Microsoft Ağustos 2026 Patch Tuesday: 400'den Fazla Güvenlik Açığı Giderildi, Kuzey Koreli Lazarus Grubu'nun Aktif Olarak Kullandığı Sıfırıncı Gün Açığı da Düzeltildi

Sıfırıncı Gün Açıklarının Detayları

Aktif Olarak İstismar Edilen Sıfırıncı Gün — CVE-2026-68820 (Kuzey Koreli Bilgisayar Korsanlarıyla Bağlantılı)

Bu yayındaki en acil yama, CVE-2026-68820 kodlu güvenlik açığıdır. Bu açık, Windows Ancillary Function Driver for WinSock (afd.sys) bileşenindeki bir 'use-after-free' (kullanım-sonrası-serbest bırakma) zafiyetidir . CVSS puanı 7.0 (Önemli seviye) olan bu güvenlik açığı, yerel olarak kimlik doğrulaması yapmış bir saldırganın bir yarış koşulunu (race condition) tetikleyerek sistem yetkilerini SYSTEM seviyesine yükseltmesine olanak tanıyor .

Saldırganın kimliği ve kampanya detayları: Check Point Research, bu açığın istismarını Kuzey Koreli Lazarus Grubu'na ve onların Operation Dream Job kampanyasına bağladı . Kampanya kapsamında, 'SecurityPDF' adlı değiştirilmiş bir PDF görüntüleyici dağıtılarak Troy adlı yeni bir arka kapı (backdoor) yüklendi ve ardından CVE-2026-68820 açığı kullanılarak FudModule adlı çekirdek modu rootkit'i (kernel-mode rootkit) sisteme yerleştirildi . The Register'a göre Lazarus Grubu bu açığı Haziran 2026'nın başından beri kullanıyordu . Microsoft, Check Point'in sorumlu ifşasının (responsible disclosure) ardından 11 Ağustos'ta yamayı yayınladı .

Kamuoyuna İfşa Edilen Sıfırıncı Gün Açıkları (Aktif Olarak Kullanılmıyor)

Patch Tuesday'den önce kamuoyuna ifşa edilen ancak henüz aktif olarak kullanıldığı tespit edilmeyen iki sıfırıncı gün açığı daha bulunuyor:

• CVE-2026-62832 — Windows Kullanıcı Profili Hizmeti'nde (Windows User Profile Service) Ayrıcalık Yükseltme Güvenlik Açığı (CVSS 7.8, Önemli) .
• CVE-2026-72971 — Windows Kapsayıcı İzolasyonu FS Filtre Sürücüsü'nde (Windows Container Isolation FS Filter Driver) Kurcalama Güvenlik Açığı (Önemli) .

Ürün Bazında Genel Kapsam

Ağustos 2026 güncellemesi, Microsoft'un tüm ekosistemini kapsıyor:

Solucan benzeri yayılma riski taşıyan açıklar: Bu yayındaki dört güvenlik açığı, herhangi bir kullanıcı etkileşimi gerektirmiyor. Windows DNS Sunucusu, Windows Dağıtım Hizmetleri, Microsoft'un QUIC taşıma protokolü uygulaması ve Yüksek Performanslı Bilgi İşlem (HPC) Paketi'ni etkileyen bu açıkların her biri 9.8 CVSS puanına sahip ve bu da onları solucan benzeri yayılma riskine karşı öncelikli hale getiriyor .

Windows 11 Toplu Güncelleme Özellik Güncellemeleri

Windows 11 için Ağustos 2026 toplu güncellemesi (KB5121003 - sürüm 25H2/24H2, KB5120240 - 23H2, KB5121000 - 26H1), güvenlik düzeltmelerinin yanı sıra bir dizi yeni özelliği de bir araya getiriyor :

• Screen Tint (Ekran Rengi) erişilebilirlik özelliği — Yeni bir renk filtresi seçeneği
• Daha Sessiz Widget'lar deneyimi — Widget'lar panelinden gelen bildirimlerin azaltılması
• Genişletilmiş Windows Güncelleme duraklatma süresi — Güncellemeleri 35 güne kadar duraklatma imkanı
• Harici parmak izi sensörleri için Windows Hello Gelişmiş Oturum Açma Güvenliği (ESS) desteği
• Copilot+ PC'lerden yapay zeka modellerini kaldırma yeteneği
• Dokunmatik yüzey hareket iyileştirmeleri
• Ses Erişimi (Voice Access) için ses yalıtımı
• Sesli Yazma (Voice Typing) için Akıcı Dikte (Fluid Dictation)
• Dosya Gezgini Ayrıntılar görünümünde dosya boyutu gösterim iyileştirmeleri (Artık sadece KB yerine KB, MB, GB olarak gösteriliyor)
• İyileştirilmiş Windows Arama — Yazım hatalarını daha iyi işleme
• İşletim sistemi genelinde performans ve hata düzeltmeleri

Yama Önceliklendirme Rehberi

Çok sayıdaki düzeltme bunaltıcı olsa da, güvenlik analistleri bu yayındaki neredeyse 400 hatadan yalnızca birinin (CVE-2026-68820) aktif olarak istismar edildiğini vurguluyor . Fortra'dan Tyler Reguly, kuruluşlara önce istismar edilen WinSock açığını, ardından DNS, Dağıtım Hizmetleri, QUIC ve HPC Paketi'ni etkileyen, kullanıcı etkileşimi gerektirmeyen ve solucan benzeri yayılma riski taşıyan kritik sunucu güvenlik açıklarına (CVSS 9.8) odaklanmalarını tavsiye ediyor . Kamuoyuna ifşa edilen diğer üç sıfırıncı gün açığı önemli olmakla birlikte, henüz herhangi bir saldırıda gözlemlenmemiştir.

CrowdStrike'ın analizi de bu yaklaşımı doğruluyor: önce aktif olarak istismar edilen WinSock ayrıcalık yükseltme açığını, ardından kritik sunucu taraflı yamaları ve daha sonra kalan Önemli seviyedeki düzeltmeleri uygulayın .