Son güncelleme: 24 Ekim 2026

Kısa cevap: Microsoft 13 Ekim 2026'da tek seferde 1.411 güvenlik açığı kapattı. Bu kadar yamayı aynı anda test edip uygulamak küçük bir ekip için mümkün değil. Sıralamayı CVSS puanına göre değil şu dört soruya göre yapın: Sistem internete açık mı, açık şu anda saldırılarda kullanılıyor mu, saldırı otomatikleştirilebiliyor mu ve saldırgan sistemin tamamını ele geçirebiliyor mu? Bu soruların yanıtını ücretsiz iki kaynaktan, CISA'nın KEV kataloğundan ve FIRST'ün EPSS skorundan alabilirsiniz.

Birkaç yıl önce ayın ikinci Salı günü gelen Microsoft güncellemeleri bir öğleden sonra okunup bitirilebiliyordu. Artık öyle değil. Ekim 2026 güncellemesini yalnızca listeleyen tablo bile sayfalar sürüyor. Üstelik aynı hafta PHP, Fortinet, Cisco ve Atlassian gibi üreticilerden de kritik yamalar geldi. Bu yazıda tek kişilik ya da küçük bir IT ekibinin bu yükü nasıl sıralayabileceğini anlatıyorum.

Sayılar neden bu kadar büyüdü?

BleepingComputer'ın sayımına göre Microsoft ekim güncellemesinde 1.411 açık kapattı. Bunların 677'si yetki yükseltme, 317'si uzaktan kod çalıştırma açığı. Zero Day Initiative'den Dustin Childs'ın yorumu durumu iyi özetliyor: Microsoft tek bir ayda, daha önceki herhangi bir yılın tamamında kapattığından fazla açık kapattı. Karşılaştırma için 2023 yılının toplamı 914'tü.

Asıl dikkat çekici rakam ise başka. Ekimde kapatılan 1.411 açıktan yalnızca biri yayımlandığı anda saldırılarda kullanılıyordu. Childs'a göre 2026'nın ilk on ayında Microsoft ürünlerinde 15 sıfırıncı gün açığı görüldü. 2023'ün aynı döneminde bu sayı 17'ydi. Yani bulunan açık sayısı katlanarak arttı ama gerçekten saldırıda kullanılan açık sayısı neredeyse aynı kaldı.

Bunun önemli bir nedeni yapay zekâ destekli araçların açık bulmayı hızlandırması. Araştırmacılar ve üreticiler eskiden aylar süren incelemeleri çok daha kısa sürede yapabiliyor. Childs bunu "keşif, istismardan daha hızlı büyüyor" diye özetliyor. Pratik sonucu şu: Açıkları sayısına göre ele almak artık işe yaramıyor. Hangilerinin gerçekten kullanılabilir olduğuna bakmak gerekiyor.

CVSS neden tek başına yetmiyor?

CVSS bir açığın en kötü durumda ne kadar ciddi olabileceğini ölçer. Saldırganların onu gerçekten kullanıp kullanmayacağını söylemez. Ekim listesinde kritik puan almış onlarca Office ve Visio açığı var. Bunların hepsi kullanıcının hazırlanmış bir dosyayı açmasını gerektiriyor. Buna karşılık puanı daha düşük bir açık, internete açık bir sunucuda kimlik doğrulama istemeden çalışabiliyorsa çok daha acildir.

Ekimde saldırılarda kullanılan tek Microsoft açığı (CVE-2026-96951) bir "güvenlik özelliğini atlatma" açığı. İnternetten indirilen dosyalara konan uyarı işaretinin atlatılmasını sağlıyor. Puanı listenin en tepesinde değil ama sıralamada ilk yere yazılması gereken açık bu.

Dört soruluk sıralama

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Haziran 2026'da yayımladığı BOD 26-04 direktifiyle federal kurumların yama sırasını dört soruya bağladı. Direktif yalnızca ABD federal kurumlarını bağlıyor ama mantığı her ölçekte işe yarıyor:

  1. Sistem internete açık mı? Kimlik doğrulaması olmayan biri ona dışarıdan ulaşabiliyor mu?
  2. Açık KEV kataloğunda mı? Saldırılarda kullanıldığı kanıtlandı mı?
  3. Saldırı otomatikleştirilebiliyor mu? Saldırgan bütün adımları bir betikle, insan müdahalesi olmadan yapabiliyor mu?
  4. Etki tam kontrol mü? Saldırgan sistemin tamamını mı yoksa yalnızca bir kısmını mı ele geçiriyor?

Direktifte en acil grup için tanınan süre üç gün. Bu grup, KEV'de olan, tam kontrol sağlayan ve internete açık ya da otomatikleştirilebilir açıklardan oluşuyor. Üstelik bu sürede yalnızca yama yapmak yetmiyor, sistemin daha önce ele geçirilip geçirilmediğine de bakılması isteniyor. Direktifte bir ayrıntı daha var: Bir sistemi internetten çıkarmak da geçerli bir önlem sayılıyor ve tanınan süreyi uzatıyor.

Bu yaklaşımı küçük bir ekip için dört gruba indirmek mümkün:

  • Bugün: KEV'de olan ve sizde internete açık bir sistemi etkileyen her açık. Yamadan sonra iz arayın.
  • Bu hafta: İnternete açık sistemlerde kimlik doğrulama istemeyen uzaktan kod çalıştırma açıkları ve EPSS skoru yüksek olanlar.
  • Ay içinde: Kullanıcının bir dosyayı açmasını ya da bir bağlantıya tıklamasını gerektiren istemci açıkları. Office, tarayıcı ve PDF okuyucu güncellemeleri normal döngüyle gider.
  • Bir sonraki büyük güncellemede: Yalnızca iç ağdan erişilebilen, yetkili hesap gerektiren ve kısmi etki yaratan açıklar.

Hangi kaynaklara bakmalı?

CISA KEV kataloğu: Saldırılarda kullanıldığı kanıtlanmış açıkların listesi. Ücretsiz, JSON ve CSV olarak indirilebiliyor ve e-posta ile abone olunabiliyor. Her kayıtta açığın fidye yazılımı kampanyalarında kullanılıp kullanılmadığı da belirtiliyor. Ekim ayında Fortinet, Palo Alto PAN-OS, Cisco e-posta ağ geçidi, BeyondTrust ve Plex Media Server açıkları bu listeye eklendi.

EPSS: FIRST'ün yayımladığı bu skor, bir açığın önümüzdeki 30 gün içinde istismar edilme olasılığını 0 ile 1 arasında tahmin ediyor. Her gün güncelleniyor ve 15 Haziran 2026'dan beri beşinci sürümü kullanılıyor. Ücretsiz bir API'si var. KEV "kullanılıyor mu" sorusunu, EPSS ise "kullanılması ne kadar olası" sorusunu yanıtlıyor.

CISA Vulnrichment: CISA, CVE kayıtlarına otomatikleştirilebilirlik ve teknik etki bilgisi ekliyor. Yukarıdaki dört sorudan ikisinin yanıtı burada.

Üretici notları: Microsoft ekimde açıkları ilgili oldukları bileşene göre gruplayan "risk cohorts" adlı yeni bir görünüm başlattı. Resmi bir kategori değil ama aynı bileşene ait onlarca açığı tek seferde değerlendirmeyi kolaylaştırıyor.

Pratik: KEV ve EPSS'i PowerShell ile sorgulamak

Aşağıdaki komutlar Windows PowerShell 5.1 ve PowerShell 7'de çalışır. İlki son 30 günde KEV kataloğuna eklenen açıkları listeler:

$kev = Invoke-RestMethod 'https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json'
$since = (Get-Date).AddDays(-30)
$kev.vulnerabilities |
    Where-Object { [datetime]$_.dateAdded -ge $since } |
    Sort-Object dateAdded -Descending |
    Select-Object dateAdded, cveID, vendorProject, product, knownRansomwareCampaignUse |
    Format-Table -AutoSize

Listeyi yalnızca kullandığınız üreticilere daraltmak için:

$urunler = 'Microsoft', 'Fortinet', 'PHP', 'Cisco'
$kev.vulnerabilities |
    Where-Object { $urunler -contains $_.vendorProject -and [datetime]$_.dateAdded -ge $since } |
    Select-Object dateAdded, cveID, vendorProject, product, dueDate |
    Format-Table -AutoSize

Elinizdeki bir CVE listesinin EPSS skorlarını sorgulamak için:

$cves = 'CVE-2026-96951', 'CVE-2026-70024', 'CVE-2026-65674'
$inv = [System.Globalization.CultureInfo]::InvariantCulture
$sonuc = Invoke-RestMethod "https://api.first.org/data/v1/epss?cve=$($cves -join ',')"
$sonuc.data |
    Select-Object cve,
        @{ n = 'Olasilik %'; e = { [math]::Round([double]::Parse($_.epss, $inv) * 100, 2) } },
        @{ n = 'Yuzdelik';   e = { [math]::Round([double]::Parse($_.percentile, $inv) * 100, 1) } } |
    Sort-Object 'Olasilik %' -Descending |
    Format-Table -AutoSize

Sayıları InvariantCulture ile okumamızın nedeni Türkçe Windows'ta ondalık ayırıcının virgül olması. Aksi halde 0.42 gibi bir değer yanlış çevrilir. Yeni yayımlanmış açıkların EPSS skoru ilk günlerde düşük ya da boş gelebilir, bu yüzden skoru birkaç gün sonra tekrar kontrol etmek iyi olur. Bunun ne kadar önemli olduğunu gösteren bir örnek var: Ekimde saldırılarda kullanıldığı kesinleşen CVE-2026-96951'in EPSS skoru 24 Ekim itibarıyla yalnızca yüzde 1,5 civarındaydı. KEV'de olan bir açığı EPSS skoru düşük diye ertelemeyin. KEV her zaman EPSS'ten önce gelir.

Son olarak sunucuya en son hangi güncellemelerin kurulduğunu görmek için:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5 HotFixID, Description, InstalledOn

Ekim 2026'yı bu yöntemle sıralarsak

Yöntemin nasıl çalıştığını görmek için ekim ayının öne çıkan açıklarını dört soruya göre dizelim:

  1. CVE-2026-96951, Windows Shell: KEV'de ve saldırılarda kullanılıyor. Bugün, bütün Windows makinelerde.
  2. PHP2Shell (CVE-2026-109618 ve CVE-2026-109619): Microsoft dışından ama aynı hafta geldi. Kimlik doğrulama gerektirmiyor, tam kontrol sağlıyor ve kavram kanıtı kodları dolaşıyor. İnternete açık her PHP sunucusunda bugün.
  3. CVE-2026-70024, IIS: Zero Day Initiative'e göre kimlik doğrulama gerektirmeden ağ üzerinden yayılabilecek açıklar arasında. İnternete açık IIS sunucularında bu hafta, mümkünse hemen.
  4. CVE-2026-65674, SQL Server (CVSS 8.8): Saldırganın sunucuda oturum açmış olması gerekiyor. SQL Server internete açıksa bu hafta, yalnızca iç ağdaysa planlı döngüde. Ayrıca SQL Server'ın internete açık olmaması gerektiğini de hatırlatalım.
  5. ASP.NET Core açıkları: Ekimde 13 açık var ve ikisi uzaktan kod çalıştırma sınıfında. Herkese açık uygulamaları güncel çalışma ortamıyla yeniden yayımlayın.
  6. Office ve Visio'daki kritik açıklar: Kullanıcının dosya açmasını gerektiriyor. Normal güncelleme döngüsünde.

Bu sıralamada CVSS puanı en yüksek olan açıkların hiçbiri ilk sırada değil. İlk sıradakiler, gerçekten kullanılan ya da kullanılmaya en yakın olanlar.

Küçük ekipler için haftalık rutin

  • Patch Tuesday: Microsoft yamaları her ayın ikinci Salı günü, Türkiye saatiyle akşam 20.00 civarında yayımlanıyor. Çarşamba sabahını değerlendirme için ayırın.
  • KEV aboneliği: CISA'nın e-posta bildirimlerine abone olun. Katalog haftada birkaç kez güncelleniyor ve her bildirim birkaç satırdan oluşuyor.
  • Envanter: Hangi sistemlerin internete açık olduğunu bilmeden ilk soruyu yanıtlayamazsınız. Dışarıdan açık portları ayda bir kontrol edin.
  • Test halkası: Yamayı önce bir ya da iki makineye uygulayın, 24 ile 48 saat bekleyin, sonra kalanına geçin. Bugün grubundaki açıklarda bu bekleme süresini kısaltın.
  • Kayıt tutun: Bir açığı neden ertelediğinizi bir satırla not edin. Bir sonraki ay KEV'e eklendiğinde neyi yeniden değerlendirmeniz gerektiğini hemen görürsünüz.

Her açığı aynı gün kapatmak mümkün değil ve gerekli de değil. Önemli olan, saldırganın bugün kullanabileceği kapıyı bugün kapatmak.

Kaynaklar