CVSS 10.0, potansiyel riskin son derece yüksek olduğunu gösterir; tek başına müşteri ortamlarının ele geçirildiğini kanıtlamaz.

Açığı kim keşfetti, ne zaman açıklandı?

Microsoft, CVE-2026-69836’nın keşfini Baş Güvenlik Mühendisi Robert Fitzpatrick’e atfetti. Güvenlik açığı 20 Ağustos 2026’da kamuoyuna açıklandı.

Microsoft’un hizmet tarafındaki müdahalesi nedeniyle kuruluşların dağıtabileceği geleneksel bir Entra ID güncellemesi bulunmuyor. Mevcut raporlamaya göre Microsoft, sorunun tamamen giderildiğini ve müşteriler için ek bir işlem gerekmediğini bildirdi.

Açık gerçek dünyada istismar edildi mi?

Kamuya açık kayıtlar kısa süre içinde birbiriyle çelişti:

• İlk haberlerde Microsoft’un güvenlik duyurusunda açığın istismar edildiğinin belirtildiği aktarıldı.
• Microsoft, 21 Ağustos’ta duyurudaki istismar alanını “Evet”ten “Hayır”a çevirdi ve The Hacker News’e açığın gerçek dünyada istismar edilmediğini söyledi.
• Bazı güvenlik açığı veritabanları ve ilk haberler ise önceki istismar durumunu göstermeye devam etti. Bu da kamuya açık kayıtlarda çelişki oluşmasına yol açtı.

Eldeki kanıtlara dayanarak varılabilecek en temkinli sonuç, CVE-2026-69836’nın gerçek dünyada doğrulanmış biçimde istismar edildiğinin henüz ortaya konmadığıdır. İlk duyurudaki “istismar edildi” bilgisini Microsoft’un sonraki düzeltmesiyle bağdaştıran somut kanıt sunulmadıkça, doğrulanmış saldırı iddialarına ihtiyatla yaklaşılmalı.

Hangi ayrıntılar hâlâ bilinmiyor?

Mevcut raporlamada şu konularda doğrulanmış kamuya açık bilgi bulunmuyor:

• saldırıların arkasındaki kişi veya gruplar;
• etkilenen müşteri kuruluşları;
• istismarın zaman çizelgesi ya da maruziyet süresi;
• doğrulanmış müşteri etkisi;
• kamuya açık bir istismar kodu veya kavram kanıtı (PoC).

Mevcut haberlerde, istismar kodunun çevrim içi olarak bulunmadığı özellikle belirtildi. Bu, özel olarak geliştirilmiş bir istismarın hiçbir zaman var olmadığını kanıtlamaz; yalnızca kamuya açık kanıtların böyle bir kodun varlığını ortaya koymadığı anlamına gelir.

Müşteriler için yama gerekmese de neden önemli?

Müşteri tarafında kurulacak bir yamanın bulunmaması, güvenlik duyurusunu önemsiz hâle getirmiyor. Entra ID, kuruluşların kimlik doğrulama ve erişim kontrolü süreçlerinin merkezinde yer alan bir hizmettir. Bu nedenle uzaktan erişilebilen, kimlik doğrulama veya ayrıcalık gerektirmeyen bir uzaktan kod çalıştırma açığı, tek bir uygulamanın ötesine uzanabilecek sonuçlar doğurma potansiyeline sahiptir.

Bununla birlikte, mevcut kaynaklar bu potansiyel sonuçların CVE-2026-69836 vakasında gerçekleştiğini göstermiyor. Olası etkiler, doğrulanmış bir ihlal gibi sunulmamalı.

Kuruluşların Microsoft’tan şu konularda açıklama istemesi makul olur:

• hizmetin hangi dönem boyunca risk altında olduğu;
• Microsoft’un ilgili telemetri veya uzlaşma göstergelerini (IOC) inceleyip incelemediği;
• hizmet tarafındaki müdahalenin kapsamı;
• istismar durumunun neden “Evet”ten “Hayır”a düzeltildiği.

Bu ayrıntılar, müşteri tarafında yapılacak bir işlem olmasa bile güvenlik ekiplerinin olay incelemesini kanıta dayalı biçimde tamamlamasına yardımcı olur.

Daha geniş bir bulut güvenliği duyurusunun parçası

CVE-2026-69836, en yüksek önem derecesine sahip başka bulut ve kurumsal ürün açıklarıyla aynı dönemde açıklandı. Aynı duyuru kapsamında Azure SQL Database, Apache Cassandra için Azure Managed Instance, Azure Arc ve Exchange Online’ı etkileyen CVSS 10.0 puanlı sorunlar da yer aldı.

Bu tablo, güvenlik duyurularındaki bilgilerin neden açık ve tutarlı olması gerektiğini gösteriyor. Birden fazla bulut hizmeti aynı anda kritik seviyede güncellendiğinde, güvenlik ekiplerinin şu üç durumu birbirinden ayırabilmesi gerekir: müşterinin yama veya yapılandırma değişikliği yapmasını gerektiren açıklar, sağlayıcı tarafından zaten giderilmiş sorunlar ve istismar edildiği doğrulanmış zafiyetler.

Sonuç

CVE-2026-69836, güvenilmeyen verilerin serileştirilmesiyle ilişkilendirilen, Microsoft Entra ID’deki CVSS 10.0 puanlı kritik bir uzaktan kod çalıştırma açığıdır. Microsoft, açığı Robert Fitzpatrick’in keşfettiğini, sorunun 20 Ağustos’ta açıklandığını ve hizmet tarafında tamamen giderildiğini belirtiyor.

Müşteriler açısından Microsoft’un mevcut yönlendirmesi net: herhangi bir işlem yapılması gerekmiyor. Güvenlik ve risk ekipleri açısından daha zor konu ise çelişkili istismar bildirimini yorumlamak. Microsoft’un 21 Ağustos’taki düzeltmesi sonrasında, kamuya açık kanıtlar doğrulanmış gerçek dünya istismarını, etkilenen kuruluşları veya somut müşteri etkisini ortaya koymuyor.

Bundan sonraki öncelik, bu sonucun doğrulanabilmesi için maruziyet dönemi, telemetri ve istismar durumu hakkında yeterli şeffaflığın sağlanması.

CVSS 10.0, potansiyel riskin son derece yüksek olduğunu gösterir; tek başına müşteri ortamlarının ele geçirildiğini kanıtlamaz.

Açığı kim keşfetti, ne zaman açıklandı?

Microsoft, CVE-2026-69836’nın keşfini Baş Güvenlik Mühendisi Robert Fitzpatrick’e atfetti. Güvenlik açığı 20 Ağustos 2026’da kamuoyuna açıklandı.

Microsoft’un hizmet tarafındaki müdahalesi nedeniyle kuruluşların dağıtabileceği geleneksel bir Entra ID güncellemesi bulunmuyor. Mevcut raporlamaya göre Microsoft, sorunun tamamen giderildiğini ve müşteriler için ek bir işlem gerekmediğini bildirdi.

Açık gerçek dünyada istismar edildi mi?

Kamuya açık kayıtlar kısa süre içinde birbiriyle çelişti:

• İlk haberlerde Microsoft’un güvenlik duyurusunda açığın istismar edildiğinin belirtildiği aktarıldı.
• Microsoft, 21 Ağustos’ta duyurudaki istismar alanını “Evet”ten “Hayır”a çevirdi ve The Hacker News’e açığın gerçek dünyada istismar edilmediğini söyledi.
• Bazı güvenlik açığı veritabanları ve ilk haberler ise önceki istismar durumunu göstermeye devam etti. Bu da kamuya açık kayıtlarda çelişki oluşmasına yol açtı.

Eldeki kanıtlara dayanarak varılabilecek en temkinli sonuç, CVE-2026-69836’nın gerçek dünyada doğrulanmış biçimde istismar edildiğinin henüz ortaya konmadığıdır. İlk duyurudaki “istismar edildi” bilgisini Microsoft’un sonraki düzeltmesiyle bağdaştıran somut kanıt sunulmadıkça, doğrulanmış saldırı iddialarına ihtiyatla yaklaşılmalı.

Hangi ayrıntılar hâlâ bilinmiyor?

Mevcut raporlamada şu konularda doğrulanmış kamuya açık bilgi bulunmuyor:

• saldırıların arkasındaki kişi veya gruplar;
• etkilenen müşteri kuruluşları;
• istismarın zaman çizelgesi ya da maruziyet süresi;
• doğrulanmış müşteri etkisi;
• kamuya açık bir istismar kodu veya kavram kanıtı (PoC).

Mevcut haberlerde, istismar kodunun çevrim içi olarak bulunmadığı özellikle belirtildi. Bu, özel olarak geliştirilmiş bir istismarın hiçbir zaman var olmadığını kanıtlamaz; yalnızca kamuya açık kanıtların böyle bir kodun varlığını ortaya koymadığı anlamına gelir.

Müşteriler için yama gerekmese de neden önemli?

Müşteri tarafında kurulacak bir yamanın bulunmaması, güvenlik duyurusunu önemsiz hâle getirmiyor. Entra ID, kuruluşların kimlik doğrulama ve erişim kontrolü süreçlerinin merkezinde yer alan bir hizmettir. Bu nedenle uzaktan erişilebilen, kimlik doğrulama veya ayrıcalık gerektirmeyen bir uzaktan kod çalıştırma açığı, tek bir uygulamanın ötesine uzanabilecek sonuçlar doğurma potansiyeline sahiptir.

Bununla birlikte, mevcut kaynaklar bu potansiyel sonuçların CVE-2026-69836 vakasında gerçekleştiğini göstermiyor. Olası etkiler, doğrulanmış bir ihlal gibi sunulmamalı.

Kuruluşların Microsoft’tan şu konularda açıklama istemesi makul olur:

• hizmetin hangi dönem boyunca risk altında olduğu;
• Microsoft’un ilgili telemetri veya uzlaşma göstergelerini (IOC) inceleyip incelemediği;
• hizmet tarafındaki müdahalenin kapsamı;
• istismar durumunun neden “Evet”ten “Hayır”a düzeltildiği.

Bu ayrıntılar, müşteri tarafında yapılacak bir işlem olmasa bile güvenlik ekiplerinin olay incelemesini kanıta dayalı biçimde tamamlamasına yardımcı olur.

Daha geniş bir bulut güvenliği duyurusunun parçası

CVE-2026-69836, en yüksek önem derecesine sahip başka bulut ve kurumsal ürün açıklarıyla aynı dönemde açıklandı. Aynı duyuru kapsamında Azure SQL Database, Apache Cassandra için Azure Managed Instance, Azure Arc ve Exchange Online’ı etkileyen CVSS 10.0 puanlı sorunlar da yer aldı.

Bu tablo, güvenlik duyurularındaki bilgilerin neden açık ve tutarlı olması gerektiğini gösteriyor. Birden fazla bulut hizmeti aynı anda kritik seviyede güncellendiğinde, güvenlik ekiplerinin şu üç durumu birbirinden ayırabilmesi gerekir: müşterinin yama veya yapılandırma değişikliği yapmasını gerektiren açıklar, sağlayıcı tarafından zaten giderilmiş sorunlar ve istismar edildiği doğrulanmış zafiyetler.

Sonuç

CVE-2026-69836, güvenilmeyen verilerin serileştirilmesiyle ilişkilendirilen, Microsoft Entra ID’deki CVSS 10.0 puanlı kritik bir uzaktan kod çalıştırma açığıdır. Microsoft, açığı Robert Fitzpatrick’in keşfettiğini, sorunun 20 Ağustos’ta açıklandığını ve hizmet tarafında tamamen giderildiğini belirtiyor.

Müşteriler açısından Microsoft’un mevcut yönlendirmesi net: herhangi bir işlem yapılması gerekmiyor. Güvenlik ve risk ekipleri açısından daha zor konu ise çelişkili istismar bildirimini yorumlamak. Microsoft’un 21 Ağustos’taki düzeltmesi sonrasında, kamuya açık kanıtlar doğrulanmış gerçek dünya istismarını, etkilenen kuruluşları veya somut müşteri etkisini ortaya koymuyor.

Bundan sonraki öncelik, bu sonucun doğrulanabilmesi için maruziyet dönemi, telemetri ve istismar durumu hakkında yeterli şeffaflığın sağlanması.