Windows Netlogon CVE-2026-41089 istismar edildi: Öncelikli yama gerekli

Saldırganlar, Microsoft'un üç hafta önce yamaladığı ve istismar edilme olasılığı düşük olarak değerlendirilen kritik bir Windows Netlogon güvenlik açığını aktif olarak kullanıyor. Centre for Cybersecurity Belgium 29 Mayıs'ta bir istismar uyarısı yayınlayarak etki alanı denetleyicisi olarak çalışan yamalanmamış her Windows Server ortamı için risk profilini yükseltti. Microsoft 1 Haziran'da bu iddiaları hala doğrulamakta olduğunu ve MSRC portalını henüz güncellemediğini belirtse de, güvenlik ekiplerinin beklememesi tavsiye ediliyor.

CVE-2026-41089 cVSS puanı 9.8 olan Netlogon hizmetinde yığın tabanlı bir arabellek taşmasıdır. Kimliği doğrulanmamış bir uzak saldırgan, etki alanı denetleyicisi olarak görev yapan bir Windows Server'a hazırlanmış bir ağ isteği gönderir. Başarılı olursa, Netlogon hizmeti isteği yanlış işler ve saldırganın SYSTEM ayrıcalıklarıyla rastgele kod çalıştırmasına olanak tanır. Kimlik bilgisi yok. Kullanıcı etkileşimi yok. Önceden erişim gerekmez.

Neden endişe duyuyorsunuz?

Microsoft, toplam 138 CVE'yi ele alan Mayıs Yaması Salı'nın bir parçası olarak 12 Mayıs'ta CVE-2026-41089'u yamaladı. Redmond, 9.8 önem derecesine rağmen bu açığı yayınlandığı tarihte "istismar olasılığı daha düşük" olarak değerlendirdi. Resmi değerlendirme ile gerçek dünyadaki tehdit raporları arasındaki bu boşluk, kurumsal güvenlik ekiplerini hazırlıksız yakalayan şeydir.

CCB tavsiyesi yamanın yayınlanmasından 17 gün sonra geldi. Bu süre, pek çok kurumsal yama döngüsünün işlediği zaman aralığına denk geliyor. Salı Yaması güncellemelerini acil bir öncelikten ziyade 30 günlük bir dağıtım programı olarak ele alan kuruluşlar şu anda savunmasız durumdadır.

Windows Netlogon CVE-2026-41089: Risk altında olan nedir

Etki alanı denetleyicileri kimlik doğrulama omurgasıdır active Directory ortamları. CVE-2026-41089'un başarılı bir şekilde kullanılması, saldırgana etki alanı denetleyicisinin kendisinde SİSTEM düzeyinde kod yürütme olanağı verir; bu da pratikte Active Directory etki alanının tam kontrolü, ayrıcalıklı hesaplar oluşturma yeteneği ve bu denetleyiciye karşı kimlik doğrulaması yapan her sistemde yanal hareket anlamına gelir.

Action1'de güvenlik açığı araştırma direktörü olan Jack Bicer, yama zamanında açığı işaretledi: "Bu CVE acil dikkat gerektiriyor. Başarılı saldırılar, kurumsal ağlarda yaygın uç nokta tehlikesi, fidye yazılımı dağıtımı, kimlik bilgisi toplama ve operasyonel kesintiye yol açabilir."

Ne yapılabilir

Dağıtılmadıysa 12 Mayıs toplu güncelleştirmesini hemen uygulayın. Düzeltme, desteklenen tüm sürümler için standart Windows Server güncellemesine dahildir. Etki alanı denetleyicilerini doğrudan internete maruz kalmaktan izole edin ve Netlogon trafiğini yalnızca kimliği doğrulanmış dahili kaynaklarla kısıtlayın. 9 Haziran bir sonraki Salı Yaması ve 24-27 Haziran'dan önceki son güncelleme penceresidir Güvenli Önyükleme sertifikası bu da Mayıs ayındaki uygulamanın bu tarihten önce tamamlanmasını daha da acil hale getirmektedir.