Microsoft, Windows Dağıtım Hizmetleri’nde (WDS) güvenlik endişeleri nedeniyle önemli bir kısıtlama getiriyor. Şirket, ağ sürücülerinden erişilen “unattend.xml” yanıt dosyaları ile otomatik Windows kurulumu desteğini Nisan 2026’da sonlandıracak. Bu karar, Ocak 2026 Patch Tuesday güncellemeleri kapsamında duyuruldu. Değişiklik, sistem yöneticilerinin kurulum stratejilerini gözden geçirmesini gerektiriyor.
Otomatik Dağıtım İş Akışı Güvenlik Açığı Taşıyor
Windows Dağıtım Hizmetleri, sistem yöneticilerine ağ üzerinden merkezi Windows kurulumu yapma imkânı sunuyor. Bu yöntem, fiziksel medya kullanmadan çok sayıda bilgisayarın hızlı şekilde kurulmasını sağlıyor. Kurulum süreci, “unattend.xml” adı verilen ve kurulum ayarlarını içeren bir yanıt dosyası tarafından kontrol ediliyor. Microsoft, bu dosyaların ağ paylaşımlarından kullanılmasının ciddi bir güvenlik zaafiyeti oluşturduğunu tespit etti.
Söz konusu güvenlik açığı, “CVE-2026-0386: Windows Dağıtım Hizmetleri Uzaktan Kod Yürütme Güvenlik Açığı” olarak kayıtlara geçti. Açık, WDS iş akışının “unattend.xml” dosyasını kimlik doğrulaması olmayan RPC üzerinden iletmesinden kaynaklanıyor. Bu durum, özellikle PXE önyüklemesi sırasında hassas kimlik bilgilerinin açığa çıkmasına yol açabiliyor. Ortadaki adam saldırıları gibi riskler, kurumsal ağlar için tehdit oluşturuyor.
Microsoft, mevcut güvenlik riskini ortadan kaldırmak için iki aşamalı bir plan hazırladı. Planın ilk aşaması, Ocak 2026 güvenlik güncellemeleri ile yürürlüğe girdi. Bu aşamada, otomatik dağıtım işlevi desteklenmeye devam ediyor. Ancak yöneticiler, güvenliği artırmak için bu işlevi açıkça devre dışı bırakabiliyor. Sistem, güvenli olmayan işlemler için olay günlüğü uyarıları kaydetmeye başlıyor.
Planın ikinci ve nihai aşaması Nisan 2026’da başlayacak. Bu tarihten itibaren, otomatik dağıtım işlevi varsayılan olarak devre dışı bırakılacak. Yöneticiler, beraberindeki güvenlik risklerini kabul ederek bu işlevi yeniden etkinleştirme seçeneğine sahip olacak. Microsoft, bu değişikliği “güvenliği varsayılan haline getirme” politikasının bir parçası olarak sunuyor. Nisan 2026 güvenlik güncellemesi ile varsayılan davranış değişecek.
Microsoft, davranışı kontrol etmek için yöneticilere bir kayıt defteri anahtarı sunuyor. İlgili ayar, HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\Providers\WdsImgSrv\Unattend yolunda bulunuyor. Buradaki 32-bit DWORD türündeki AllowHandsFreeFunctionality değeri, sistemin davranışını belirliyor. Değerin 0x0 olarak ayarlanması, “unattend.xml” dosyasına kimlik doğrulamasız erişimi engelliyor ve otomatik dağıtımı kapatıyor.
Nisan 2026’dan sonra yöneticiler, değeri 0x1 olarak değiştirerek otomatik dağıtımı yeniden etkinleştirebilecek. Microsoft, Ocak 2026 güncellemeleri ile birlikte Windows’a yeni olay günlüğü kayıtları da ekledi. Bu kayıtlar, yöneticilerin dağıtım davranışını izlemesine yardımcı oluyor. Olaylar, “Microsoft-Windows-Deployment-Services-Diagnostics/Debug” günlüğüne kaydediliyor. Microsoft, tüm detayları destek makalesinde paylaştı.
Bu değişiklik, özellikle büyük ölçekli kurulumlar gerçekleştiren BT departmanlarını etkiliyor. Sistem yöneticileri, Nisan 2026 öncesinde mevcut dağıtım otomasyon senaryolarını gözden geçirmeli. Alternatif ve güvenli dağıtım yöntemlerine geçiş için planlama yapılması önem taşıyor. Microsoft, güvenli konfigürasyonlar için kılavuz yayınlamaya devam edecek.
