Windows DirectMusic açığı 9.8 puanla kritik

Microsoft, 10 Kasım’da yayımladığı aylık güvenlik güncellemeleriyle 1439 açığı kapattı. Bunların 70’i kritik seviyede. Öne çıkanlar ise DirectMusic ve Media Foundation bileşenlerinde: her iki bileşende de saldırganın ağ üzerinden, hiçbir yetkiye ihtiyaç duymadan kod çalıştırmasına izin veren açıklar var.

DirectMusic’te iki ayrı 9.8’lik açık

DirectMusic bileşenindeki CVE-2026-95882, yığın tabanlı bir tampon taşması. NVD bu açığı 9.8 ile kritik olarak puanlıyor. Aynı bileşendeki CVE-2026-95901 ise çift serbest bırakma (double free) hatası ve o da 9.8 puanlı. Her iki açık da yetkisiz bir saldırganın ağ üzerinden kod çalıştırmasına yol açıyor. Yerel kullanımda kalan ve 7.8 puanlanan CVE-2026-95891 ile CVE-2026-95896 da aynı bileşende.

Microsoft’un kendi değerlendirmesi ise NVD’den daha temkinli: şirket bu dört açığı “Önemli” (Important) olarak sınıflandırıyor ve aktif sömürü bildirmiyor. Yine de ağdan gelen bir istekle tetiklenebilmeleri, ses ve müzik dosyalarıyla çalışan her Windows makinesini potansiyel hedef haline getiriyor.

Medya ve codec bileşenleri de etkilendi

Aynı güncelleme Media Foundation’daki CVE-2026-96157’yi de kapatıyor. Yığın tabanlı tampon taşması olan bu açık da 9.8 puanlı ve ağ üzerinden kod çalıştırmaya açık. CVE-2026-122168 ise aynı bileşende yerel yetki yükseltmeye izin veriyor.

Windows Codecs Library tarafında CVE-2026-113749 kritik seviyede bir uzaktan kod çalıştırma açığı. Aynı kütüphanede 8.8 puanlı bir tamsayı alt taşması (CVE-2026-114164) ile 7.8 puanlı iki taşma hatası daha yamalandı (CVE-2026-114165, CVE-2026-114167). HEVC Video Uzantıları için düzeltme ise Windows Update yerine Microsoft Store üzerinden dağıtılıyor.

Etkilenen sürümler ve güncelleme yolu

Açıklar Windows 10’un 1607’den 22H2’ye kadar olan sürümlerini, Windows 11’in 23H2, 24H2, 25H2, 26H1 ve 26H2 sürümlerini ve Windows Server 2025’i kapsıyor. Windows 11 23H2 için düzeltme KB5131087 numaralı pakette; 24H2, 25H2 ve 26H2 için KB5132043. Windows Server 2025 tarafında KB5131077 ve KB5131080 devrede.

Güncelleme normal yolla alınabilir: Ayarlar menüsünden Windows Update’e girip “Güncellemeleri denetle” demek yeterli. Kurumsal makinelerde WSUS ya da Intune üzerinden dağıtım birkaç gün gecikebilir; bu durumda KB numarasıyla Microsoft Update Catalog’dan elle indirmek mümkün. Güncelleme sonrası yeniden başlatma gerekiyor, çünkü DirectMusic ve Media Foundation sürücü seviyesinde yüklenen bileşenler.

Bu ay aktif sömürülen tek açık Outlook’ta

Kasım bülteninde aktif olarak sömürüldüğü doğrulanan tek açık, Outlook’taki CVE-2026-124194. Microsoft o açığı da aynı dalgada kapattı. DirectMusic ve Media Foundation açıkları için şu an yayınlanmış bir saldırı örneği yok; ancak bu tür bileşen açıkları, yamalar yaygınlaşmadan önce istismar edilmeye başlanan grupta yer alıyor.

Kaynak: Microsoft MSRC · NVD