Microsoft, Mayıs 2025 Patch Tuesday güncellemesi kapsamında toplam 120 CVE (Common Vulnerabilities and Exposures) güvenlik açığını giderdiğini duyurdu. Bu açıklardan 17'si kritik seviyede olarak sınıflandırılırken, 14'ü uzaktan kod yürütme (RCE), ikisi ayrıcalık yükseltme (EoP) ve biri bilgi ifşası zafiyeti olarak kaydedildi. İlginç bir detay, 16 güvenlik açığının Microsoft'un yeni çok modelli yapay zeka sistemi MDASH tarafından keşfedilmiş olması. Bu durum, siber güvenlik alanında yapay zekanın artan rolünü bir kez daha gözler önüne seriyor.
Güvenlik araştırmacıları, özellikle Windows Netlogon bileşenindeki CVE-2026-41089 kodlu kritik zafiyete dikkat çekiyor. Rapid7'den Adam Barnett, bu açığın 'alan denetleyicisini korumakla sorumlu herkes için öncelikli olarak ele alınması gerektiğini' vurguluyor. Stack tabanlı bir tampon taşması olan bu zafiyet, CVSS v3 taban puanı 9.8 ile değerlendirilmiş ve saldırganlara alan denetleyicisinde sistem ayrıcalıkları kazanma imkanı sunuyor. Barnett, 'Hiçbir ayrıcalık veya kullanıcı etkileşimi gerekmiyor, saldırı karmaşıklığı düşük. Bu, belirli mekanizmayı bilen biri için güvenilir bir istismar oluşturmanın çok zor olmayacağı anlamına geliyor' diye ekliyor.
Sistem yöneticilerinin öncelik vermesi gereken bir diğer kritik açık ise CVE-2026-41096. Windows DNS istemci uygulamasındaki bu RCE zafiyeti de 9.8 CVSS puanına sahip. Action1 güvenlik araştırma direktörü Jack Bicer, 'DNS kurumsal ortamlarda kullanılan temel bir ağ hizmeti olduğu için, istismar hızla çok sayıda sistemi etkileyebilir. Başarılı saldırılar; yaygın uç nokta ele geçirme, fidye yazılımı dağıtımı, kimlik bilgisi hırsızlığı ve kurumsal ağlarda operasyonel aksamalara yol açabilir' uyarısında bulunuyor.
Nasıl Önlem Alınmalı?
Jack Bicer ayrıca Microsoft Dynamics 365 On-Premises ürünündeki CVE-2026-42898 kodlu kritik RCE açığını da işaret ediyor. Bu zafiyet, düşük ayrıcalıklı kimliği doğrulanmış bir saldırganın Dynamics CRM içindeki işlem oturumu verilerini manipüle ederek kötü niyetli kod çalıştırmasına izin veriyor. Bicer, 'Kullanıcı etkileşimi gerektirmemesi ve güvenlik kapsamı dışındaki sistemleri etkileyebilmesi, bu açığı ciddi bir kurumsal risk haline getiriyor. Temel erişime sahip bir saldırgan, iş uygulaması sunucusunu uzaktan kod yürütme platformuna dönüştürebilir' diyor.
Sonuç ve Değerlendirme
Microsoft'un Windows Attack Research and Protection (WARP) ekibi, bu ayki güncellemede birden fazla kritik zafiyetin keşfedilmesinde kilit rol oynadı. Rapid7'den Barnett, 'WARP ekibinin Microsoft ürünlerine yönelik yapay zeka destekli güvenlik araştırmalarının mevcut durumu hakkında çok şey bildiğini tahmin edebiliriz' yorumunda bulunuyor. Microsoft'un 12 Mayıs'ta yayımladığı bir blog yazısına göre, WARP ekibi, şirketin Otonom Kod Güvenliği (ACS) birimiyle işbirliği yaparak MDASH adı verilen yeni bir yapay zeka sistemi geliştirdi. Bu sistem, 16 yeni güvenlik açığını tespit ederek Mayıs Patch Tuesday listesine girdi.
Detaylar ve Etkileri
Microsoft'un yapay zeka güvenliği başkan yardımcısı Taesoo Kim, MDASH sistemini şöyle açıklıyor: 'Çok modelli yapay zeka tarama sistemi, yapılandırılabilir bir model paneli çalıştırıyor. Bu panel; ağır akıl yürütücü olarak en gelişmiş modelleri (SOTA), yüksek hacimli geçişler için maliyet etkin tartışmacı olarak damıtılmış modelleri ve bağımsız karşıt görüş olarak ikinci bir SOTA modelini içeriyor. Modeller arasındaki anlaşmazlık, kendi başına bir sinyal: bir denetçi bir şeyi şüpheli olarak işaretlediğinde ve tartışmacı bunu çürütemediğinde, bu bulgunun güvenilirliği artıyor.' Bu yenilikçi yaklaşım, güvenlik açığı keşfinde yapay zekanın potansiyelini ortaya koyuyor.
Mayıs Patch Tuesday güncellemesi, yöneticiler için kritik öneme sahip. Özellikle Netlogon ve DNS istemcisindeki yüksek puanlı RCE açıkları, kurumsal ağlar için büyük tehdit oluşturuyor. Microsoft, güncellemelerin bir an önce uygulanmasını öneriyor. Ayrıca, yapay zeka destekli MDASH sisteminin gelecekteki güvenlik açığı keşiflerinde daha da etkili olması bekleniyor. Bu gelişme, siber güvenlik alanında yapay zekanın dönüştürücü gücünü bir kez daha kanıtlıyor.
Kaynak: infosecurity-magazine.com
