Microsoft'un Kasım 2026 güncellemesi haberlere göre rekor sayıda açığı kapatıyor. Aynı hafta SAP, Google Chrome ve Node-RED tarafında da kritik açıklar var. Hepsini aynı anda yamalayamazsınız. Risk sırasına göre bir öncelik listesi hazırladık.
Önemli Çıkarım
Kasım 2026'da yama yükü çok yüksek. Her açığı aynı aciliyetle ele almayın. Önce aktif istismar edilen ve internete açık sistemleri yamalayın. Sonra kritik puanlı açıklara geçin. Geri kalanını normal bakım döngüsüne bırakın.
Bu ay neler var?
Güvenlik haber sitelerine göre Microsoft, Kasım 2026 Patch Tuesday güncellemesinde 1.200'den fazla açığı kapattı. Bu sayı alışılmışın çok üstünde. Sayının bir kısmı bileşenlerin ve CVE kayıtlarının nasıl sayıldığından kaynaklanıyor olabilir. Ama sonuç değişmiyor: BT ekiplerinin önünde büyük bir iş var.
| Ürün | Durum | Öncelik |
|---|---|---|
| Microsoft Outlook (CVE-2026-124194) | Aktif istismar, CISA KEV listesinde | Acil |
| Google Chrome (CVE-2026-125350) | 2026'nın sekizinci aktif istismar edilen Chrome sıfırıncı günü | Acil |
| Node-RED (CVSS 10.0, kimlik doğrulama eksikliği) | Aktif istismar, web shell ve arka kapı kurulumu | Acil (internete açıksa) |
| SAP (Kasım güvenlik günü) | Dört adet en yüksek önem dereceli açık | Yüksek |
| Diğer Microsoft açıkları | Kritik ve önemli dereceli | Risk puanına göre |
Risk tabanlı yama sırası
- 1. Aktif istismar edilenler: CISA KEV listesindeki her açık ilk sıradadır. Saldırganın zaten kullandığı bir açığı beklemeye almayın.
- 2. İnternete açık sistemler: VPN, e-posta, web sunucusu ve uzaktan erişim sistemlerindeki açıklar. Node-RED gibi araçlar dışarıya açıksa aynı gün kapatın.
- 3. Tarayıcı ve e-posta istemcileri: Kullanıcıların her gün dış içerikle karşılaştığı yazılımlar. Chrome ve Outlook bu gruptadır.
- 4. Kritik iş uygulamaları: SAP gibi ERP sistemleri. Değişiklik penceresi planlayın ama ayı geçirmeyin.
- 5. Geri kalanlar: Normal aylık bakım döngüsüne alın.
Pratik öneri
Yamayı test etmek için bir pilot grup kullanın: BT ekibinin kendi cihazları ve her departmandan birkaç kullanıcı. 24-48 saat sorun yoksa geniş dağıtıma geçin. Acil açıklarda pilot süresini kısaltın.
Aylık döngü artık yetmiyor
Bu ay bir şeyi tekrar gösterdi: Saldırganlar açıkları yama yayımlanmadan önce veya hemen sonra kullanıyor. Ayda bir yama yapmak, kritik açıkları haftalarca açık bırakmak demektir. Sürekli yama yönetiminde açıklar önem sırasına göre ve yayımlandıkça kapatılır. Bu yaklaşımı "Patch Tuesday'e Elveda" yazımızda ayrıntılı anlattık.
Moftgate nasıl yardımcı olur?
Moftgate uç nokta yönetimi, Windows ve üçüncü taraf uygulama yamalarını (Chrome dâhil) merkezden dağıtır. Hangi cihazda hangi yamanın eksik olduğunu tek listede gösterir. Pilot grup, onay ve zamanlama kurallarıyla yukarıdaki sırayı otomatik uygulayabilirsiniz. Sistem kurum içinde (on-premises) çalıştığı için yama verisi kurum dışına çıkmaz.
Stratejik Çıkarım
Yama sayısı değil, risk önemlidir. Aktif istismar edilenleri ve internete açık sistemleri önce kapatın. Bu ay bunu yapabildiyseniz en büyük riski azalttınız demektir.
Moftgate Tehdit Araştırmaları Ekibi, aylık yama döngülerini ve aktif istismar edilen açıkları izler; kurumlara risk tabanlı yama sırası önerir.
Uygulayıcılar İçin Uzman Yanıtları
Kasım 2026'da kaç açık kapatıldı?
Haber sitelerine göre Microsoft 1.200'den fazla açığı kapattı. Kesin sayı ve sınıflandırma için Microsoft Security Update Guide sayfasını kontrol edin.
Önce hangi yamayı uygulamalıyım?
CISA KEV listesindeki aktif istismar edilen açıkları ve internete açık sistemlerdeki açıkları önce kapatın. Bu ay Outlook, Chrome ve internete açık Node-RED kurulumları bu gruptadır.
Tüm yamaları test etmeden uygulamak riskli mi?
Evet, bu yüzden küçük bir pilot grup kullanın. Ama acil açıklarda test süresini kısaltın. Saldırının maliyeti, nadir görülen bir uyumluluk sorununun maliyetinden genellikle büyüktür.
Resmi Standartlar ve Kaynakça
- •Microsoft Security Response Center: Security Update Guide ↗(Kasım 2026 güncellemelerinin resmî listesi.)
- •CISA: Known Exploited Vulnerabilities Catalog ↗(Aktif istismar edilen açıkların resmî listesi.)
- •GBHackers: Weekly Cybersecurity Newsletter (2-6 Kasım 2026) ↗(Haftalık açık ve ihlal özeti.)
- •Cybersecurity Hunter: Daily Cybersecurity News Roundup (12 Kasım 2026) ↗(Patch Tuesday, SAP, Chrome ve Node-RED haberleri.)
- •Chrome Releases Blog ↗(Chrome güvenlik güncellemeleri.)