoft sıfırıncı gün açığı vardı, bu yıl aynı dönemde 15. Yani tehdit aynı hızla büyümüyor; büyüyen şey, ekiplerin önüne gelen iş listesi.

Risk kohortu nedir?

MSRC, güncellemeyle aynı gün bir blog yazısı yayımlayarak deneysel bir yaklaşım önerdi. Fikir basit: Pek çok CVE, sizin ortamınız hakkında aynı soruyu sordurur. Örneğin uzak masaüstüyle ilgili 65 açık için her seferinde “RD Gateway internete açık mı?” diye ayrı ayrı bakmak yerine, bu soruyu bir kez cevaplayıp sonucu tüm gruba uygulayabilirsiniz.

Microsoft bu ay için 15 geçici kohort tanımladı ve her CVE'yi bir gruba eşleyen bir PDF yayımladı. En büyük gruplardan bazıları:

• Windows dosya sistemleri, depolama ve yedekleme: 136 CVE
• Office belge ve e-posta istemcileri: 135 CVE
• Windows grafik, medya ve içerik işleme: 131 CVE
• Windows çekirdek ve ayrıcalık sınırları: 109 CVE
• Uzak erişim ve RDP dağıtımları: 65 CVE

Bir kohorttaki açıkların kök nedeni ya da CVSS puanı aynı olmak zorunda değil. Ortak olan şey, ortamınız hakkında sormanız gereken soru.

Neyi değiştirmiyor?

Microsoft bu konuda epey temkinli. Kohortlar resmi bir sınıflandırma değil, güncelleme önerilerini değiştirmiyor ve Security Update Guide'da şimdilik görünmüyor. Ayrıca kohortlar tehlike sıralaması da yapmıyor. Önceliği hâlâ aktif istismar, önem derecesi, saldırı vektörü ve kullanıcı etkileşimi gibi ölçütler belirliyor. Microsoft geri bildirimleri CVE@microsoft.com adresinden topluyor.

ZDI'ın yorumu ilginç: Bu yaklaşım, bir bileşene ait birden fazla açığın tek bültende toplandığı eski güvenlik bülteni dönemini hatırlatıyor. Yani bir anlamda geriye, ama daha akıllı bir şekilde dönülüyor.

Geliştiriciler için bu ayın öne çıkanları

Paketin büyük kısmı Windows bileşenleri, ama geliştirici araçları da az değil. Splashtop'un sayımına göre geliştirici araçlarında 61 CVE kapatıldı. Dikkat çekenler:

• Visual Studio Code, CVE-2026-102238 (CVSS 9.6): Uzaktan kod çalıştırma. Editörünüz ve eklentileriniz güncel değilse öncelik verin.
• ASP.NET Core, CVE-2026-88092 (9.4) ve CVE-2026-70188 (9.1): Sırasıyla veri bütünlüğü ihlali (tampering) ve güvenlik özelliği atlatma. Kendi uygulamanızı yeni runtime ile yeniden derleyip dağıtmanız gerekebilir; sunucuyu güncellemek tek başına yetmeyebilir.
• .NET Framework, CVE-2026-108398 (8.8): Yama yayımlanmadan önce detayları kamuya açılmıştı. Sistemde zaten yer edinmiş bir saldırgan, kötü niyetli bir .NET assembly ile App Control for Business (eski adıyla WDAC) korumasını atlatabiliyor.
• PowerShell, CVE-2026-83578 (9.8) ve OpenSSH for Windows, CVE-2026-97816 (9.8): Geliştirici makinelerinde ve build sunucularında sık bulunan iki bileşen.
• MessagePack-CSharp, CVE-2026-92707 (5.3): Üçüncü taraf bir kütüphanede DoS açığı. Projenizde bu paketi kullanıyorsanız NuGet bağımlılığınızı kontrol edin.

Aktif olarak istismar edilen tek açık ise CVE-2026-96951: Windows Shell'de Mark of the Web (MOTW) uyarısını atlatmaya yarayan bir hata. Saldırgan, kullanıcıya özel hazırlanmış bir dosya açtırarak internetten gelen dosyalar için gösterilen uyarıyı devre dışı bırakabiliyor. Tenable'a göre bu, 2026'da sahada istismar edilen üçüncü Windows Shell açığı.

Pratikte ne yapmalı?

Bin küsur CVE'yi tek tek okumak gerçekçi değil. Benim önerim şöyle bir sıralama:

1. Önce istismar edilenler: CVE-2026-96951'i tüm Windows uç noktalarına hızla dağıtın, ardından detayları açık olan .NET Framework açığını kapatın. CISA'nın KEV listesini de takip edin.
2. Sonra dışarıya açık servisler: DHCP, DNS, RD Gateway, Exchange, internete açık QUIC kullanan sunucular.
3. Geliştirici ortamı: VS Code, .NET SDK ve runtime, PowerShell ve OpenSSH. CI ajanlarınızı ve container base imajlarınızı unutmayın; yamalar genelde en son oraya ulaşır.
4. Kohort mantığını kendi ekibinize uyarlayın: Microsoft'un listesini birebir kullanmasanız bile, “bu sistem internete açık mı, güvenilmeyen dosya işliyor mu, kim yönetici?” gibi soruların cevabını bir kez yazıp saklamak, her ay tekrarlanan işi ciddi biçimde azaltır.

Küçük bir not daha: Windows 11 24H2 Home ve Pro sürümleri bu ay son güvenlik güncellemesini aldı. Ekibinizde hâlâ bu sürümde kalan makine varsa yükseltmeyi planlayın.

Sonuç

Bu ayki rakam tek başına korkutucu görünebilir, ama asıl mesaj başka: Açık keşfi yapay zekâ ile hızlanırken yama yönetiminin de yöntem değiştirmesi gerekiyor. CVE sayısına bakarak panik yapmak yerine, ortamınızı tanıyan ve soruları bir kez cevaplayan bir süreç kurmak çok daha sürdürülebilir. Microsoft'un risk kohortları henüz deneysel olsa da bu yöndeki ilk ciddi adımlardan biri. Önümüzdeki aylarda sayıların düşmesini beklemek yerine, bu yeni normale göre süreç kurmak daha akıllıca görünüyor.