SearchLeak Açığı: Prompt Enjeksiyonu ve Klasik Hatalar, Tek Bir Tıklamayı Veri Hırsızlığına Nasıl Dönüştürdü?

Haziran 2026'da Varonis Threat Labs, bir CVE raporundan çok bir casus romanını andıran bir güvenlik açığını gün yüzüne çıkardı. SearchLeak adı verilen bu istismar zinciri, Microsoft 365 Copilot Enterprise Search'te, bir kullanıcının en hassas verilerini (e-postalar, tek kullanımlık MFA kodları, şifre sıfırlama bağlantıları ve dizine eklenmiş dosyalar) çalmak için meşru bir microsoft.com bağlantısına yapılan tek bir tıklamadan fazlasını gerektirmiyordu. Şifre formu yok, ikinci bir tık yok, açık bir komut yok. Saldırı, Microsoft'un kendi alan adında yaşadığı için anti-phishing (oltalama önleme) filtrelerine görünmezdi.

Microsoft tarafından "kritik" olarak sınıflandırılan CVE-2026-42824 kodlu bu açık, herhangi bir kötüye kullanım gerçekleşmeden sunucu tarafında yamalandı ve müşterilerin hiçbir şey yapması gerekmedi . Asıl hikaye yamanın kendisi değil, onu mümkün kılan dahice üç aşamalı zincir ve bunun, yapay zeka ile güçlendirilmiş kurumsal araçların güvenliği hakkında ortaya koydukları.

SearchLeak Neden Önemli?

SearchLeak tek bir felaket düzeyinde hata değildi. Her biri dikkatlice sırayla kullanılan üç küçük zayıflığın bir zinciriydi. Tek başlarına hiçbiri bir kriz yaratmazdı. Bir araya geldiklerinde, oturum açmış kullanıcının Microsoft Graph aracılığıyla erişebildiği her şeye (e-postalar, takvim davetleri, toplantı notları, SharePoint belgeleri ve OneDrive dosyaları ) uzanabilen sessiz, tek tıklamalı bir veri sızdırma hattı oluşturdular.

En önemlisi, güvenlik araştırmacılarının bir süredir uyardığı bir modelin altını çizdi. Ocak 2026'da, Varonis'teki aynı laboratuvar, son kullanıcıya yönelik Copilot Personal ürününe yönelik neredeyse aynı bir tek tıklamalı saldırı olan Reprompt'u ifşa etmişti. Daha da önce, Haziran 2025'te Aim Security, zararlı bir belgeye gömülü bir prompt enjeksiyonunu silah haline getiren sıfır tıklamalı bir güvenlik açığı olan EchoLeak'i ortaya çıkarmıştı . SearchLeak'in ortaya çıkışı, kurumsal düzeydeki güvenlik önlemlerinin altta yatan risk sınıfını ortadan kaldırmadığını, sadece saldırganların yaratıcı olması için çıtayı yükselttiğini gösterdi.

Üç Hatalı Zincir

SearchLeak zincirindeki her halka kendi başına öğreticidir, ancak birleşik etkileri saldırıyı bu kadar güçlü kılan şeydi.

Aşama 1: Parametreden Komuta (Parameter-to-Prompt) Enjeksiyonu

Copilot Enterprise Search, kullanıcının doğal dildeki sorgusunu içeren bir URL parametresi olan q'yu kabul eder. Varonis araştırmacıları, bu parametrenin yalnızca bir arama ifadesini değil, aynı zamanda rastgele ve gizli komut talimatlarını da kabul ettiğini keşfetti .

Bir saldırgan, kimliği doğrulanmış bir kullanıcı tarafından yüklendiğinde, Copilot'a bağlantının gösterdiğinden tamamen farklı bir şey yapması talimatını veren bir URL oluşturabilirdi. Örneğin, bir bağlantı, yapay zekaya kurbanın posta kutusunda tek kullanımlık bir MFA kodu aramasını, bu kodu bir resim URL'sine gömmesini ve yanıta eklemesini söyleyebilirdi. Kurban, Microsoft markalı bir arama sayfası görürdü. Copilot ise enjekte edilen komutu sessizce yerine getirirdi .

Varonis'in Parametreden Komuta (P2P) enjeksiyonu olarak adlandırdığı bu teknik, daha önce Copilot Personal'a yönelik Reprompt saldırısının da kalbinde yer alan mekanizmanın aynısıydı .

Aşama 2: Temizleme İşlemini Atlatan Bir Yarış Durumu (Race Condition)

Copilot, HTML biçimlendirmesi (bir <img> etiketi gibi) içeren bir çıktı ürettiğinde, sunucu tarafındaki bir temizleyicinin (sanitizer), tarayıcının bunu zararsız düz metin olarak görmesi için çıktıyı kod bloklarına sarması gerekir. Sorun neydi? Bu sarma işlemi yalnızca içerik tamamen oluşturulduktan sonra gerçekleşiyordu .

Ancak tarayıcı, yanıt akış halindeyken onu işlemeye başlar. Bu nedenle, saldırganın enjekte ettiği <img> etiketi, akışta görünür görünmez isteğini ateşler—temizleyici daha çalışmaya bile başlamadan. Kod bloğu göründüğünde, resim URL'si zaten istenmiş ve yoluna kodlanmış veri kurbanın tarayıcısını çoktan terk etmiştir .

Bu, yapay zeka tarafından üretilen içerik bağlamında ölümcül hale gelen klasik bir yarış durumudur. Eski bir savunma mekanizması, yapay zeka çıktısının saldırgan tarafından kontrol edilebildiği bir dünya için yeniden tasarlanmamıştı.

Aşama 3: CSP İzin Listesindeki Bing Uç Noktası Üzerinden Veri Sızdırma

İlk iki aşama mevcut olsa bile, son bir engel vardı: m365.cloud.microsoft alan adındaki İçerik Güvenliği Politikası (CSP), rastgele harici sunuculardan gelen görüntüleri engeller. Ancak, *.bing.com izin listesindedir .

Bing'in "Görsele Göre Ara" uç noktası, bir URL'nin sunucu tarafında getirilmesine izin verir. SearchLeak istismarında saldırgan, çalınan veriyi resim arama yolunun bir parçası olarak ekledi (örneğin,

https://www.bing.com/images/search?q=/Guvenlik_Kodunuz_847291/img.png

Saldırgan, yalnızca Bing'in sunucusunun kandırılarak istek göndermesini sağladığı kendi görsel uç noktasının günlüklerini izledi.

Tek Bir Tıklamanın Aldatıcı Basitliği

Tüm zincir otomatik olarak yürütüldü. Kurban bir bağlantıya tıkladı. Copilot kendi verilerini aradı. Çıktı tarayıcıya akışla geldi. Bir <img> etiketi ateşlendi. Bing'in sunucusu saldırganın URL'sini getirdi. Veriler sızdırıldı. Tüm bunlar, kullanıcının tarayıcısı sayfayı işlemeyi bitirmeden önce oldu.

Saldırıyı tespit etmek zordu çünkü:

• URL, güvenilir bir Microsoft alan adındaydı ve URL tarayıcıları ile itibar kontrollerinden kaçıyordu .
• Hiçbir kimlik doğrulama iletişim kutusu veya ikinci bir tıklama tetiklenmedi; kurbanın mevcut oturumu kullanıldı.
• Tüm giden istekler, izin verilen Microsoft altyapısına yapıldı.

Çalınabilecek veriler teorik değildi. Araştırmacılar, dakikalarca geçerli kalan tek kullanımlık MFA kodlarını ve şifre sıfırlama bağlantılarını, takvim ayrıntılarını ve Copilot tarafından indekslenen hassas belgeleri vurguladı .

Önem Derecesi Bulmacası: Kritik, ama Hangi Puan?

CVE-2026-42824, önem derecelendirmeleri konusunda kısa bir tartışmaya yol açtı. Microsoft, güvenlik açığına en yüksek dahili önem etiketi olan Kritik'i atadı, ancak CVSS v3.1 temel puanı olarak 6.5 (Orta) verdi. Gerekçe: Saldırının, puanı düşüren bir kullanıcı etkileşimi (tek tıklama) gerektirmesiydi .

Bazı kaynaklar, Ulusal Güvenlik Açığı Veritabanı'ndan (NVD) 7.5 (Yüksek) puan bildirdi . Ancak pratikte, TNW'nin analizi de dahil olmak üzere birçok inceleme, hem Microsoft CSAF kaydının hem de NVD girişinin aynı 6.5 vektörünü yansıttığını belirtti . Daha yüksek bir puan algısı, bağımsız analistlerin daha geniş etki varsayımları altında hesaplama yapmasından veya erken raporlamayı yankılamasından kaynaklanmış olabilir.

Sayı ne olursa olsun, fikir birliği açıktı: Tek bir tıklama, bir kuruluşun en hassas verilerini ifşa edebilirdi.

Copilot Güvenlik Açığı Silsilesi

SearchLeak bir boşlukta ortaya çıkmadı. Diğer iki dönüm noktası niteliğindeki yapay zeka veri sızdırma keşfine katıldı:

• EchoLeak (CVE-2025-32711) — Haziran 2025. Aim Security'den sıfır tıklamalı bir güvenlik açığı. Copilot'un otomatik olarak işlediği bir belgeye yerleştirilmiş bir prompt enjeksiyonu kullanıyordu. Hiçbir kullanıcı etkileşimi gerekmiyordu. CVSS 9.3 .
• Reprompt — Ocak 2026. Varonis, son kullanıcı düzeyindeki Copilot Personal'ın aynı P2P enjeksiyon tekniğiyle ele geçirilebileceğini gösterdi. Kötü amaçlı yazılım yok, eklenti yok, sadece özel olarak hazırlanmış bir URL .

Ortak nokta, yapay zekanın temel yeteneğini (talimatları takip etme) bir saldırı yüzeyine dönüştüren bir tehdit olan prompt enjeksiyonudur. Sonraki her güvenlik açığı, bir yüzeyi (Tüketici vs. Kurumsal) yamalamanın veya güvenlik duvarları eklemenin (belge işleme vs. arama sorguları) bu sınıfı ortadan kaldırmadığını; yalnızca saldırganın yaratıcılığını yeniden yönlendirdiğini göstermiştir .

Kiracı Yöneticileri Şimdi Ne Yapmalı?

SearchLeak'in kendisi yamalandı ve herhangi bir müşteri işlemi gerektirmiyor. Ancak teknik ortadan kalkmıyor ve güvenlik ekipleri çıkarılan dersleri uygulamaya koymalı.

Copilot Arama URL'lerini İzleyin. q parametresi hala açıkta. Proxy günlüklerinizden akan Copilot Enterprise Search URL'lerinde kodlanmış HTML, betik benzeri yükler veya şüpheli derecede uzun talimat dizileri olup olmadığını kontrol edin .

Bing resim uç noktalarına yapılan anormal giden istekleri izleyin. Bir kullanıcının aniden *.bing.com adresine, özellikle kodlanmış veya sızdırılmış veriye benzeyen sıra dışı resim arama yollarıyla birden fazla istek oluşturması alarm zillerini çaldırmalıdır .

Copilot'un indekslenmiş yüzeyini sınırlayın. "En az yetki" prensibiyle veri yönetişimi uygulayın. Gelecekteki bir güvenlik açığının, kullanıcının erişebildiği her şeyin çalınması anlamına gelmemesi için Copilot'un hangi SharePoint sitelerini, OneDrive klasörlerini ve posta kutularını indeksleyebileceğini kısıtlayın. Copilot'un Microsoft Graph izinlerini düzenli olarak denetleyin ve azaltın .

SearchLeak ifşası, tek bir yamanın hikayesi değil, prompt enjeksiyonu ile klasik web güvenlik açıklarının gelişen kesişim noktasına dair bir uyarıydı. Kuruluşlar, verilerine derin erişimi olan yapay zeka yardımcı pilotlarını benimserken, yapay zeka çıktısını güvenilir içerik olarak gören güvenlik modelleri yeniden gözden geçirilmelidir. Bir sonraki zincir aynı üç hatayı kullanmayacak, ancak neredeyse kesinlikle aynı modeli yeniden kullanacak.