iPhone’daki Edge’de kritik kod açığı kapatıldı

Microsoft, iPhone ve iPad için Edge tarayıcısında uzaktan kod çalıştırmaya yol açabilen bir güvenlik açığını kapattı. CVE-2026-96192 numarasıyla izlenen hata, serbest bırakılmış belleğin yeniden kullanılması (use-after-free, CWE-416) sınıfında. Şirket açığı 26 Ekim 2026 tarihli bültende “önemli” seviyede sınıflandırdı ve düzeltilmiş derlemeyi 155.0.4283.45 olarak duyurdu.

Açık nasıl tetikleniyor

NVD kaydındaki CVSS 3.1 puanı 8.8, yani yüksek risk. Vektör satırı saldırının ağ üzerinden geldiğini, düşük karmaşıklıkta olduğunu ve saldırganın yetki gerektirmediğini gösteriyor. Buna karşılık kullanıcı etkileşimi şartı var: Microsoft’un bültendeki açıklamasına göre saldırının başlaması için kullanıcının hazırlanmış bir bağlantıya dokunması gerekiyor. Kısaca telefonda Edge açıkken yanlış bir linke dokunmak, saldırganın uzaktan kod çalıştırmasını başlatabiliyor.

Serbest bırakılmış bellek kullanımı hataları, bir nesne silindikten sonra aynı bellek alanına yeniden yazılmasıyla oluşuyor. Saldırgan bu alanı kendi verisiyle doldurduğunda uygulama kontrolü beklemediği bir yere devredebiliyor. Tarayıcılar bu tür hataların en sık görüldüğü yazılım grubunda; çünkü gün içinde sürekli yabancı içerik işliyorlar.

Hangi sürümler etkileniyor

NVD yapılandırma kaydı, sürüm numarası 155.0.4283.45’in altındaki Edge for iOS kurulumlarını etkilenen olarak listeliyor. Microsoft da düzeltilmiş derlemeyi aynı numarayla veriyor. Yani telefonunuzdaki Edge bu sürümün altındaysa açık hâlâ duruyor demektir.

iPhone ve iPad’de uygulamalar App Store üzerinden güncelleniyor. App Store’da Edge sayfasına girip sürüm numarasına bakmak yeterli; 155.0.4283.45 ya da üstü görünüyorsa güncelleme alınmış oluyor. Otomatik güncelleme açıksa yeni sürüm genelde arka planda kuruluyor, ancak uygulamanın bir kez kapatılıp yeniden açılması gerekiyor.

Aktif sömürü bilgisi yok

Microsoft bülteninde açığın kamuya açıklanmadığını ve aktif olarak kötüye kullanıldığına dair bilgi bulunmadığını belirtiyor. Açık CISA’nın KEV listesinde de yer almıyor, yani federal kurumlar için bağlayıcı bir kapatma takvimi yok. Bu, riskin sıfır olduğu anlamına gelmiyor: tarayıcı açıkları yama yayımlandıktan sonra da saldırı denemelerinde kullanılabiliyor ve cihazda kalan eski sürümler hedef hâline geliyor.

Ne yapmalı

Edge’i App Store’dan güncellemek ilk adım. Ardından otomatik güncellemeyi açık bırakmak, aynı açığın ileride sessizce kapanmasını sağlıyor. Tanımadığınız kaynaklardan gelen kısa linklerde ve reklam yönlendirmelerinde dikkatli olmak da bu tür hataların tetiklenmesini zorlaştırıyor. Edge’i telefonda yoğun kullanıyorsanız sürüm kontrolünü birkaç saniyede yapıp geçebilirsiniz.

Kaynak: MSRC · NVD