Osegi
Güvenlik·1 dk okuma

Outlook CVE-2026-124194 açığı yama gelmeden önce kullanıldı

Microsoft, Outlook'un olağan uyarı vermeden saldırganın sunucusuna bağlanmasına ve Windows oturum bilgilerinin sızmasına yol açan açığı kapattı. Açık zaten istismar ediliyordu.

A laptop showing the Outlook email client with a red security warning shield overlaid on the screen.
Görsel: ギズモード・ジャパン
SUMODialoediviewergiftdetect

Outlook'ta bir dosya açıyorsunuz, hiçbir uyarı çıkmıyor, ama bilgisayarınız arka planda yabancı bir sunucuya bağlanıyor. Outlook'taki CVE-2026-124194 açığı tam olarak buna yol açıyordu. Microsoft, açığı 10 Kasım'da (ABD saatiyle) yayımladığı Kasım ayı güvenlik güncellemesiyle kapattı. Üstelik açık, yama çıkmadan önce zaten istismar ediliyordu.

Japonya'daki JPCERT/CC'nin uyarısına göre, özel hazırlanmış bir ileti dosyası Outlook'ta açıldığında normalde görünmesi gereken uyarı çıkmıyor. Outlook saldırganın yönettiği sunucuya bağlanıyor ve Windows ağ kimlik doğrulamasında kullanılan bilgiler sızabiliyor. Bu bilgileri ele geçiren kişi, bazı durumlarda kurbanmış gibi kimlik doğrulaması yapabiliyor.

Bu, sahte gönderici adresiyle aynı şey mi?

Hayır. Bildiğimiz sahte e-posta gönderen adresi sorunu değil bu. Olay alıcının kendi bilgisayarında gerçekleşiyor.

Etkilenen sürüm, yaması yapılmamış Windows için klasik Outlook. Microsoft 365 Apps for Enterprise, Office LTSC 2021 ve Office LTSC 2024 içindeki sürümler kapsamda.

Outlook açığına karşı nasıl korunulur?

Çözüm basit: Outlook dahil Office ürünlerine en son güvenlik güncellemesini yüklemek. Windows Update ya da Microsoft Update'e bakabilirsiniz. Klasik Outlook'ta bazen "Dosya" → "Office Hesabı" → "Güncelleştirme Seçenekleri" → "Şimdi Güncelleştir" yoluyla elle de güncellenebiliyor. Japonya'daki IPA da zararın büyüyebileceğini belirterek güncellemenin acilen yapılmasını istiyor. Bilgisayarınızın güncellemelerini şirket yönetiyorsa BT biriminin yönergelerini izleyin.

Yama dalgası büyüyor

Kasım güncellemesi CVE numarasına göre 1093 açığı kapattı ve bunların 63'ü en yüksek "kritik" seviyedeydi. Karşılaştırma için: Kasım 2021'de bu sayı 55'ti. Tenable'ın derlemesine göre 2025'in tamamında ise 1130 açık kapatıldı.

İngiltere'nin ulusal siber güvenlik merkezi NCSC, Mayıs 2026'da yapay zekânın açık keşfini hızlandırdığını söyleyerek kurumları bir "yama dalgasına" hazırlanmaya çağırdı. Açığın duyurulmasından istismarına kadar geçen süre şimdiden günlere inmiş durumda ve yapay zekâyla daha da kısalacağı neredeyse kesin. Savunan tarafın bütün delikleri kapatması gerekiyor, saldırgana ise tek bir açık yetiyor.

Göz atmaya değer uygulamalar

SUMO: sayı bulmacası

Doğru kareleri seçin, toplayın, hedefe ulaşın. Öğrenmesi kolay, ustalaşması zor. Ücretsiz, her yaşa uygun.

Dialo: konuşarak dil öğrenin

Yapay zekâ sohbet partneriyle konuşun; her cümleniz düzeltilip kendi dilinizde açıklanarak geri gelsin. 9 dil, A1'den C2'ye.

Etiketler:outlookmicrosoftcve-2026-124194vulnerabilitywindowssecurity update

Aynı günden diğer haberler

Tümünü gör →

Daha fazla: Güvenlik

Tümünü gör →