Microsoft’un ekim güncellemesi Office’te 41 açığı kapatıyor, altısı kritik

Microsoft, 13 Ekim’de yayımladığı ekim güvenlik güncellemesiyle Office ailesinde 41 açığı kapattı. NVD kayıtlarına göre açıklar Microsoft 365 Apps, Office LTSC 2021 ve Office LTSC 2024 kurulumlarının yanı sıra Mac tarafındaki Office sürümlerini de etkiliyor. Microsoft’un ciddiyet etiketlerine göre bu açıkların 11’i kritik, 30’u önemli seviyede ve altısı 9.8 CVSS puanıyla listenin tepesinde. Şirketin değerlendirmesinde hiçbiri kamuya açıklanmış değil ve hiçbiri şu anda aktif olarak sömürülmüyor.

Outlook’ta beş açık 9.8 puanla kritik seviyede

Listenin ağırlığı Outlook tarafında: toplam 10 açık var ve bunların beşi (CVE-2026-97749, CVE-2026-97016, CVE-2026-88156, CVE-2026-70291, CVE-2026-70242) 9.8 puanlık kritik seviyede. Beşinin de vektör değeri AV:N/AC:L/PR:N/UI:N; yani puanlama saldırının ağ üzerinden başlatılabildiğini, kullanıcı adı veya parola gerektirmediğini ve kurbanın bir dosyayı açmasına ya da bir bağlantıya tıklamasına bağlı olmadığını söylüyor. Outlook kayıtlarının geri kalanında 8.8 puanda bellek taşmaları (CVE-2026-97012, CVE-2026-70282, CVE-2026-70257, CVE-2026-70256) ve 7.5 puanda bilgi ifşasına yol açan bir sınır dışı okuma (CVE-2026-70281) yer alıyor.

Access, Word, OneNote ve Visio tarafı

Access 12 açıkla en kalabalık ikinci ürün: CVE-2026-105717, CVE-2026-105716, CVE-2026-105598, CVE-2026-105597, CVE-2026-105596, CVE-2026-105595, CVE-2026-105593, CVE-2026-105591, CVE-2026-102850, CVE-2026-102849, CVE-2026-105714 ve CVE-2026-105592. Çoğu 8.8 puanlı heap tabanlı bellek taşması. Word’de üç kayıt var (CVE-2026-97001, CVE-2026-96996, CVE-2026-96995), OneNote’ta komut enjeksiyonu hatası CVE-2026-97781 öne çıkıyor, Visio’da ise CVE-2026-102857 ve CVE-2026-102856 kritik seviyede. PowerPoint’te beş açık bulunuyor ve CVE-2026-88178 9.8 puanla kritik. Bu gruptaki açıkların çoğunda hazırlanmış bir dosyanın açılması saldırıyı tetiklemeye yetiyor.

Click-To-Run’da yetki yükseltme açıkları

Office’in güncelleme bileşeni Click-To-Run’da dört ayrıcalık yükseltme açığı yamalandı: CVE-2026-97774, CVE-2026-88109, CVE-2026-85340 ve CVE-2026-70276. Bu açıklar 7.0 ile 7.8 puan aralığında ve saldırganın makinede zaten sınırlı bir oturumu olması gerekiyor; hedef, bu oturumu yönetici seviyesine taşımak. Office paketi genelinde tanımlanan iki açık (CVE-2026-88197, CVE-2026-88196) da 8.8 puanda listeleniyor.

Etkilenen sürümler ve güncelleme yolu

Açıklar Microsoft 365 Apps for Enterprise (32 ve 64 bit), Office LTSC 2021 ve Office LTSC 2024 (32/64 bit) ile Mac tarafında Office LTSC for Mac 2021, Office LTSC for Mac 2024 ve Office 365 for Mac kurulumlarını etkiliyor. Microsoft 365 Apps kullanıcıları otomatik güncellemeyle Current Channel Sürüm 2609 (Build 20430.20182) sürümüne geçiyor. Toplu lisanslı Office LTSC 2024 için hedef yapı 17932.21056, Office LTSC 2021 için 14334.20974, perakende Office 2021 için 20326.20232. Güncellemeyi beklemek istemeyenler Office uygulamasında Dosya menüsünden Hesap bölümüne girip Güncelleme Seçenekleri altındaki şimdi güncelle komutunu kullanabilir; Mac’te Microsoft AutoUpdate yeterli.

Microsoft’un notlarında bu açıkların sömürülme olasılığı düşük olarak işaretlenmiş. Yine de Office belgeleri saldırganların en çok kullandığı giriş kapılarından biri olmayı sürdürüyor. Tanımadığınız kaynaklardan gelen Word, Access veya PowerPoint dosyalarını açmadan önce güncellemeyi tamamlamak en basit korunma adımı.

Kaynak: Microsoft MSRC · NVD