Microsoft, Haziran 2026 Patch Tuesday kapsamında toplam 200 güvenlik açığını (CVE) gideren güncellemeleri yayınladı. Bunlardan 33'ü kritik seviyede olup, 28'i uzaktan kod çalıştırma (RCE) zafiyeti olarak öne çıkıyor. Üç adet halka açık zero-day zafiyeti de bu ay kapatılanlar arasında yer alıyor. Sistem yöneticilerinin bu güncellemeleri en kısa sürede uygulaması kritik önem taşıyor.
En dikkat çekici zero-day, CVE-2026-49160 olarak bilinen 'HTTP/2 Bomb' zafiyeti. Yapay zeka destekli araçlarla keşfedilen bu hizmet reddi (DoS) zafiyeti, bir saldırganın sıradan bir ev bilgisayarıyla web sunucularını sadece 20 saniyede çökertmesine olanak tanıyor. Rapid7 kıdemli güvenlik mühendisi Adam Barnett, bu tür zafiyetlerin HTTP/2 ve HTTP/3 standartlarını etkilediğini ve LLM yeteneklerindeki gelişmelerle daha da yaygınlaşacağını belirtiyor.
İkinci zero-day, CVE-2026-50507, Windows BitLocker güvenlik özelliği atlatma zafiyeti. Action1 güvenlik araştırmaları direktörü Jack Bicer, fiziksel erişime sahip bir saldırganın bu açığı kullanarak cihazdaki şifrelenmiş verilere erişebileceğini söylüyor. Bu, işletmeler için hassas verilerin sızması, uyumluluk ihlalleri ve itibar kaybı anlamına gelebilir. Üçüncü zero-day ise CVE-2026-45586, Windows Collaborative Translation Framework (CTFMON) bileşeninde ayrıcalık yükseltme zafiyeti. Action1 kurucu ortağı Alex Vovk, bu açığın 'link following' yöntemiyle düşük yetkili bir kullanıcının sistem yöneticisi yetkilerine ulaşmasına izin verdiğini belirtiyor.
Teknik Analiz
Genel olarak, bu ay en çok ayrıcalık yükseltme (65 CVE) zafiyeti kapatıldı. Bunu uzaktan kod çalıştırma (55), bilgi ifşası (30), kimlik sahtekarlığı (27) ve güvenlik özelliği atlatma (19) izledi. Ayrıca, Microsoft Exchange Server, Windows TCP/IP, Windows DNS ve Windows LDAP gibi bileşenlerdeki kritik uzaktan kod çalıştırma zafiyetleri de (CVE-2026-49164, CVE-2026-49165, CVE-2026-49166, CVE-2026-49167) öncelikli olarak giderilmelidir. Bu güncellemelerin bir an önce uygulanması, olası saldırılara karşı koruma sağlayacaktır.
