Outlook'ta NTLMv2 Karmasını Sızdıran Sıfırıncı Gün Açığı Yamandı

Outlook'ta hazırlanan mesaj dosyasını açmak NTLMv2 karmasını dış sunucuya sızdırıyor. Microsoft 10 Kasım'da saldırıdaki açığı kapattı, CISA KEV listesine aldı.

Bellevue'deki The Bravern binasının tepesinde gece ışıklı Microsoft tabelası; Microsoft Kasım 2026 yamalarıyla saldırılarda kullanılan Outlook açığını kapattı

Microsoft Outlook uygulamasında özel hazırlanmış bir mesaj dosyasının açılması, yazılımın olağan dış içerik uyarısını göstermeden saldırganın ağ konumuna bağlanmasına ve kullanıcının NTLMv2 karmasını sızdırmasına yol açıyor. Microsoft, gerçek saldırılarda kullanıldığı tespit edilen ve yama öncesinde kamuya açıklanmayan CVE-2026-124194 kodlu sıfırıncı gün açığı için 10 Kasım 2026 Patch Tuesday güvenlik güncellemesi kapsamında düzeltme yayımladı.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aynı gün CVE-2026-124194 kaydını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek ABD federal sivil kurumlarına satıcı yamalarını uygulama, BOD 26-04 ile «Forensics Triage Requirements» rehberine uyma veya önlem yoksa ürünü kullanmayı bırakma talimatı verdi. Kasım 2026 güncelleme paketinde Microsoft'un kendi ürünlerinde 63'ü kritik, 1.029'ü önemli ve 1'i orta önem derecesinde olmak üzere toplam 1.093 güvenlik açığı giderildi; bu ay saldırılarda istismar edildiği doğrulanan tek kusur CVE-2026-124194 oldu.

CVE-2026-124194 NTLMv2 Karmasını Nasıl Sızdırıyor

MSRC danışmasında Microsoft Outlook kimlik sahtekârlığı (spoofing) açığı ve CWE-356 (ürün arayüzünün güvenli olmayan eylemler için kullanıcıyı uyarmaması) olarak tanımlanan kusur, kimliği doğrulanmamış bir saldırganın kullanıcıyı özel hazırlanmış mesaj dosyasını etkilenen Outlook sürümünde açmaya ikna etmesiyle tetikleniyor. Saldırının gerçekleşmesi için ağ bağlantısı ve dosyanın bizzat açılması gerekiyor; MSRC verilerine göre Outlook Önizleme bölmesi (Preview Pane) bu açık için bir saldırı vektörü oluşturmuyor. Dosya açıldığında doğrudan parola değil, kullanıcıyı taklit ederek kimlik doğrulamakta kullanılabilecek NTLMv2 karması açığa çıkıyor.

Orta önem derecesiyle sınıflandırılan açığın CVSS 3.1 taban puanı 6,5, geçici (temporal) puanı ise 6,2 olarak hesaplandı. Zero Day Initiative (ZDI), kusurun kimlik sahtekârlığı başlığı taşımasına karşın etkisinin adının düşündürdüğünden büyük olduğunu belirterek CVSS 6,5 puanının rehavete sürüklememesi gerektiğini ve Microsoft tarafından istismar olarak işaretlendiği için yama listesinin başına alınmasını önerdi. BleepingComputer'ın aktardığı arka plana göre NTLM kimlik bilgisi sızıntısı sınıfındaki bu tür açıklarda ele geçirilen NTLMv2 karması çevrimdışı olarak kırılabiliyor ve benzer açıklar geçmişte oltalama ekleriyle istismar edildi. MSRC teşekkür notunda açığı bildiren isimler Anthropic Claude kullanan Benoît Sevens ve «nono» olarak yer alırken kullanılan Claude sürümü, saldırgan kimliği, hedefler veya saldırı ölçeği açıklanmadı.

Etkilenen Office Sürümleri ve Güvenlik Derlemeleri

MSRC kayıtlarına göre CVE-2026-124194 hem 32 bit hem de 64 bit mimaride şu kurumsal Office sürümlerini etkiliyor:

Office LTSC 2021: Güvenlik düzeltmesi 16.0.14334.21048 derlemesiyle sunuldu.
Office LTSC 2024: Güvenlik düzeltmesi 16.0.17932.21140 derlemesiyle sunuldu.
Microsoft 365 Apps for Enterprise: Güncel derleme bilgileri Microsoft'un Office güvenlik sürümleri sayfasında paylaşıldı.

Kasım Paketindeki Diğer Kritik Açıklar ve Sayım Farkı

Microsoft'un 10 Kasım'da kapattığı 1.093 açığın etki dağılımı 535 yetki yükseltme, 296 uzaktan kod çalıştırma, 156 bilgi ifşası, 46 hizmet engelleme, 27 güvenlik özelliği atlatma, 22 kimlik sahtekârlığı ve 11 kurcalama olarak kaydedildi. Toplam 63 kritik açığın 48'i uzaktan kod çalıştırma, 15'i yetki yükseltme sınıfında bulunuyor. Tenable dökümüne göre Word 65, Excel 64 ve Outlook 20 CVE kaydı alırken CyberSecurityNews verilerinde Excel'de 12, Word'de 4 ve PowerPoint'te 1 kritik açık yer aldı. Paket genelinde CVE-2026-124194 dışında saldırılarda kullanılmış veya yama öncesinde kamuya açıklanmış başka bir açık bulunmuyor.

Üç kritik Outlook uzaktan kod çalıştırma açığı (CVE-2026-110043, CVE-2026-110068, CVE-2026-111309): CVSS 8,8 puanlı bu üç açıkta MSRC, Önizleme bölmesini saldırı vektörü olarak doğruluyor; CVE-2026-110043'te özel hazırlanmış e-postanın Önizleme bölmesinde görüntülenmesi, saldırganın sistemde hesabı gerekmeden kullanıcının yetkileriyle kod çalıştırmasına imkân tanıyabiliyor. Bu üç açık saldırılarda istismar edilmedi ve sıfırıncı gün açığı niteliği taşımıyor.
Windows Search ve Exchange açıkları: CVSS 9,8 puanlı kritik Windows Search uzaktan kod çalıştırma açığı CVE-2026-116928, MSRC'ye göre Exchange'in ekleri dizinlemek için otomatik işlediği bileşeni özel hazırlanmış ekli e-postayla hedef alabiliyor ve alıcının eki açması gerekmiyor; ZDI bu kusuru «sıfır tıklamalı kod çalıştırma» olarak tanımlıyor. Exchange Server'da ayrıca CVSS 8,8 puanlı kritik CVE-2026-118207 açığı kapatıldı.
Windows LDAP ve Schannel açıkları: CVSS 9,8 puanlı kritik Windows LDAP uzaktan kod çalıştırma açığı CVE-2026-119958, kimliği doğrulanmamış saldırganın özel LDAP çağrılarıyla hizmet bağlamında kod çalıştırmasına yol açabiliyor ve ZDI'ye göre özellikle Domain Controller sunucularında yıkıcı sonuç doğurabilir. Kritik Windows Schannel uzaktan kod çalıştırma açığı CVE-2026-119952 için MSRC «istismar olasılığı daha yüksek» değerlendirmesini paylaştı.
Bulut ve sistem bileşenleri: CVSS 9,8 puanlı kritik Azure OpenAI yetki yükseltme açığı CVE-2026-119990 bülteninde müşteri eylemi gerekli ibaresi yer alsa da ZDI danışmada somut müşteri adımı bulunmadığına işaret etti. Pakette ayrıca Windows Xbox Live Networking Service (CVE-2026-112967, CVSS 9,8), Microsoft Defender (CVE-2026-122194), Azure Managed Grafana (CVE-2026-114160), 8 kritik Hyper-V yetki yükseltme ve 5 kritik Message Queuing uzaktan kod çalıştırma açığı giderildi.

Kaynaklar arasındaki toplam açık sayısı farkı tarayıcı ve üçüncü taraf kayıtlarının hesaplamaya katılmasından kaynaklanıyor: Tenable ve CyberSecurityNews yalnız 10 Kasım'da yayımlanan 1.093 Microsoft CNA kaydını esas alırken SecurityWeek 1.094 açık saydı, BleepingComputer ise 142 Microsoft Edge/Chromium kaydını dahil ederek toplamı 1.235 olarak aktardı; ayrıca Kasım toplamı Ekim 2026 sayısının gerisinde kaldı.

SecurityWeek'in aktardığına göre Kasım 2026 paketi, Windows 11 23H2 Enterprise ve Education sürümleri için son aylık güvenlik güncellemesi oldu; bu sürümler bundan böyle aylık güvenlik yaması almayacak ve Microsoft yıl genelinde 5.000'den fazla açığı düzeltti. Şirket ay başında Kasım paketinden ayrı olarak Microsoft Entra Device Registration yetki yükseltme açığı CVE-2026-109469 için de yama yayımlamıştı.

Türkiye açısından

Office, Microsoft 365 ve Outlook çözümleri Türkiye'deki kamu ve özel sektör kurumlarında yaygın biçimde kullanılıyor. 10 Kasım 2026 saat 23:55 TSİ itibarıyla USOM duyuru listesinde (son bildirim TR-26-1500) Microsoft'un Kasım 2026 güvenlik güncellemelerine ilişkin özel bir bildirim görülmedi; Bu açıkla ilgili Türkiye'den bir kurum, resmî uyarı veya yama takvimi açıklanmadı. CISA KEV kataloğunda CVE-2026-124194 için belirlenen 24 Kasım 2026 son yama tarihi yalnızca ABD federal sivil kurumlarını (BOD 26-04) kapsıyor ve Türkiye'deki kurumlar açısından resmî bir süre niteliği taşımıyor.