Outlook’ta NTLM çalan açık aktif sömürülüyor

Microsoft, Outlook’ta kullanıcının kimlik doğrulama bilgilerinin sızmasına yol açabilen bir açığı Kasım 2026 güvenlik güncellemeleriyle kapattı. CVE-2026-124194 olarak izlenen zafiyet, saldırganın hazırladığı bir mesaj dosyasını açan kullanıcıyı hedef alıyor. CISA açığı 10 Kasım 2026’da Bilinen Sömürülen Açıklar (KEV) listesine ekledi ve kurumlar için son tarihi 24 Kasım olarak duyurdu.

Saldırı nasıl işliyor?

Microsoft Güvenlik Yanıt Merkezi’nin (MSRC) açıklamasına göre saldırgan, özel hazırlanmış bir mesaj dosyası gönderiyor ve kullanıcıyı bunu Outlook’ta açmaya ikna ediyor. Dosya açıldığında Outlook, normalde gösterilmesi gereken dış içerik uyarısını atlayarak saldırganın kontrolündeki bir ağ adresine bağlanıyor. Bu sırada kullanıcının NTLMv2 özeti saldırgana geçiyor; saldırgan bu özetle kullanıcı gibi kimlik doğrulayabiliyor. Yani ortada bir parola çalınması değil, oturum açma kanıtının ele geçirilmesi var.

Etkilenen sürümler

NVD kaydına göre etkilenen ürünler Microsoft 365 Apps for enterprise (x64 ve x86), Office 2021 LTSC ve Office 2024 LTSC. Önizleme bölmesi saldırı vektörü değil; mesajın yalnızca listede görünmesi zarar vermiyor, dosyanın açılması gerekiyor. MSRC bu noktayı ayrıca vurguluyor çünkü e-posta eki açma alışkanlığı olan kullanıcılar için risk hâlâ yüksek.

Puan ve değerlendirme

Microsoft zafiyeti Orta (Moderate) olarak sınıflandırdı; CVSS 3.1 puanı 6.5 ve vektörü AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N. Saldırı ağdan yapılabiliyor, özel yetki gerekmiyor, tek koşul kullanıcının dosyayı açması. Buna karşın MSRC kaydı “Exploitation Detected” etiketi taşıyor ve zafiyet kamuya açıklanmadan sömürülmüş. CISA’nın açığı KEV’e alması da sahada kullanıldığını doğruluyor.

Ne yapmalı?

Microsoft 365 kullanıcıları güncelleme kanalından gelen sürümü kurmalı. Office 2021 ve Office 2024 LTSC kullanıcılarının Kasım 2026 güvenlik güncellemesini Microsoft Update Catalog üzerinden indirip uygulaması gerekiyor. Kurumlarda Outlook istemcilerinin sürüm envanteri kontrol edilmeli, tanımadıkları kaynaklardan gelen mesaj dosyaları açılmamalı. Şüpheli bir dosya açıldıysa hesabın oturumlarının gözden geçirilmesi ve parolanın değiştirilmesi yerinde olur; NTLM özeti sızdığında parola değişikliği tek başına yeterli olmayabilir, bu yüzden olayın güvenlik ekibine bildirilmesi önemli.

Kaynak: CISA KEV · NVD