Google Windows 11 Insider Sürümlerindeki Güvenlik Açığını Kamuoyuna Taşıdı

Google’ın seçkin güvenlik ekibi Project Zero, Windows 11 işletim sisteminde kritik bir güvenlik zaafiyetini kamuoyuna duyurdu. Ekip, Microsoft’un kendisine bildirilen açığı yeterince gideremediğini ve eksik bir yama yayınladığını belirterek, konuyu şeffaflık ilkesi gereği açıklamak zorunda kaldı. Söz konusu açık, Windows 11’in henüz test aşamasındaki “Administrator Protection” özelliğinde, düşük ayrıcalıklı bir işlemin yönetici hakları ele geçirmesine izin veren bir tasarım hatasından kaynaklanıyor.

Google Project Zero Windows 11 İçin Güvenlik Açığını Raporladı

Mevcut güvenlik açığının genel kullanıcı kitlesi için acil bir risk oluşturmadığı değerlendiriliyor. Zafiyet, bir “yerel ayrıcalık yükseltme” saldırısı kategorisine giriyor. Bu tür bir saldırının başarıya ulaşabilmesi için saldırganın hedef bilgisayara fiziksel olarak erişimi olması ve sistemde keyfi kod çalıştırabilmesi gerekiyor. Bu koşullar, açığın uzaktan istismar edilmesini engelliyor.

Ayrıca, hatanın bulunduğu “Administrator Protection” özelliği, yalnızca Windows 11’in belirli “Insider Preview” (Önizleme) sürümlerinde bulunuyor ve varsayılan olarak kapalı durumda. Kullanıcıların bu özelliği manuel olarak etkinleştirmiş olması gerekiyor. Bu nedenlerle, açıktan potansiyel olarak etkilenen kullanıcı sayısı şu anda oldukça sınırlı bir düzeyde kalıyor.

Google Project Zero, keşfettiği güvenlik açıklarını sorumlu bir şekilde ifşa etmek için katı bir politika izliyor. Ekibin güvenlik araştırmacısı James Forshaw, söz konusu hatayı 8 Ağustos 2025 tarihinde Microsoft’a özel olarak bildirdi. Standart politika gereği, Microsoft’a sorunu çözmek için 90 günlük bir süre tanındı; bu süre 6 Kasım 2025’te dolacaktı.

Microsoft, ek süre talep etti ve yamayı 12 Kasım’da, CVE-2025-60718 kimliği altında yayınladı. Ancak Forshaw, yayınlanan güncellemenin açığı tam anlamıyla ortadan kaldırmadığını, sadece kısmen azalttığını tespit etti. Eksik yamayı Microsoft’a bildirmesine rağmen firma tarafından bir yanıt veya düzeltme gelmeyince, Project Zero sorunu 90 günlük sürenin sonunda kamuoyuna açıklamak zorunda kaldı.

Olayın en çarpıcı yönlerinden biri, Forshaw’ın eksik yamayı rapor etmesinin ardından Microsoft’tan herhangi bir teknik geri bildirim veya düzeltici eylem planı gelmemesi oldu. Bu sessizlik, güvenlik araştırmacıları ile yazılım geliştiricileri arasındaki kritik iş birliği süreçlerinin işleyişi hakkında soru işaretleri doğurdu.

Güvenlik ekosistemi, bu tür sorumlu açıklık bildirim programlarının etkinliğinin, satıcıların zamanında ve yapıcı katılımına bağlı olduğunu vurguluyor. Microsoft gibi küresel ölçekte yazılım sağlayan bir şirketin bu tür bildirimlere verdiği yanıt, milyarlarca kullanıcının siber güvenliği üzerinde doğrudan etkiye sahip oluyor.

Açığın tespit edildiği “Administrator Protection”, Windows 11’in güvenlik modelini güçlendirmeyi amaçlayan yeni bir özellik. Temel amacı, kullanıcıların yönetici ayrıcalıklarını sürekli olarak kullanmak yerine, yalnızca ihtiyaç anında (just-in-time) ve Windows Hello gibi güvenli kimlik doğrulama yöntemleriyle bu ayrıcalıklara geçici olarak erişmelerini sağlamak. Bu yaklaşım, saldırı yüzeyini azaltmayı hedefliyor.

Bu nedenle, özelliğin genel kullanıma sunulmadan önce bu tür temel tasarım hatalarından arındırılması büyük önem taşıyor. Project Zero’nun müdahalesi, hatanın daha geniş kitlelere yayılmadan tespit edilmesi açısından aslında olumlu bir erken uyarı sistemi işlevi gördü. Microsoft’un, özelliği piyasaya sürmeden önce açığı kökten çözecek kapsamlı bir güncelleme yayınlaması bekleniyor.

Genel kullanıcılar için acil bir eylem gerekmemekle birlikte, herkesin temel siber hijyen kurallarını uygulamaya devam etmesi gerekiyor. Insider Preview sürümlerini, özellikle de “Administrator Protection” özelliğini etkinleştirmiş kullanıcıların ise Microsoft’tan gelecek resmi ve kapsamlı güncellemeyi beklemeleri öneriliyor.

Kurumsal BT ekipleri için bu olay, test ortamlarında veya erken benimseme programlarında kullanılan yazılımların güvenlik durumunun düzenli olarak izlenmesinin ve güvenlik araştırmacılarının raporlarının takip edilmesinin önemini bir kez daha vurguluyor. Microsoft’un resmi güvenlik bültenleri ve Google Project Zero’nun yayınları, bu tür gelişmeleri takip etmek için güvenilir kaynaklar olarak öne çıkıyor. Bu durum, yazılım güvenliğinin sürekli bir iyileştirme süreci olduğunu ve açık iş birliğinin bu süreçteki vazgeçilmez rolünü gösteriyor.