Microsoft, 5 Kasım 2026 tarihinde yayımladığı güvenlik bülteninde Entra Device Registration bileşeninde yetki yükseltme açığı bulunduğunu duyurdu. CVE-2026-109469 koduyla izlenen ve CVSS 10.0 taban puanı verilen açık, CWE-639 sınıflandırmasıyla tanımlandı. Şirket, zafiyeti bulut altyapısında tamamen azalttığını ve kullanıcı tarafında yüklenecek bir yama bulunmadığını bildirdi.
MSRC verilerine göre 5 Kasım 2026 tarihinde paylaşılan güvenlik kaydı, 6 Kasım 2026 tarihinde NVD kataloğuna girdi. Açığın kamuya önceden sızmadığı ve aktif olarak istismar edilmediği açıklandı. Sistem yöneticileri için yayımlanmış herhangi bir güncelleme paketi veya KB numarası yer almıyor.
Açık nasıl tanımlanıyor
Resmi kayıtlarda yer alan bilgiye göre açık, Entra Device Registration hizmetinde kullanıcı denetimli anahtar üzerinden yetkilendirme atlatılması şeklinde gerçekleşiyor. Ağ üzerinden gelen ve kimliği doğrulanmamış bir saldırganın sistemde yetki yükseltmesine olanak tanıyabileceği aktarılıyor. Değerlendirmede güvenlik açığı için CWE-639 etiketi kullanıldı.
Microsoft tarafından paylaşılan CVSS 3.1 puanı 10.0 seviyesinde belirlendi. Vektör analizi; saldırının ağ üzerinden yürütülebildiğini, karmaşıklığın düşük olduğunu, ayrıcalık ve kullanıcı etkileşimi gerekmediğini gösteriyor. Ürün sınıfı yalnızca barındırılan bulut hizmeti (exclusively-hosted-service) olarak etiketlendiği için geleneksel yerel yazılım yaması modeli uygulanmıyor.
Müşteri ne yapmalı
Microsoft, bulut ortamında gerekli önlemleri aldığını ve açığın hizmet tarafında tamamen azaltıldığını belirtti. Şirketin sunduğu bilgilendirmeye göre kuruluşların veya sistem yöneticilerinin yapması gereken zorunlu bir teknik işlem bulunmuyor. Kaydın yayımlanma gerekçesi bulut güvenliğindeki şeffaflık süreci olarak açıklandı.
Ne yapmalı sorusuna karşılık zorunlu bir güncelleme adımı sunulmasa da güvenlik ekipleri MSRC duyurusunu takip edebilir. Ekipler, olağan operasyonel süreçleri kapsamında kendi kiracı kayıtlarını ve günlüklerini genel izleme amacıyla inceleyebilir.
Türkiye açısından
Türkiye açısından bakıldığında kurumsal yapılarda Microsoft ve Entra kimlik çözümleri yaygın olarak kullanılıyor. Etkilenen bileşen doğrudan bulutta barındırılan bir hizmet olduğu için Türkiye'deki kiracılar da aynı altyapıdan yararlanıyor. Açığa dair Türkiye'de bir kurumu etkileyen olay veya resmi bildirim bulunmuyor. Kullanıcıların yükleyeceği bir yama yer almazken Microsoft altyapıdaki azaltmanın tamamlandığını bildiriyor.
Kaynaklar
- Microsoft MSRC — CVE-2026-109469 Entra Device Registration Elevation of Privilege Vulnerability, 5 Kasım 2026
- CVE.org — CVE-2026-109469
- NVD — CVE-2026-109469
- Microsoft — Toward greater transparency: Unveiling Cloud Service CVEs
Kapak görseli (temsili): zincir ve asma kilit ile güvenceye alınmış dizüstü bilgisayar — Richard Nowell, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, küçültüldü). Entra Device Registration veya Microsoft ürün görüntüsü değildir.
