Microsoft Exchange Online’da Uzaktan Kod Çalıştırma Açığı: CVE-2026-96185 Microsoft, Exchange Online hizmetini etkileyen yeni bir güvenlik açığını duyurdu. CVE-2026-96185 koduyla takip edilen ve CVSS 3.1 puanı 7.5 olarak açıklanan bu açık, belirli koşullar altında yetkili bir saldırganın ağ üzerinden uzaktan kod çalıştırmasına imkân tanıyor. 22 Ekim 2026 tarihinde yayımlanan güvenlik bildirimine göre zafiyet, Stack-Based Buffer Overflow olarak bilinen bellek taşması probleminden kaynaklanıyor. Teknik olarak CWE-121 sınıfında değerlendirilen bu tür açıklarda, uygulamanın bellekte ayırdığı alanın sınırlarının aşılması sonucunda saldırganın uygulamanın çalışma akışına müdahale etmesi mümkün olabiliyor. Burada özellikle dikkatimi çeken konu, açığın doğrudan Microsoft Exchange Online hizmetini etkilemesi. Yani şirketlerin kendi veri merkezlerinde çalıştırdığı Exchange Server sistemlerinden değil, Microsoft 365 üzerinden sunulan bulut tabanlı e-posta hizmetinden bahsediyoruz. Açığın CVSS vektörünü incelediğimizde saldırının ağ üzerinden gerçekleştirilebildiğini (AV:N), ancak saldırganın önceden düşük seviyede de olsa belirli yetkilere sahip olması gerektiğini (PR:L) görüyoruz. Ayrıca saldırının gerçekleştirilmesi yüksek karmaşıklık gerektiriyor (AC:H) ve başarılı bir istismar için kullanıcı etkileşimine ihtiyaç duyulmuyor (UI:N). Başarılı bir saldırının gizlilik, bütünlük ve erişilebilirlik üzerindeki etkisi ise yüksek olarak değerlendiriliyor. Bu nedenle 7.5 puanına rağmen konunun özellikle kurumsal Microsoft 365 ortamları açısından takip edilmesi gerektiğini düşünüyorum. Peki, Microsoft 365 kullanan şirketlerin bir işlem yapması gerekiyor mu? Öncelikle bunun Exchange Online gibi tamamen Microsoft tarafından yönetilen bir bulut hizmetini etkilediğini unutmamak gerekiyor. Dolayısıyla şirketlerin kendi Exchange sunucularında olduğu gibi bir güvenlik güncellemesi indirip yüklemesi söz konusu değil. Hizmet tarafındaki düzeltme ve güvenlik önlemlerinin Microsoft tarafından yönetilmesi gerekiyor. Bununla birlikte şirketlerin Microsoft 365 ortamlarındaki kimlik ve erişim güvenliğini gözden geçirmesi, özellikle yetkili hesapları kontrol etmesi, MFA kullanımını yaygınlaştırması ve şüpheli oturum açma aktivitelerini takip etmesi her zamanki gibi önem taşıyor. 23 Ekim itibarıyla kamuya açık kaynaklarda bu zafiyetin aktif saldırılarda kullanıldığına veya çalışan bir istismar kodunun yayımlandığına ilişkin doğrulanmış bir bilgi bulunmuyor. Ancak bu durum açığın önemsiz olduğu anlamına gelmiyor. Benim açımdan burada asıl önemli nokta, Exchange Online gibi Microsoft tarafından tamamen yönetilen bir SaaS hizmetinde de uzaktan kod çalıştırma seviyesinde güvenlik açıklarının ortaya çıkabiliyor olması. Bulut hizmetleri şirketlerin altyapı yönetimi ve güncelleme sorumluluğunu önemli ölçüde azaltıyor. Ancak kimlik güvenliği, erişim kontrolleri, izleme ve olay müdahalesi gibi konulardaki sorumluluklarımız devam ediyor. Microsoft güvenlik bildirimi: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96185
