Microsoft, 2026 yılının ortasında Active Directory ortamlarında Kerberos kimlik doğrulamasında RC4 şifrelemesini varsayılan olarak devre dışı bırakmayı planlıyor. Bu sürecin ilk adımı, Ocak 2026 Windows güncellemeleri ile resmen başlamış durumda.
Şirketin açıklamasına göre, Windows Server 2008 ve sonrası sürümleri kapsayan bu değişiklikle birlikte, Kerberos Key Distribution Center (KDC) üzerinde yalnızca daha güçlü olan AES-SHA1 şifreleme türüne izin verilecek. RC4 ise tamamen devre dışı bırakılacak.
İlk aşama Ocak 2026 güncellemeleriyle başladı
Microsoft, 16 Ocak 2026 tarihinde yayımladığı destek makalesinde, Kerberos RC4 sertleştirmesinin ilk aşamasının 13 Ocak 2026 tarihli CU güvenlik güncellemeleriyle devreye alındığını duyurdu. Bu aşama, CVE-2026-20833 numaralı güvenlik açığını ele almayı hedefliyor.
İlk aşamada doğrudan bir engelleme yapılmıyor. Bunun yerine:
- RC4 kullanan sistem ve servislerin tespit edilmesi için yeni Kerberos izleme (monitoring) event’leri ekleniyor.
- Geçici bir registry ayarı ile yöneticilere kontrol imkânı sunuluyor.
- Ortamların, ileride zorunlu hale gelecek değişikliklere hazırlanması amaçlanıyor.
Microsoft, bu dönemde tüm kuruluşlara Active Directory domain controller’larını en az Ocak 2026 (veya sonrası) güncellemelerine yükseltmelerini öneriyor.
Asıl değişiklik Nisan 2026’da geliyor
RC4’ün tamamen devre dışı bırakılacağı zorlayıcı (Enforcement) mod, Nisan 2026 itibarıyla tüm Windows domain controller’larda varsayılan olarak etkinleştirilecek. Bu tarihten sonra:
- Kerberos servis biletleri yalnızca AES-SHA1 ile üretilecek.
- RC4 bekleyen uygulama veya servis hesapları kimlik doğrulama hataları yaşayabilecek.
Temmuz 2026 itibarıyla ise denetim (Audit) modu tamamen kaldırılacak ve yalnızca Enforcement modu kalacak.
Kurumlara kritik uyarı
Microsoft, hala RC4 tabanlı Kerberos biletleri bekleyen servis hesapları veya eski uygulamalar kullanan kurumların vakit kaybetmeden tespit ve düzeltme çalışmalarına başlaması gerektiğini vurguluyor. “Önce denetle (Audit First)” yaklaşımı sayesinde, olası kesintiler yaşanmadan risklerin erkenden görülmesi mümkün olacak.
Kerberos RC4 kapatma süreci, zaman çizelgesi ve yapılandırma detaylarına ilişkin ek bilgiler Microsoft’un yayımladığı teknik dokümantasyonda yer alıyor.
