Microsoft Entra ID’deki CVE-2026-69836 için 20 Ağustos 2026’da CVSS 3.1 temel puanını 10.0 açıkladı. 21 Ağustos 1.1 revizyonunda ilk “Exploited: Yes” bilgisini “No” olarak düzeltti ve gerçek dünyada istismar edilmediğini belirtti. Sorun bulut hizmetinde giderildi; kullanıcıların yükleyeceği yama veya bu CVE’yi çözmek için ek işlem yok.
Açık Tam Olarak Ne?
Microsoft’un açıklamasına göre sorun, güvenilmeyen verinin “deserialization” (seri durumdan çıkarma) işlemi sırasında yeterince doğrulanmamasından kaynaklanıyor. Şirketin resmi ifadesiyle: “Microsoft Entra ID’de güvenilmeyen verinin deserialization edilmesi, yetkisiz bir saldırganın ağ üzerinden kod çalıştırmasına izin veriyor.” Bu tür açıklar genellikle saldırganın özel olarak hazırlanmış bir veri paketi göndererek hedef sistemde kendi kodunu çalıştırmasına imkan tanır.
Neden CVSS 10.0?
CVSS (Ortak Zafiyet Puanlama Sistemi) 10.0 puanı, bir açığın ulaşabileceği en yüksek risk seviyesini ifade eder. Bu açığın maksimum puan almasının nedeni; saldırının kimlik doğrulama gerektirmemesi, kullanıcı etkileşimine ihtiyaç duymaması ve doğrudan kod çalıştırma (RCE) ile sonuçlanabilmesi. Entra ID gibi kritik bir kimlik servisinde bu üç koşulun bir arada bulunması, açığı istismar etmesi görece kolay ama etkisi son derece yıkıcı bir tehdide dönüştürüyor.
İstismar Bilgisindeki Düzeltme ve Microsoft’un Yanıtı
Güncel Microsoft kaydında istismar durumu “No”dur. İlk yayın bilgisini aktif saldırı olarak aktaran eski anlatım geçersizdir. Robert Fitzpatrick Microsoft bünyesinde katkı veren kişi olarak listeleniyor.
Kamuya açık teknik ayrıntılar sınırlıdır. Bu durum kurumunuzun ihlal edildiği kanıtı değildir; genel hesap güvenliği incelemesi ile bu CVE’nin yamasını ayrı değerlendirin.
| Bilgi | Detay |
|---|---|
| CVE numarası | CVE-2026-69836 |
| CVSS puanı | 10.0 / 10.0 (kritik) |
| Açık türü | Güvenilmeyen veri deserialization → kimlik doğrulamasız RCE |
| Etkilenen sistem | Microsoft Entra ID (bulut tarafı) |
| Aktif istismar | Hayır — 21 Ağustos revizyonu |
| Kullanıcı işlemi gerekli mi | Hayır, Microsoft tarafında giderildi |
| Duyuru tarihi | 20 Ağustos yayın; 21 Ağustos düzeltme |
Kurumlar Şimdi Ne Yapmalı?
Açık Microsoft’un bulut altyapısında giderildiği için kurumların yükleyebileceği bir yama bulunmuyor. Ancak bu, hiçbir şey yapılmaması gerektiği anlamına gelmiyor. Entra ID gibi kritik bir kimlik servisinde yaşanan bu tür olaylardan sonra güvenlik ekiplerinin proaktif bir inceleme yapması öneriliyor.
Kontrol Listesi
- Koşullu erişim (conditional access) politikalarının güncel ve sıkı olduğunu doğrulayın.
- Yönetici hesaplarında çok faktörlü kimlik doğrulamanın (MFA) zorunlu olduğunu kontrol edin.
- Entra ID oturum açma günlüklerinde (sign-in logs) olağan dışı coğrafi konum veya cihaz aktivitesi olup olmadığını inceleyin.
- Ayrıcalıklı rol atamalarını (Global Admin, Privileged Role Administrator gibi) gözden geçirin.
- Microsoft’un güvenlik danışma sayfasını (Microsoft Security Response Center) takip ederek ek teknik detay yayınlanıp yayınlanmadığını izleyin.
Bu Açık, Daha Önceki Olaylardan Farklı mı?
Farklı Microsoft/macOS olayları farklı saldırı koşullarına sahiptir. Bu CVE’den bütün tenant veya bulut kaynaklarının ele geçirildiği sonucu çıkarılamaz; erişim yetkisi ve olay kapsamı gerekir.
Deserialization Açıkları Neden Bu Kadar Tehlikeli?
Deserialization (seri durumdan çıkarma), bir uygulamanın ağ üzerinden veya dosyadan aldığı veriyi tekrar kullanılabilir bir nesneye dönüştürme işlemidir. Uygulama bu veriye güvenip yeterince doğrulama yapmazsa, saldırgan normal bir veri paketi gibi görünen ama aslında kötü amaçlı komutlar içeren bir yük gönderebilir. Sistem bu yükü “güvenilir” sanıp işlediğinde, saldırganın kodu sunucu üzerinde çalışmış olur. Bu açık sınıfı, geçmişte Java, .NET ve çeşitli bulut servislerinde defalarca kritik güvenlik olaylarına yol açtı; çünkü bir kez istismar edildiğinde saldırgana genellikle sistem üzerinde geniş yetkiler sağlıyor.
Entra ID özelinde bu tehlike daha da büyük bir boyut kazanıyor, çünkü bu servis yalnızca tek bir uygulamayı değil, o kimlikle bağlantılı Microsoft 365, Azure kaynakları ve üçüncü taraf entegrasyonlarının tamamını korumaktan sorumlu. Kimlik servisinin kendisinde bir zafiyet oluşması, saldırganın tek bir noktadan çok sayıda kaynağa erişim sağlamasına yol açabileceği için güvenlik ekiplerinin bu tür olayları hafife almaması öneriliyor.
Sonuç
CVE-2026-69836, kurumsal bulut kimlik altyapısının ne kadar kritik bir saldırı yüzeyi haline geldiğini bir kez daha gösterdi. Microsoft açığı kendi tarafında kapatmış olsa da, saldırının kapsamına dair sınırlı bilgi paylaşması, kurumların kendi güvenlik duruşlarını bağımsız olarak gözden geçirmesini daha da önemli kılıyor. Entra ID kullanan kurumların, bu tür olaylardan sonra erişim günlüklerini düzenli olarak incelemesi ve ayrıcalıklı hesapları sıkı şekilde denetlemesi öneriliyor.
Sık Sorulan Sorular
CVE-2026-69836 nedir?
Microsoft Entra ID kimlik servisinde bulunan, güvenilmeyen verinin işlenmesi sırasında kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına izin veren, CVSS 10.0 puanlı kritik bir güvenlik açığıdır.
Açık hâlâ aktif mi, yama yüklemem gerekiyor mu?
Hayır. Açık, Microsoft’un bulut altyapısı tarafında kapatıldı ve müşterilerin ayrıca bir güncelleme yüklemesi gerekmiyor.
Açık gerçekten istismar edildi mi?
Microsoft 21 Ağustos revizyonunda istismar olmadığını açıkladı; ilk yayındaki “Yes” bilgisi geri çekildi.
Kurumum etkilenip etkilenmediğimi nasıl anlarım?
Microsoft saldırı zinciri hakkında teknik detay paylaşmadığı için kesin bir tespit zor olabilir. Bu durumda oturum açma günlüklerinde olağan dışı aktivite olup olmadığını incelemek ve ayrıcalıklı hesapları gözden geçirmek makul bir ilk adımdır.
Bu tür açıklar ne sıklıkla ortaya çıkıyor?
Büyük bulut ve işletim sistemi platformlarında kritik seviyeli açıklar düzenli olarak bildiriliyor. Son dönemde macOS ve Microsoft ekosisteminde benzer, aktif saldırı altında olan açıklar da tespit edilmişti.
Kaynaklar ve İleri Okuma
Sitedeki ilgili rehberler
- Fransa Vergi İdaresinde Veri İhlali: 678 Bin Kişi Etkilendi
- Comcast Router’lara Hareket Sensörü Ekledi: Gizlilik Riski
- OpenAI, Hugging Face İhlali Sonrası Yeni Güvenlik Önlemleri
CVSS şiddet puanıdır; istismar gerçekleşme ihtimali veya kurumunuzun ihlal olasılığı değildir. MFA, koşullu erişim ve log incelemesi genel güvenlik önlemleridir; Microsoft’un bulut kodundaki bu sorunu müşterinin kendisinin yamalaması anlamına gelmez. Anormal konum kaydı tek başına ihlal, normal kayıt da ihlal yokluğu kanıtı değildir.
Kaynak: Microsoft — 21 Ağustos 2026 revizyonu ve müşteri işlemi bilgisi.
