Kritik bir yamayı geciktirmek risk, aynı gece tüm filoya kurmak da risktir. Kasım güncellemelerinde bu dengeyi kurmak, yamayı kurmaktan daha çok iş gerektiriyor.
Kasım 2026 Windows Server güncellemeleri iki başlıkta öne çıkıyor: TLS el sıkışmasını yürüten Schannel bileşeni ve ağ yığınının çekirdek parçaları. İkisi de sunucunun dış dünyayla konuştuğu yollarda duruyor; bu yüzden yama sonrası etki alanı geniş olabiliyor.
Ne oldu?
Microsoft, Kasım ayı güncellemelerinde Schannel ve TCP/IP yığınında uzaktan kod çalıştırmaya veya hizmet dışı bırakmaya yol açabilecek açıkları giderdi. Düzeltmeler yayımlandı; asıl mesele kurulum sırasının ve doğrulamanın planlanması.
Kasım 2026 · Windows Server
Kritik: Schannel ve TCP/IP bileşenlerinde. Düzeltme: yayımlandı. Aktif istismar: bu yazı itibarıyla doğrulanmadı.
Schannel tarafı
Schannel, sunucunun SMB, RDP, LDAPS ve IIS üzerinden yaptığı TLS konuşmalarını yürütür. Yamadan sonra en sık görülen sorun açık kalmaması değil, eski protokol sürümlerine bağlı uygulamaların el sıkışmayı tamamlayamamasıdır.
Yama öncesinde şu envanter çıkarılmalı:
- Hâlâ TLS 1.0/1.1 kullanan iç uygulamalar. Eski yazılımlar genelde bu sürümlere sabitlenmiş gelir.
- Sertifika zincirinde eski algoritmalar. SHA-1 ile imzalanmış ara sertifikalar yama sonrası reddedilebilir.
- Şifre paketi listesine elle müdahale edilmiş sunucular. Grup ilkesiyle daraltılmış listeler yeni varsayılanlarla çakışabilir.
- LDAP üzerinden konuşan üçüncü parti ürünler. Yedekleme, izleme ve MFA ajanları bu grupta.
Yamayı test etmek, yamanın çalıştığını görmek değil; neyi bozduğunu görmektir.
TCP/IP ve ağ yığını
Ağ yığınındaki düzeltmeler sunucu yeniden başlatıldığında devreye girer. Yeniden başlatma ertelenirse yama kurulmuş görünür ama koruma sağlamaz. Envanter raporunda "kuruldu" yazan ama haftalardır yeniden başlatılmamış sunucular bu yüzden yanıltıcıdır.
Küme ve yük dengeleme kurulumlarında ayrıca dikkat: düğümlerin aynı anda yeniden başlaması, küme çekirdeğinin quorum kaybetmesine yol açabilir. Düğümler sırayla ele alınmalı.
Kademeli dağıtım planı
İşleyen bir sıra şöyledir. Önce üretim dışı bir kopyada, sonra tek bir üretim sunucusunda, sonra hizmet grupları hâlinde. Her adım arasında en az bir iş günü ve somut bir kontrol listesi olmalı.
- 1. gün: test ortamına kurulum, TLS el sıkışma ve LDAP bağlantı testleri.
- 3. gün: tek bir üretim sunucusu, düşük riskli hizmet grubundan seçilir.
- 5–7. gün: web ve uygulama sunucuları, ikişerli gruplar hâlinde.
- Son: veritabanı ve kimlik doğrulama sunucuları — en yüksek etki, en son adım.
Her adımda üç şey kayıt altına alınmalı: yeniden başlatma saati, yama sonrası ilk hata kaydı zamanı, ve geri alma kararının kim tarafından verileceği. Bu üçü yazılı değilse "kontrollü dağıtım" adı altında plansız bir dağıtım yapılıyor demektir.
Geri alma hazırlığı
Windows'ta güncelleme kaldırma her zaman mümkün olmayabilir; bazı birikimli güncellemeler kaldırıldığında geri dönüş tam olarak sağlanmaz. Bu yüzden geri alma planı, yamayı kaldırmak değil hizmeti başka bir düğümde sürdürmek üzerine kurulmalı.
- Yama öncesi anlık görüntü veya sistem durumu yedeği.
- Hizmetin çalıştığı ikinci bir düğümün hazır bekletilmesi.
- DNS ve yük dengeleyici üzerinden yön değiştirme provası.
- Kritik sertifikaların ve özel anahtarların ayrı kopyası.
Novatek notu
Kasım yamalarını önce Schannel'e bağlı iç uygulamalar üzerinden test edin. TLS sürümü sabitlenmiş uygulamaları, eski algoritmalı sertifikaları ve yeniden başlatma bekleyen sunucuları envanterden çıkarın. Kademeli dağıtımı takvime bağlayın ve her adımın sonucunu yazılı kayda geçirin.