Ne oldu?
Microsoft'un ekim ayı güncelleme paketi 1.407 açık kapattı. Bunların 78'i kritik, 1.329'u önemli derecesinde. Kritiklerin 65'i uzaktan kod çalıştırmaya izin veriyor ve 34'ü Office tarafında — yalnız Excel'de 19 tane.
Bu aydan öne çıkanlar:
- CVE-2026-96951 — aktif olarak sömürülen sıfır gün açığı. Windows Shell'de bir güvenlik özelliğini atlatmaya izin veriyor; Windows 10, Windows 11 ve Windows Server 2012 R2'den 2025'e kadar olan sürümler etkileniyor. Bu ay ilk uygulanacak yama bu.
- CVE-2026-108398 — .NET Framework'te kamuya açıklanmış bir güvenlik özelliği atlatma. Henüz sömürüldüğüne dair bir kayıt yok, ancak kamuya açıklanmış bir açık için sömürü kodu genellikle gecikmez.
- CVE-2026-70571 — Exchange 2016 ve 2019 için kritik uzaktan kod çalıştırma açığı.
Ama bu ayın asıl haberi açık listesinde değil.
Asıl haber takvimde
Ekim ayı, birkaç destek penceresinin aynı anda kapandığı bir ay oldu.
Desteği biten ürünler:
- Office 2021 ve Office LTSC 2021
- Windows 10 2016 LTSB ve IoT LTSB 2016
- Windows 11 24H2 Home ve Pro sürümlerinin servis ömrü
Yaklaşan tarihler:
- 31 Ekim 2026 — Exchange Server ve Skype for Business Server için son genişletilmiş güvenlik güncellemesi (ESU) aşaması sona eriyor
- 12 Ekim 2027 — Windows 10 için ESU'nun son günü. Ticari tarafta 1. yıl 13 Ekim'de bitti, 2. yıl bu tarihe kadar sürüyor; tüketici tarafı da aynı tarihe uzatıldı
- Windows Server 2012 ve 2012 R2 son ESU yılına girdi — 4. yıl yok
İşlem gerektirmeyen: Windows Server 2022 genişletilmiş destek aşamasına geçti, bu normal yaşam döngüsünün parçası.
"Destek bitti" tam olarak ne demek?
Üç şey demek, ve üçü de yama yönetiminden farklı bir iş yükü doğurur.
- Bir daha yama gelmeyecek. Desteklenmeyen bir üründe bulunan açık kapatılmaz. Bu, "henüz yamalanmamış" durumundan farklıdır: beklenecek bir yama yoktur.
- Açık bilgisi yayılmaya devam eder. Aynı kod tabanını paylaşan desteklenen sürümler yamalandıkça, yamanın neyi düzelttiği de anlaşılır. Desteklenmeyen sürüm, her yama turunda biraz daha savunmasız hâle gelir.
- Denetimde bulgu olur. ISO 27001 ve benzeri çerçeveler, teknik tedbirlerin güncel tutulmasını bekler. Desteklenmeyen bir sistem, teknik tedbirin tanımı gereği eksik olduğu bir alandır. KVKK tarafındaki veri güvenliği yükümlülüğü için de aynı mantık geçerlidir. Kurumunuzun kendi durumu için hukuk danışmanınızla değerlendirme yapmanızda fayda var.
ESU satın almak bu üçünü erteler, çözmez. Ve bu ayki tabloda görüldüğü gibi, ESU'nun da bir son tarihi vardır.
Ne yapmalısınız?
- Önce aktif sömürülen açığın yamasını uygulayın. CVE-2026-96951 bu ayın tek "bugün" maddesi.
- Envanterinizi destek takvimiyle karşılaştırın. Hangi sunucu, hangi istemci, hangi Office sürümü — her biri için destek bitiş tarihi yazılı olmalı. Bu liste yoksa, ay sonu tarihleri sizi haberiniz olmadan geçer.
- Exchange ve Skype for Business için planı bu ay yapın. 31 Ekim'den sonra bu ürünlerde ESU seçeneği kalmıyor.
- Windows Server 2012 ve 2012 R2 için bu yıl son yıl. Dördüncü ESU yılı olmadığı için geçiş planının takvimi bu yıl içinde çıkmalı — bütçe döneminize denk getirin.
- Windows 10 tarafında kararınızı netleştirin. ESU ile 12 Ekim 2027'ye kadar gidilebilir; o tarihten sonrası için donanım ve lisans planı gerekiyor.
- Sınır cihazlarını ayrı bir başlık olarak ele alın. Bu ay yine birden fazla üreticinin uzaktan erişim ve e-posta cihazında kritik açık çıktı; bunlardan biri aktif olarak sömürülüyordu.
Asıl mesele
Yama yönetimi bir süreçtir; destek sonu ise bir karardır.
Süreç tekrar eder, otomatikleştirilebilir ve bir kez kurulduğunda kendi kendine yürür. Karar ise bütçe, kesinti planı ve çoğu zaman donanım gerektirir. İkisi aynı ekibin gündeminde durur ama aynı şekilde çözülmez.
Bu yüzden destek sonu tarihleri genellikle kaçırılır: acil görünmezler. Bir açık "kritik" etiketiyle gelir ve o gün ilgi çeker; bir destek bitişi ise aylar öncesinden bellidir ve tam da bu yüzden ertelenir.
Oysa ikisi arasındaki fark şu: yamayı geciktirirseniz riski bir süre taşırsınız, sonra kapatırsınız. Destek bitişini geciktirirseniz riski kalıcı olarak üstlenmiş olursunuz.
Kurumunuzda önümüzdeki on iki ayda desteği bitecek kaç sistem var? Bu sorunun cevabı bir listede duruyorsa sorun yok. Durmuyorsa, asıl cevaplanması gereken soru bu.