Outlook Sıfır Gün Açığı CVE-2026-124194: Yama (Kasım 2026)

Outlook sıfır gün açığı CVE-2026-124194 nedir?

CVE-2026-124194, saldırganların bir düzeltme yokken istismar ettiği bir Microsoft Outlook sahtecilik güvenlik açığıdır; Microsoft bunu 10 Kasım 2026'da yamaladı ^[1][2].

Microsoft'un Güvenlik Güncelleme Rehberi açığı "İstismar Tespit Edildi" ("Exploitation Detected") olarak listeliyor ve yamadan önce kamuya açıklanmadığını söylüyor ^[1]. Zayıflık türü CWE-356'dır; bu, ürünün güvensiz bir eylemden önce kullanıcıyı uyarmadığı anlamına gelir ^[1][6].

Basitçe söylemek gerekirse Outlook, dış bir ağ konumundan içerik almadan önce bir uyarı göstermelidir. Bu hatayla, özel hazırlanmış bir ileti dosyası Outlook'un saldırganın denetimindeki bir sunucuya bu uyarıyı göstermeden bağlanmasını sağlayabilir ^[1][2].

BleepingComputer ve SecurityWeek'e göre bu, Microsoft'un Kasım 2026 sürümündeki aktif olarak istismar edilen tek sıfır gün açığıydı ^[2][3]. Microsoft, bildirdikleri için "nono" olarak bilinen bir araştırmacıyı ve Benoît Sevens'i andı ^[3].

Bu bir güvenlik açığıdır, hizmet kesintisi değil.

Outlook NTLM hash sızıntısı nasıl çalışıyor?

Saldırgan özel hazırlanmış bir ileti dosyası gönderir; kurban bunu etkilenen bir Outlook'ta açarsa Windows saldırganın sunucusunda oturum açmayı deneyebilir ve kullanıcının NTLMv2 hash'ini teslim edebilir ^[1][2].

1. Teslimat: saldırgan kötü amaçlı bir ileti dosyasını e-postayla veya başka yoldan paylaşır ^[1].
2. Kullanıcı eylemi: kurban dosyayı Outlook'ta açar. Microsoft, Önizleme Bölmesi'nin bir saldırı vektörü olmadığını söylüyor; yani açmak için bir tıklama gerekir ^[1].
3. Gizli bağlantı: Outlook, alışılmış dış içerik uyarısı olmadan saldırganın denetimindeki bir ağ konumuna bağlanır ^[1].
4. Hash gönderilir: Windows otomatik olarak kimlik doğrulamayı dener; bu da kullanıcının NTLMv2 hash'ini açığa çıkarır ^[1][2].
5. Kötüye kullanım: saldırgan hash'i çevrimdışı kırmayı deneyebilir veya kullanıcı olarak kimlik doğrulamak için kullanabilir ^[1][2].

NTLM, eski bir Windows oturum açma protokolüdür. Hash parolanın kendisi değildir, ancak BleepingComputer ele geçirilen bir NTLMv2 hash'inin çevrimdışı kırılabileceğini söylüyor ^[2] ve Microsoft, NTLM'nin SMB aktarma (relay), ortadaki adam ve kaba kuvvet saldırılarına açık olduğunu belirtiyor ^[9]. BleepingComputer ayrıca benzer NTLM sızıntı açıklarının daha önce oltalama kampanyalarında kötü amaçlı ekler yoluyla istismar edildiğini not etti ^[2].

Microsoft'un duyurusu kimin saldırıya uğradığı veya saldırının ne kadar yaygın olduğu hakkında ayrıntı vermiyor ^[3].

Hangi Outlook sürümleri etkileniyor ve düzeltilmiş sürümler hangileri?

Microsoft, Microsoft 365 Apps for Enterprise, Office LTSC 2021 ve Office LTSC 2024'ü hem 32 bit hem 64 bit sürümleriyle etkilenen olarak listeliyor ^[1][5].

Kasım 2026 Office güvenlik sürümü 10 Kasım'da yayımlandı ve her güncelleme kanalını kapsıyor ^[5]. Microsoft, CVE-2026-124194'ü bu sürümün Outlook bölümünde listeliyor ^[5]. Aşağıdaki tablo, Microsoft'un her kanal ve sürüm için listelediği düzeltilmiş build'leri gösteriyor. Build'inizi kanalınıza ve sürümünüze uyan satırla karşılaştırın.

Build'inizi bulmak için bir Office uygulamasında Dosya, ardından Office Hesabı'nı (veya Hesap) açın; Ürün Bilgileri bölümü ürün adını ve bazı durumlarda tam sürüm numarasını gösterir, uygulamanın Hakkında düğmesi ise tam sürümü gösterir ^[10]. Güncellemeyi yüklemek için Güncelleştirme Seçenekleri'ni, ardından Şimdi Güncelleştir'i seçin ^[8]. Güncelleştirme Seçenekleri yoksa ve yalnızca bir Hakkında düğmesi görünüyorsa kopyanız toplu lisanslıdır veya kuruluşunuz tarafından yönetiliyordur; Microsoft Update'i kullanın veya yardım masanıza başvurun ^[8].

SecurityWeek aynı üç etkilenen ürünü listeledi ^[3]. Microsoft'un duyurusu yalnızca Office ürünlerini etkilenen olarak listeliyor ve düzeltme için Office güvenlik sürüm notlarına yönlendiriyor; dolayısıyla bir Windows kümülatif güncellemesi çözüm değildir ^[1][5].

Outlook sıfır gün açığı ne kadar ciddi?

Microsoft açığı Orta olarak, CVSS 3.1 temel puanı 6,5 ile derecelendiriyor; ancak saldırılar zaten yaşandığı için hızlı eylem gerektiriyor ^[1][3][4].

CVSS vektörü, kullanıcı etkileşiminin gerekli olduğunu (kullanıcının bir dosya açması gerekir), gizlilik üzerinde yüksek etki olduğunu ve bütünlük ya da erişilebilirlik üzerinde etki olmadığını gösteriyor ^[1].

Üç olgu, pratik aciliyeti puanın ötesine taşıyor:

• Doğrulanmış istismar: Microsoft açığı istismar edilmiş olarak işaretledi ve CISA onu 10 Kasım 2026'da Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi ^[1][4].
• Kimlik bilgisi hırsızlığı: Microsoft, sızan hash'in kullanıcı olarak kimlik doğrulamak için kullanılabileceğini söylüyor ^[1] ve NTLM'nin aktarma ve kaba kuvvet saldırılarına açık olduğunu not ediyor ^[9].
• Oltalama ile teslimat: BleepingComputer, benzer NTLM açıklarının daha önce oltalama kampanyalarında kötü amaçlı ekler yoluyla istismar edildiğini söylüyor ^[2].

CISA, ABD federal sivil kurumlarına düzeltmeyi uygulamaları için 24 Kasım 2026'ya kadar süre verdi ^[4]. CISA, fidye yazılımı gruplarının açığı kullanıp kullanmadığının bilinmediğini söylüyor ^[4]. Japonya'daki JPCERT/CC de kullanıcıları güncellemeleri uygulamaya çağıran bir uyarı yayımladı ^[6].

CVE-2026-124194'e karşı nasıl korunursunuz?

Önce Kasım 2026 Office güncellemesini yükleyin; Microsoft'un duyurusu güncellemeyi çözüm olarak listeliyor ve ayrı bir geçici çözüm vermiyor ^[1][5]. Ardından aşağıdaki genel sertleştirme adımlarını değerlendirin ^[7][9].

1. Office'i güncelleyin: Outlook'ta Dosya, Office Hesabı, Güncelleştirme Seçenekleri, Şimdi Güncelleştir'i seçin veya güncellemeyi yönetim araçlarınızla dağıtın ^[5][8].
2. Build'i doğrulayın: Outlook'ta gösterilen build'i Microsoft'un kanalınız için verdiği listeyle karşılaştırın ^[5].
3. Giden SMB'yi engelleyin: Microsoft'un genel SMB rehberi, kurumsal güvenlik duvarında internete giden TCP 445 numaralı bağlantı noktasının engellenmesini öneriyor ve Azure Files veya Office 365 gibi bir genel bulut hizmeti gerektirmedikçe buna ihtiyaç duymanızın olası olmadığını söylüyor ^[7]. Bu, katmanlı savunmadır; bu açık için Microsoft'un listelediği bir geçici çözüm değildir.
4. Dizüstü bilgisayarları da kapsayın: Microsoft, kullanıcıları kimlik bilgilerini toplayan kötü amaçlı sunuculara yönlendiren oltalama saldırılarını azalttığı için dizüstü bilgisayarlarda genel ağlar için giden güvenlik duvarı kuralları öneriyor ^[7].
5. Giden NTLM'yi kısıtlayın: Windows ilkesi "Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers" giden NTLM'yi denetleyebilir veya reddedebilir; Microsoft önce Audit all'u seçip günlüğü incelemenizi öneriyor ^[9].
6. İleti dosyalarına dikkat edin: tanıdık kişilerden gelse bile beklenmedik ileti eklerini açmayın.

Ele geçirilen bir hash çevrimdışı kırılabildiği için ^[2], uzun ve benzersiz bir parola daha iyi savunmadır. Pouyam rehberi Password Managers Explained: How They Work and Whether They Are Safe yazısına bakın.

Şüpheli bir ileti dosyası açtıysanız ne yapmalısınız?

Genel bir önlem olarak, oturum açtığınız Windows veya iş hesabının parolasını değiştirin ve BT ekibinize bildirin; böylece oturum açma günlüklerini kontrol edebilirler.

Microsoft'un duyurusu, açığın kullanıcının NTLMv2 hash'ini açığa çıkardığını ve bunun kullanıcı olarak kimlik doğrulamak için kullanılabileceğini söylüyor ^[1]; böyle bir dosyayı zaten açmış olabilecek kişiler için adım vermiyor. Ele geçirilen bir hash eski paroladan türetilir; dolayısıyla yeni bir parola, o hash'in artık hesapla eşleşmediği anlamına gelir.

• Bildirin: BT veya güvenlik personeline dosyayı açtığınız zamanı ve göndereni söyleyin.
• E-postayı saklayın: silmeyin; araştırmacıların diğer alıcıları bulmasına yardımcı olur.
• Oturum açmaları kontrol edin: yöneticiler hesap etkinliğini tanımadık konumlar ya da cihazlar için inceleyebilir.
• Çok faktörlü kimlik doğrulama kullanın: kırılmış bir parolanın çevrimiçi hizmetlerde oturum açmak için daha az işe yaramasını sağlar, ancak saldırganın hash'i kırmayı denemesini engelleyemez.

Giden NTLM ilkesini denetim moduna ayarlayan yöneticiler, denemelerin cihazdan NTLM kimlik doğrulama istekleri alan sunucuları belirleyen NTLM işletim günlüğüne kaydedildiğini görecek ^[9]. Ev kullanıcıları için adımlar daha basit: Office'i güncelleyin, tuhaf bir dosya açtıysanız parolanızı değiştirin ve iki adımlı oturum açmayı etkinleştirin. Pouyam rehberi Two-Factor Authentication Explained: Which 2FA Method Is Safest? seçenekleri karşılaştırıyor.

Microsoft Kasım 2026 Patch Tuesday'de başka neleri düzeltti?

Microsoft'un Kasım 2026 sürümü 1.000'den fazla güvenlik açığını düzeltti, ancak kaynaklar farklı saydı: SecurityWeek 1.094, BleepingComputer 1.235 bildirdi ^[2][3].

İki kaynak da farkı tam açıklamıyor. BleepingComputer, toplamının ay içinde daha önce düzeltilen 108 açığı içermediğini söylüyor ^[2]; SecurityWeek ise ürün dökümü veriyor ve Microsoft'un yeniden yayımladığı 165 üçüncü taraf CVE'sinden de söz ediyor ^[3]. BleepingComputer, açıkların 66'sının Kritik olarak derecelendirildiğini söyledi ^[2]. SecurityWeek 726 Windows ve Office'te 174 açık saydı ^[3].

Outlook hatası, istismar edilmiş olarak işaretlenen tek açıktı ^[1][2][3]. SecurityWeek'in bildirdiğine göre sürüm, Windows 11 sürüm 23H2 Enterprise ve Education sürümleri için son aylık güvenlik güncellemelerini de içeriyordu ^[3].

Ekim sürümü rekor düzeyde daha büyüktü: BleepingComputer 1.411, SecurityWeek 1.413 düzeltme bildirdi ^[2][3]. BleepingComputer, Microsoft'un güvenlik açıklarını bulmak ve yamalamak için yapay zekâyı kullanmaya devam ettiğini not etti ^[2]. Ev kullanıcıları için pratik tavsiye her ay aynı: Windows Update ve Office güncellemelerinin yüklenmesine izin verin, sonra yeniden başlatın.

Outlook ileti dosyası saldırıları insanlara nasıl ulaşıyor?

Bunun gibi saldırılar genellikle oltalama olarak gelir: BleepingComputer'ın benzer NTLM açıkları için anlattığı gibi kötü amaçlı bir ek içeren bir e-posta ^[2].

Microsoft, saldırganın kullanıcıyı kötü amaçlı bir dosyayı açmaya ikna etmesi gerektiğini söylüyor ^[1]. Bu, sıradan oltalama farkındalığını ilk savunma hattı yapıyor. Beklenmedik eklere, acil taleplere ve adresi adıyla uyuşmayan gönderenlere dikkat edin.

Daha geniş bir kontrol listesi için Pouyam rehberi What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes yazısına bakın.

Kuruluşlar ayrıca dış gönderenlerden gelen ileti dosyası eklerini posta ağ geçidinde süzebilir ve bir ileti şirket dışından geldiğinde kullanıcıları uyarabilir. Bu adımlar yamanın yerini tutmaz, ancak dosyayı hiç görecek kişi sayısını azaltır.