Microsoft, Excel’de uzaktan kod çalıştıran 11 açığı kapattı

Microsoft, 13 Ekim’de yayımlanan aylık güvenlik güncellemeleri kapsamında Excel’de 11 açığı kapattı. NVD kayıtlarına göre açıklar Microsoft 365 Apps, Office 2021 ve Office 2024 kurulumlarını etkiliyor ve saldırganın uzaktan kod çalıştırmasına izin veriyor.

Açıkların ortak noktası bellek hataları

Yamalanan açıkların tamamı Excel’in dosya işleme katmanındaki bellek hatalarından kaynaklanıyor. Listede heap tabanlı buffer overflow (CVE-2026-97780, CVE-2026-97003, CVE-2026-97004, CVE-2026-97007, CVE-2026-97008, CVE-2026-88145, CVE-2026-77902), use-after-free (CVE-2026-97010), başlatılmamış kaynak kullanımı (CVE-2026-97011) ve sınır dışı okuma (CVE-2026-70254) hataları var. Bir açık (CVE-2026-97009) ise heap tabanlı buffer overflow olarak yerel kod çalıştırmaya izin veriyor.

Microsoft’un değerlendirmesine göre açıkların neredeyse tamamı 8.8 CVSS puanına sahip. Vektör değeri, saldırının ağ üzerinden yapılabildiğini, kullanıcı etkileşimi gerektirdiğini ve başarılı bir saldırının gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etkisi olduğunu gösteriyor. Yerel tetiklenen CVE-2026-97009 ise 7.8 puanla listeleniyor.

Kullanıcı tarafında pratikte ne anlama geliyor

Bu tür Excel açıkları genelde hazırlanmış bir dosyanın açılmasıyla devreye giriyor. E-posta eki ya da indirilen bir tablo dosyası, kötü niyetli içeriğin çalışmasına kapı açabiliyor. Açıkların bellek bozulması sınıfında olması, saldırganın makro izni almasına gerek olmadığı anlamına geliyor; Microsoft’un kayıtlarında kullanıcı etkileşimi şartı bulunduğu için süreç büyük ölçüde dosyanın açılmasına dayanıyor. Excel dosyalarının fatura, teklif ve rapor eki olarak yaygın kullanıldığı düşünülürse, tanımadığınız kaynaklardan gelen tabloları açmadan önce iki kez düşünmekte fayda var.

Güncelleme durumu

Açıklar şu an için CISA’nın aktif sömürülen açıklar listesinde yer almıyor; yani yaygın saldırılarda kullanıldığına dair bir işaret yok. Buna karşın Microsoft 365 Apps, Office 2021 LTSC ve Office 2024 kullanan hem kurumsal hem bireysel kullanıcıların güncellemeyi geciktirmemesi gerekiyor. Microsoft 365 Apps kurulumları güncellemeyi kendi kanalından alıyor; Office 2021 ve Office 2024 kullanıcılarının ise ilgili güvenlik güncellemesini yüklemesi yeterli.

Kaynak: Microsoft Security Update Guide · NVD