Ne oldu?
Microsoft, Outlook'un varsayılan engelli dosya türleri listesine iki yeni uzantı ekliyor: .msix ve .msixbundle.
Değişiklik yürürlüğe girdiğinde tarayıcıdaki Outlook ve Windows için yeni Outlook uygulamasında bu dosyalar gönderilemeyecek, alınamayacak, açılamayacak ve indirilemeyecek.
Takvim şöyle:
- Kasım 2026 başı: Exchange Online, iki uzantıyı tüm OWA posta kutusu politikalarındaki engelli dosya türleri listesine ekliyor
- Kasım 2026 ortası: değişikliğin tüm kiracılarda tamamlanması bekleniyor
Değişiklik yalnızca varsayılan politikayı değil, kuruluşunuzda tanımlanmış özel politikaları da kapsıyor. Microsoft duyuruyu MC1488841 numaralı 365 mesaj merkezi bildirimiyle yaptı.
.msix ne işe yarar?
.msix, Windows uygulamalarının modern kurulum paketi biçimidir. Belirli bir işlemci mimarisi veya yapılandırma için hazırlanır.
.msixbundle ise birden fazla .msix paketini tek dosyada toplar; böylece aynı dosya farklı mimarilere kurulum yapabilir.
Kurumsal ortamlarda bu dosyalar genellikle e-postayla değil, yazılım dağıtım araçları veya iç paylaşım alanları üzerinden dolaşır. Microsoft da bu nedenle "bu dosya türleri sık kullanılmadığı için çoğu kuruluşun etkilenmesi beklenmiyor" diyor.
Liste neden sürekli uzuyor?
Bu, Outlook'ta son bir buçuk yılda kapatılan üçüncü kapı.
- Haziran 2025: .library-ms ve .search-ms dosyaları engellendi. Bu uzantılar en az 2022'den beri oltalama ve zararlı yazılım kampanyalarında, kamu kurumlarına yönelik saldırılar dahil olmak üzere kullanılıyordu.
- Ekim 2025: e-posta içine gömülü SVG görsellerinin gösterimi durduruldu.
- Kasım 2026: .msix ve .msixbundle.
Örüntü belli. Bir dosya türü saldırılarda kullanılmaya başlanıyor, yeterince yaygınlaşınca engelleniyor, saldırganlar bir sonrakine geçiyor.
Kaynak haberde .msix dosyalarının kullanıldığı belirli bir kampanya adı verilmiyor; değişiklik, saldırganların kötüye kullandığı özelliklerin kapatılması çalışmasının bir parçası olarak açıklanıyor.
Buradaki asıl bilgi şu: engelli listesi geriye dönük çalışır. Bir uzantı listeye girdiğinde, o yöntem zaten bir süredir kullanılmıştır.
Kurumunuzu etkiler mi?
Büyük ihtimalle hayır — ama bunu varsaymak yerine kontrol etmek gerekir.
Etkilenirsiniz eğer:
- yazılım dağıtımınızda kurulum paketlerini e-posta ekiyle gönderiyorsanız,
- bir tedarikçiniz size bu formatta paket gönderiyorsa,
- ya da iç geliştirme ekibiniz test paketlerini e-postayla paylaşıyorsa.
Etkilenmezsiniz eğer:
- yazılım dağıtımı bir yönetim aracı, paylaşım alanı veya imzalı indirme bağlantısı üzerinden yürüyorsa.
İhtiyacınız varsa engelleme kalıcı değil: yöneticiler ilgili uzantıyı kullanıcıların OWA posta kutusu politikasındaki izinli dosya türleri listesine ekleyerek açabilir.
Ne yapmalısınız?
- Yazılım ve güncelleme dağıtımınızda e-posta ekinin yeri olup olmadığını kontrol edin. Varsa, kasım ayından önce öğrenmek daha iyidir.
- Tedarikçilerinize sorun. Dışarıdan kurulum paketi aldığınız bir sağlayıcı varsa, kasımdan sonra bu yolun kapanacağını bugünden bilsin.
- İhtiyaç yoksa hiçbir şey yapmayın — ama bunu bilerek yapın. "Etkilenmiyoruz" cümlesi kontrol edilmiş bir cümle olmalı.
- Yardım masanızı haberdar edin. Kasımda "ek gelmiyor" çağrıları açılırsa, sebebinin bu değişiklik olduğunu bilen biri olsun.
- Kurulum dosyalarını e-posta akışından tamamen çıkarın. Yönetim aracı, iç paylaşım alanı veya kimlik doğrulamalı indirme bağlantısı; üçü de e-postadan hem daha güvenli hem daha izlenebilir.
Asıl mesele
Engelli dosya listesi bir güvenlik stratejisi değil, bir temizlik işlemidir. Her yeni satır, o yöntemin bir süre işe yaramış olduğu anlamına gelir.
Kalıcı soru şu: kurumunuz e-postayla hangi dosya türlerini kabul ediyor ve bunu kim karar verdi?
Çoğu kurumda bu sorunun cevabı "sağlayıcının engellemediği her şey". Bu, kararı dışarıya devretmektir. Microsoft'un listesi iyi niyetli ama her zaman sizden sonra günceller.
Tersini kurmak mümkün: neyin yasak olduğunu saymak yerine neyin serbest olduğunu tanımlamak. Çalıştırılabilir dosyaların e-postayla dolaşmasına hiç gerek olmayan bir kurumda, bu tür her duyuru sizi ilgilendirmeyen bir haber olarak kalır.