CISA, Microsoft Outlook'taki CVE-2026-124194 açığının aktif olarak istismar edildiğini doğruladı. Açık, Windows kimlik doğrulama özetlerinin (hash) sızmasına yol açabiliyor. Yama takvimini, geçici önlemleri ve tespit adımlarını anlatıyoruz.
Önemli Çıkarım
CVE-2026-124194, Microsoft Outlook'ta bulunan ve aktif olarak istismar edilen bir sıfırıncı gün açığıdır. CISA açığı 10 Kasım 2026'da Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi ve ABD federal kurumlarına 24 Kasım 2026'ya kadar yama süresi verdi. Özel sektör için de doğru hedef budur: Kasım güncellemesini bu tarihten önce tüm istemcilere dağıtın.
- Açık, Outlook istemcisinde kullanıcı etkileşimiyle tetiklenebiliyor ve Windows kimlik doğrulama verisini (NTLM özetleri) dışarı sızdırabiliyor.
- Microsoft'a göre açık, güncelleme yayımlanmadan önce kamuya açıklanmamıştı; yani saldırganlar açığı yama yokken kullandı.
- Kesin çözüm Kasım 2026 güvenlik güncellemesidir. Giden SMB trafiğini engellemek ve NTLM kullanımını azaltmak riski ayrıca düşürür.
- Çalınan bir özet, parola kırma veya NTLM aktarma (relay) saldırısı için kullanılabilir. Bu yüzden yamadan sonra da şüpheli hesapları gözden geçirin.
CVE-2026-124194 nedir?
Bu açık, Outlook'un bazı içerikleri işleme biçimindeki bir hatadan kaynaklanıyor. Saldırgan özel hazırlanmış bir e-posta veya öğe gönderir. Kullanıcı bu içerikle etkileşime girdiğinde Outlook, saldırganın kontrol ettiği bir sunucuya kimlik doğrulama isteği yapabilir. Bu istekle birlikte kullanıcının NTLM özeti dışarı çıkar.
Bu saldırı türü yeni değil. Outlook'ta 2023 yılında da benzer bir açık (CVE-2023-23397) geniş çapta kullanılmıştı. Ortak nokta şudur: e-posta istemcisi, kurum dışındaki bir adrese Windows kimlik bilgisiyle bağlanmaya zorlanır.
Neden önemli?
NTLM özeti, parolanın kendisi değildir ama saldırgan için çok değerlidir. Zayıf parolalar çevrimdışı kırılabilir. Daha tehlikelisi, özet başka bir sunucuya aktarılarak (NTLM relay) kullanıcının yetkisiyle oturum açılabilir. Kullanıcı yönetici yetkisine sahipse etki çok büyür.
| Risk | Sonuç |
|---|---|
| Parola kırma | Zayıf parolalı hesaplar ele geçirilir. |
| NTLM relay | Saldırgan, kullanıcının yetkisiyle dosya sunucusuna veya başka sistemlere erişir. |
| Yanal hareket | Ele geçirilen hesapla ağ içinde ilerlenir, veri toplanır. |
Öncelik 1: Yamalayın
- Microsoft'un Kasım 2026 güncellemesini tüm Outlook ve Microsoft 365 Apps istemcilerine dağıtın.
- Önce yöneticileri, finans ekibini ve üst yönetimi yamalayın. Saldırganlar bu hesapları hedefler.
- Güncellemenin gerçekten kurulduğunu sürüm numarasıyla doğrulayın. "Dağıtıldı" ile "kuruldu" aynı şey değildir.
- Uzaktan çalışan ve VPN'e seyrek bağlanan dizüstü bilgisayarları ayrıca takip edin.
Geçici ve kalıcı önlemler
- Güvenlik duvarında kurum dışına giden TCP 445 (SMB) trafiğini engelleyin. Çoğu kurumun buna iş ihtiyacı yoktur.
- Yönetici ve hassas hesapları Active Directory'deki "Protected Users" grubuna ekleyin. Bu grup NTLM kimlik doğrulamasını kullanamaz.
- NTLM kullanımını denetleyin ve mümkün olan yerde kapatın. Önce denetim (audit) moduyla hangi sistemlerin NTLM kullandığını görün.
- SMB imzalamayı (SMB signing) ve LDAP imzalamayı zorunlu yapın. Bu, relay saldırısını zorlaştırır.
Dikkat
Giden SMB engeli ve Protected Users, açığı kapatmaz. Sadece çalınan özetin kullanımını zorlaştırır. Kalıcı çözüm yamadır.
İstismar edildiğinizi nasıl anlarsınız?
- Güvenlik duvarı kayıtlarında istemcilerden internetteki adreslere giden SMB (445) veya WebDAV bağlantılarını arayın.
- Outlook sürecinin (OUTLOOK.EXE) beklenmedik dış adreslere bağlandığı kayıtlara bakın.
- Etki alanı denetleyicisinde olağan dışı NTLM oturum açma olaylarını (Olay Kimliği 4624, kimlik doğrulama paketi NTLM) inceleyin.
- Şüphe varsa ilgili kullanıcıların parolalarını değiştirin ve oturumlarını sonlandırın.
Moftgate nasıl yardımcı olur?
Moftgate yamanın yerini tutmaz. Ancak Moftgate uç nokta yönetimi, Kasım güncellemesinin hangi cihazlarda eksik olduğunu tek ekranda gösterir ve yamayı merkezden dağıtır. Uç nokta görünürlüğü, Outlook sürecinin kurum dışına yaptığı beklenmedik bağlantıları kayıt altına alır. Böylece hem yama açığını hem de olası istismar izini aynı konsoldan takip edersiniz.
Stratejik Çıkarım
Bu açığın son tarihi 24 Kasım 2026. Önce yamalayın, sonra giden SMB trafiğini kapatın ve NTLM kullanımını azaltın. Bu üç adım, gelecekteki benzer Outlook açıklarına karşı da korur.
Moftgate Tehdit Araştırmaları Ekibi, uç nokta ve e-posta kaynaklı tehditleri savunma amacıyla inceler. Bu yazı yalnızca savunma ve farkındalık içindir; istismar kodu içermez.
Uygulayıcılar İçin Uzman Yanıtları
CVE-2026-124194 için yama var mı?
Evet. Microsoft, Kasım 2026 güvenlik güncellemeleriyle açığı kapattı. CISA, federal kurumlar için son tarihi 24 Kasım 2026 olarak belirledi.
Outlook Web (OWA) kullanıcıları etkileniyor mu?
Açık Outlook masaüstü istemcisinde bulunuyor. Etkilenen ürün ve sürümlerin kesin listesi için Microsoft Security Update Guide sayfasına bakın.
Giden SMB trafiğini kapatmak yeterli mi?
Hayır. Bu önlem özetin dışarı çıkmasını zorlaştırır ama açığı kapatmaz. Saldırgan başka protokoller deneyebilir. Kesin çözüm yamadır.
Kullanıcının e-postayı açması gerekiyor mu?
Kaynaklara göre açık kullanıcı etkileşimi gerektiriyor. Bu yüzden farkındalık önemlidir ama tek başına yeterli değildir; yamayı geciktirmeyin.
Resmi Standartlar ve Kaynakça
- •CISA: Known Exploited Vulnerabilities Catalog ↗(Açığın KEV kataloğuna eklenme tarihi ve yama son tarihi.)
- •Microsoft Security Response Center: Security Update Guide ↗(Resmî güvenlik güncellemesi ve etkilenen ürünler.)
- •Cyber Security News: CISA Confirms Active Exploitation of Outlook 0-Day ↗(KEV eklemesi ve 24 Kasım son tarihi.)
- •Cyber Security News: Microsoft Confirms Hackers Are Exploiting Outlook 0-Day ↗(Windows kimlik doğrulama özetlerinin çalınması.)
- •Microsoft Learn: Protected Users Security Group ↗(Protected Users grubunun NTLM kısıtlaması.)