Windows Shell’deki kritik komut enjeksiyonu açığı aktif sömürüde

CISA, Microsoft Windows Shell’de bulunan ve komut enjeksiyonuna izin veren bir güvenlik açığını (CVE-2026-96951) Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Açık 13 Ekim 2026’da kataloğa alındı ve aktif olarak sömürüldüğü belirtiliyor. Kayıtta fidye yazılımı işareti de var; yani bu açık fidye yazılımı kampanyalarında kullanılan açıklar arasında sayılıyor.

Microsoft’un MSRC kaydına göre açığın CVSS 3.1 taban puanı 8,8 ve önem derecesi Yüksek. Saldırı ağ üzerinden yapılabiliyor, saldırganın önceden yetki alması gerekmiyor; ancak kullanıcının bir eylemi tetiklemesi gerekiyor. Etki tarafında gizlilik, bütünlük ve kullanılabilirlik üçü de yüksek olarak değerlendirilmiş.

Açık tam olarak ne yapıyor

NVD kaydında açık, komut içinde kullanılan özel elemanların uygun şekilde etkisizleştirilmemesi (CWE-77, komut enjeksiyonu) olarak tanımlanıyor. Windows Shell’deki bu hata, yetkisiz bir saldırganın ağ üzerinden bir güvenlik özelliğini atlamasına yol açıyor. Pratikte saldırgan, normalde engellenmesi gereken komutları devreye sokabiliyor ve bunu denetleyen korumayı aşabiliyor.

Hangi sürümler etkileniyor

Etkilenen ürün listesi oldukça geniş:

• Windows 10’un 1607, 1809, 21H2 ve 22H2 sürümleri
• Windows 11’in 23H2, 24H2, 25H2, 26H1 ve 26H2 sürümleri
• Windows Server 2012 R2, 2016, 2019, 2022 ve 2025 sürümleri (Server Core kurulumları dahil)
• Web tabanlı Outlook.com istemcisi (20260925.100 sürümünden önceki yapılar)

Yani evlerde ve ofislerde yaygın kullanılan güncel Windows sürümlerinin neredeyse tamamı listede. Windows 10 ve Windows 11 kullanan kişisel bilgisayarlar da doğrudan kapsam içinde.

Ne yapmanız gerekiyor

Microsoft, MSRC güncelleme rehberinde düzeltilmiş yapı numaralarını yayınlamış durumda; yani açık için yama mevcut. Windows Update’i açıp güncellemeleri denetleyin ve varsa bilgisayarı yeniden başlatın. Toplu güvenlik güncellemeleri çoğu zaman yeniden başlatma yapılmadan devreye girmiyor.

CISA, KEV listesindeki açıklar için federal kurumlara yama son tarihi olarak 16 Ekim 2026’yı verdi. Bu tarih yalnızca resmi kurumları bağlıyor; ancak açığın aktif sömürüldüğü ve fidye yazılımı bağlantılı olduğu düşünülünce son kullanıcıların da beklememesi gerekiyor.

Otomatik güncellemeleri kapatanlar ve güncellemesini ertelemiş olanlar öncelikli davranmalı. Kurumsal ortamda Windows Server çalıştıran sistemlerin yöneticileri de aynı yamayı planlarına almalı.

Kaynak: CISA KEV · NVD