Windows: WDS’de Ağ Üzerindeki unattend.xml Desteği Nisan 2026’da Sona Eriyor
Microsoft, Ocak 2026 Patch Tuesday kapsamında Windows Deployment Services (WDS) için önemli bir değişiklik duyurdu. Güvenlik gerekçeleriyle alınan bu karara göre, ağ paylaşımlarında bulunan unattend.xml dosyalarıyla yapılan otomatik (hands-free) Windows kurulum desteği Nisan 2026 itibarıyla varsayılan olarak devre dışı bırakılacak.
WDS ve unattend.xml Ne İşe Yarıyor?
Windows Deployment Services (WDS), Windows işletim sistemlerinin PXE üzerinden ağ tabanlı ve otomatik olarak kurulmasını sağlayan bir Microsoft servisidir. Yöneticiler, WDS sayesinde DVD veya USB gibi fiziksel kurulum medyalarına ihtiyaç duymadan istemci bilgisayarları kurabilir.
Bu otomatik kurulum süreci, unattend.xml adlı yanıt dosyasıyla yönetilir. Bu dosya; kurulum seçeneklerini, disk yapılandırmasını ve gerekli kimlik bilgilerini içerir ve kurulum sırasında yönetici müdahalesine gerek kalmadan Windows’un yüklenmesini sağlar. Ancak bu yöntem uzun süredir güvenlik riskleri nedeniyle tartışma konusuydu.
WDS Ve Otomatik Kurulum Yanıt Dosyası Güvenlik Zafiyetlerine Neden Oluyor
Microsoft, 13 Ocak 2026 tarihinde bu yöntemin CVE-2026-0386 – Windows Deployment Services Remote Code Execution Vulnerability olarak tanımlanan bir güvenlik açığına neden olduğunu açıkladı.
Mevcut WDS işleyişinde:
- unattend.xml dosyası kimlik doğrulaması yapılmadan RPC üzerinden iletiliyor
- PXE boot sürecinde hassas kimlik bilgileri ağ üzerinden açık şekilde taşınabiliyor
- Bu durum, Man-in-the-Middle (MITM) saldırıları dahil olmak üzere ciddi güvenlik riskleri oluşturuyor
Bu nedenle Microsoft, WDS’de authenticated RPC kullanımını zorunlu hale getirerek güvensiz iş akışını kademeli olarak devre dışı bırakma kararı aldı.
İki Aşamalı Geçiş Planı İle Otomatik Kurulum Desteği Nisan 2026’da Devre Dışı Kalıyor
Microsoft, bu değişikliği ani bir kesinti yaratmamak için iki fazlı olarak uygulayacak:
Faz 1 – Ocak 2026
- Hands-free deployment (unattend.xml ile otomatik kurulum) çalışmaya devam edecek
- Ancak güvenlik uyarıları Event Log’lara yazılmaya başlanacak
- Yöneticiler, yeni bir registry anahtarı üzerinden güvenli veya güvensiz modu seçebilecek
Faz 2 – Nisan 2026
- Hands-free deployment varsayılan olarak devre dışı olacak
- Güvenlik riskleri kabul edilirse, yöneticiler manuel olarak tekrar etkinleştirebilecek
- Sistem davranışı “secure by default” olacak
Bu ikinci fazın, 14 Nisan 2026 tarihinde yayımlanacak bir güvenlik güncellemesiyle devreye alınması bekleniyor.
Kayıt Defteri Ayarları İle Otomatik Kurulum Süreçleri Manuel Olarak Kontrol Ediliyor
Davranış aşağıdaki registry anahtarı üzerinden yönetilecek:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\
Providers\WdsImgSrv\Unattend
Bu konumdaki AllowHandsFreeFunctionality adlı 32-bit DWORD değeri:
- 0x0 > Kimlik doğrulaması olmayan erişimi engeller, otomatik kurulumu kapatır
- 0x1 > (Nisan 2026’dan sonra) Otomatik kurulumu yeniden etkinleştirir
Yeni Log Kayıtları Eklendi
Ocak 2026 güncellemeleriyle birlikte, yöneticilerin WDS dağıtım davranışlarını izleyebilmesi için yeni loglar da eklendi. Bu kayıtlar şu log altında tutuluyor:
Microsoft-Windows-Deployment-Services-Diagnostics/Debug
Detaylı teknik yönlendirme, Microsoft’un yayımladığı “Windows Deployment Services (WDS) Hands-Free Deployment Hardening Guidance” dokümanında yer alıyor.
Değişiklik, bazı sistem yöneticileri tarafından eleştirildi. Bir kullanıcı, “Ağ paylaşımının güvenliğini sağlamak yöneticinin sorumluluğudur. Microsoft’un bu noktada müdahalesini gereksiz ve abartılı buluyorum” yorumunu yaptı.
