Microsoft, 14 Temmuz 2024 tarihli Patch Tuesday güncellemesinde tam 570 CVE'yi (Ortak Güvenlik Açıkları ve Etkilenmeler) yamalayarak tüm zamanların rekorunu kırdı. Bu devasa güncelleme dalgası, şirketin daha önce yaptığı uyarının ardından geldi: Aracı yapay zeka (agentic AI) kullanarak yeni güvenlik açıklarını keşfetme çalışmaları, müşterilere sunulan güvenlik güncellemelerinin sayısını artıracaktı. Bugcrowd'un baş strateji ve güven sorumlusu Trey Ford, bu durumun öngörülebilir gelecekte yeni normal olduğunu belirtti. Ford, "Asıl hikaye ekonomik. Yapay zeka, güvenlik açıklarını bulma maliyetini düşürdü ve bu hacim artışı bir tavan değil, yeni bir taban... en azından bir süreliğine," dedi. Liderlik ekiplerine yama hacmini aylık bir sürpriz olarak görmeyi bırakmaları ve bunu sabit bir işletme maliyeti olarak finanse etmeleri gerektiğini vurguladı: "Kazanan kuruluşlar, bu ay en hızlı yama yapanlar değil, önümüzdeki aylarda artış devam ettiğinde ölçeklenebilecek bir süreç inşa edenler olacak."
Temmuz ayındaki Patch Tuesday güncellemesi, üç zero-day (sıfırıncı gün) güvenlik açığını da içeriyor; bunlardan ikisi aktif olarak istismar edilmiş durumda. Bunlardan ilki olan CVE-2026-56155, Active Directory Federation Services (AD FS) içinde bir ayrıcalık yükseltme (EoP) zafiyeti. Rapid7 baş yazılım mühendisi Adam Barnett, "Bugün AD FS'de sekiz zafiyet daha yayınlandı, hepsi Microsoft'un özel ciddiyet ölçeğinde Önemli olarak derecelendirildi," dedi. "Danışma belgesi, saldırganın konumunu açıkça tanımlamıyor, ancak bir saldırganın hedef sistemde bir yer edinmesi ve buradaki ayrıcalık yükseltme fırsatını zincirlemesi muhtemel." İkinci istismar edilen zero-day ise CVE-2026-56164; bu da bir EoP açığı, ancak bu sefer Microsoft SharePoint Server'da. Saldırı için mevcut herhangi bir ayrıcalık gerekmiyor ve Microsoft, istismarı "düşük karmaşıklık" olarak nitelendiriyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu zafiyetin ve bu yılın başlarında yayınlanan diğer iki zafiyetin istismarına karşı kuruluşlara SharePoint sistemlerini güçlendirme çağrısı yaptı.
Kamuya açıklanan üçüncü zero-day ise CVE-2026-50661: Windows BitLocker güvenlik özelliği atlatma zafiyeti. Bu zafiyet, saldırganların şifrelenmiş verilere erişmesine olanak tanıyabilir. İstismar için yetkisiz bir saldırganın hedef makineye fiziksel erişime sahip olması gerekiyor. Bu da özellikle dizüstü bilgisayarlar, taşınabilir cihazlar ve fiziksel güvenlik önlemlerinin zayıf olduğu ortamlar için ciddi bir risk oluşturuyor. BitLocker, genellikle hassas verilerin korunması için kullanıldığından, bu zafiyetin etkisi büyük olabilir. Microsoft, bu zafiyet için bir güncelleme yayınlamış olsa da, kullanıcıların yamayı hemen uygulaması ve fiziksel güvenlik önlemlerini gözden geçirmesi kritik önem taşıyor.
Uzmanların Görüşleri
Toplu Yama Dönemi: Temmuz Patch Tuesday ile birlikte toplamda 254 EoP zafiyeti, 145 uzaktan kod yürütme (RCE) hatası ve 102 bilgi ifşası zafiyeti için güncelleme yayınlandı. Bunların 59'u kritik olarak derecelendirildi ve bunların büyük çoğunluğu (48) RCE zafiyetleriydi. Ancak Microsoft, yama hacmini artıran tek satıcı değil. Google, bu ay Edge/Chromium için 460'tan fazla hatayı düzeltti ve Adobe, yama sıklığını ayda ikiye çıkardı. Qualys güvenlik araştırma müdürü Mayuresh Dani, "Bu eğilim öngörülmüştü ve şu anda gerçekleştiğine dair kanıtlar görüyoruz. Daha gelişmiş ve ileri düzey yapay zeka modelleri kullanılabilir hale geldikçe, yukarı yönlü eğilimin devam etmesini ve ardından yavaşlamasını bekleyebiliriz," yorumunu yaptı. Dani, "Gözlemlediğimiz şey, yapay zeka otomatik fuzzing, LLM destekli varyant avcılığı ve ölçekte statik analizin, hataları kuruluşların düzeltebileceğinden daha hızlı keşfettiğidir," diye ekledi.
Qualys, kuruluşlara bu yeni duruma uyum sağlamaları için çağrıda bulundu. Artan yama hacmi karşısında, geleneksel aylık yama döngüleri yetersiz kalabilir. Kuruluşların, yamaları önceliklendirmek ve dağıtmak için otomatik araçlar kullanması, risk tabanlı bir yaklaşım benimsemesi ve sürekli güvenlik açığı taraması yapması gerekiyor. Özellikle kritik altyapı ve hassas verilere sahip sistemler, zero-day zafiyetlerine karşı ek koruma katmanları ile güçlendirilmelidir. Ayrıca, fiziksel güvenlik önlemleri de gözden geçirilmeli; BitLocker gibi şifreleme teknolojilerinin yanı sıra, cihazların fiziksel erişime karşı korunması sağlanmalıdır.
Detaylar ve Etkileri
Sonuç olarak, Microsoft'un rekor kıran bu güncellemesi, siber güvenlik dünyasında yapay zeka çağının getirdiği yeni bir dönemin habercisi. Artık güvenlik açıkları daha hızlı ve daha fazla sayıda keşfediliyor. Bu durum, kuruluşların güvenlik yönetim stratejilerini kökten değiştirmelerini gerektiriyor. Yama yönetimini sabit bir işletme maliyeti olarak görmek, otomasyonu artırmak ve sürekli izleme yapmak, bu yeni normda ayakta kalmanın anahtarı. Unutulmamalıdır ki, kazananlar sadece en hızlı yama yapanlar değil, aynı zamanda en iyi hazırlananlar olacaktır.
Kaynak: infosecurity-magazine.com
