Windows'ta 1.400 Açık, 2 Sıfır-Gün: Peki Kim Tarıyor?

Bir rakamı önce söyleyelim: 1.410. Bu, Microsoft'un sadece bu ay, sadece tek bir Salı güncellemesinde kapattığı güvenlik açığı sayısı. Geçen ay bu rakam 1.000'e yakındı, bu ay onu da geride bıraktı. Peki her ay rekor kıran bu sayı bize ne anlatıyor — Windows gittikçe mi güvensizleşiyor, yoksa sadece artık daha iyi mi arıyoruz?

Cevap ikincisine daha yakın görünüyor ama bu da başka bir soruyu doğuruyor. Microsoft, bu devasa tarama işini artık kendi geliştirdiği "multi-model agentic scanning harness" adlı bir yapay zeka aracına, kod adıyla MDASH'e yaptırıyor. Yani şirket, kendi ürününün açıklarını bulmak için yapay zekaya güveniyor — ve bulduğu her ay bir öncekini katlıyor. Bu, iyi haber mi kötü haber mi, tartışılır. Sistem gerçekten daha iyi hale mi geliyor, yoksa o kadar çok delik mi vardı ki ancak şimdi fark ediliyor?

Yama Neyi Kapatıyor, Neyi Söylemiyor

14 Ekim'de yayınlanan güncelleme, 80 kritik güvenlik açığını ve iki sıfır-gün (zero-day) zafiyetini düzeltiyor. Sıfır-gün, yaması çıkmadan önce ya kamuya açıklanmış ya da saldırganlar tarafından zaten kullanılmış açık demek — yani Microsoft bu iki konuda işi yetiştirmek zorunda kaldı, keyfi bir öncelik değil.

Bunlardan biri, CVE-2026-96951 kodlu açık, Windows Shell'deki bir zafiyeti kullanarak saldırganın güvenlik korumasını atlamasına izin veriyordu — ve zaten vahşi doğada (gerçek saldırılarda) kullanılmış durumda. Patch yönetim şirketi Action1'in uyarısına göre, bu açık kullanıcıları özel hazırlanmış dosyaları açmaya ya da kötü amaçlı içerikle etkileşime girmeye ikna ederek istismar edilebiliyordu — yani klasik bir sosyal mühendislik kapısı. İkinci sıfır-gün, CVE-2026-108398, .NET Framework'teki bir açığı hedef alıyor ve yaması çıkmadan önce kamuya duyurulmuştu. Burada sorulması gereken soru şu: Microsoft bu açığı ne zaman öğrendi, kamuya duyurulana kadar neden bekledi?

Bu ay aynı zamanda Windows 11 26H2'nin ilk resmi güncellemesi, Windows 11 24H2 Home ve Pro sürümleri için ise son destek yaması. 24 aylık destek ömrünü dolduran 24H2 kullanıcıları artık güvenlik yaması almayacak — yani yükseltmeyen herkes bundan sonra açık kapıyla yaşayacak. Aynı kader, 10 Kasım'da destek süresi dolacak Windows 11 23H2 Enterprise ve Education sürümlerini de bekliyor.

Güvenlik dışında güncelleme, File Explorer'daki önizleme paneli sorunlarını, bulut tabanlı dosyaların küçük resim önizlemelerini ve Bluetooth bağlantı kararlılığını da düzeltiyor. Bonus olarak Copilot tuşunu artık sağ Ctrl ya da sağ tık menüsü olarak yeniden atayabiliyorsunuz — yapay zeka asistanını tetiklemek istemeyenler için küçük ama anlamlı bir özgürlük.

Bu Ne Anlama Geliyor?

Buradaki asıl hikaye yama sayısı değil, bu sayıyı kimin ürettiği. Microsoft artık kendi işletim sistemindeki açıkları bulmayı büyük ölçüde bir yapay zeka ajanına devretmiş durumda. Bu, daha önce Google'ın Chrome'daki 1.072 açığı 60 günde nasıl bulduğunu yazdığımız haberle de örtüşüyor — büyük teknoloji şirketleri artık güvenlik taramasını insan mühendislerden yapay zekaya devrediyor. Peki bu gerçekten daha güvenli bir gelecek mi yoksa sadece daha hızlı keşfedilen, aynı hızda istismar edilen bir yarış mı? Daha önce ele aldığımız gibi, yapay zekanın açık bulma hızı ile kurumların yama yetiştirme hızı arasındaki uçurum giderek büyüyor; 1.400 açığın hepsini kaç kurum gerçekten zamanında yamalıyor, bu soru havada asılı kalıyor.

Ayrıca dikkat çekici bir detay: sıfır-günlerden biri zaten istismar edilmiş durumda bulundu. Yani MDASH ne kadar hızlı tarasa da, saldırganlar bazen hâlâ bir adım önde. Bu da şu soruyu gündeme getiriyor — yapay zekayla güvenlik taraması yapmak, güvenlik açığı sayısını azaltmak yerine sadece onu daha hızlı görünür kılıyor olabilir mi?

Türkiye'ye Etkisi

Türkiye'de milyonlarca Windows 11 24H2 kullanıcısı için bu ay kritik bir eşik: destek süresi dolduğu için artık güvenlik yaması almayacaklar. Kurumsal BT departmanlarının ve bireysel kullanıcıların en kısa sürede 26H2'ye geçiş yapması, özellikle istismar edilmiş sıfır-gün göz önüne alındığında, ertelenebilecek bir şey değil. Ayrıca kamu kurumları ve KOBİ'ler için, 23H2 Enterprise/Education sürümünün 10 Kasım'daki son tarihi de aynı aciliyeti taşıyor.