Microsoft, 26 Ekim 2026’da Windows 10, Windows 11 ve Windows Server sürümleri için planlanmamış out-of-band (OOB) güncellemeler yayımladı. Şirket, güncellemelerin Windows sertifika deposunu yenilediğini belirtiyor. Güncellemenin eMudhra sertifika otoritesine ait ele geçirilmiş anahtarlarla bağlantılı olabileceği ise henüz Microsoft tarafından doğrulanmadı.
Yayımlanan güncellemeler
Windows 10 ve Windows 11 için yayımlanan güncellemeler şöyle:
- KB5134133: Windows 11 24H2–26H2
- KB5134130: Windows 11 23H2
- KB5134125: Windows 10 22H2
- KB5134124: Windows 10 Enterprise 2019 LTSC
- KB5134123: Windows 10 Enterprise 2016 LTSC
Windows Server tarafında ise şu güncellemeler listeleniyor:
- KB5134137: Windows Server 2025
- KB5134140: Windows Server 2022
- KB5134124: Windows Server 2019
- KB513412: Windows Server 2016
Windows Server 2016 için kaynak metinde KB513412 numarası yer alıyor; numaranın doğruluğu Microsoft’un güncelleme sayfasından kontrol edilmeli.
Güncellemeler sertifika deposunu yeniliyor
Microsoft’a göre bu toplu güncellemeler, Microsoft’un sertifika güncelleme hizmetine erişemeyen veya otomatik Certificate Trust List (CTL) güncellemeleri kapalı olan cihazlara güncel güvenilen kök sertifika verilerini sağlıyor. İnternet erişimi olmayan ağlardaki sistemler bu kapsama örnek gösteriliyor.
Güncellemeler ayrıca önceki aylara ait güvenlik düzeltmelerini de içeriyor. Bu nedenle Microsoft’un açıklamasında güncellemeler güvenlik dışı olarak sınıflandırılsa da, toplu güncelleme niteliği taşıyor.
eMudhra bağlantısı henüz doğrulanmadı
Güncellemelerin, eMudhra sertifika otoritesine ait bazı özel anahtarların ele geçirilmesiyle ilişkili olabileceği öne sürülüyor. İddialara göre, zayıf anahtarlar nedeniyle bazı ara sertifikaların özel anahtarları hesaplanabilir hâle geldi. Bu anahtarların kötüye kullanılması, saldırganların kontrol etmedikleri siteler için sahte HTTPS sertifikaları üretmesine yol açabilir.
Tarayıcı üreticileri söz konusu sertifikalara karşı güncellemeler yayımladı. Microsoft ise OOB güncellemelerin eMudhra olayıyla bağlantısını ayrıntılı biçimde açıklamadı. Bu nedenle bağlantı, mevcut bilgiler ışığında bir olasılık olarak değerlendirilmeli; Microsoft’un doğrulanmış açıklaması, güncellemelerin sertifika deposunu yenilediği yönünde.
