Microsoft’tan e-posta altyapısını kullanan kurumları yakından ilgilendiren önemli bir uyarı geldi. Şirket, Exchange Online ile çalışan sistemlerde e-posta akışının kesintiye uğramaması için bazı sertifika güven ayarlarının güncellenmesi gerektiğini açıkladı.
Exchange Online için kritik sertifika uyarısı
Microsoft Exchange ekibi tarafından yayımlanan duyuruya göre, Exchange Online ile SMTP üzerinden e-posta alışverişi yapan sistemlerin 15 Mart 2026 tarihine kadar DigiCert Global Root G2 sertifika otoritesine güvenmesi gerekiyor. Bu güncelleme yapılmadığı takdirde kurumların e-posta iletişiminde kesintiler yaşanabileceği belirtiliyor.
Microsoft, daha önce bu geçiş için son tarihi 30 Nisan 2026 olarak açıklamıştı. Ancak sektör genelinde eski kök sertifikaların hızla kullanım dışı bırakılması nedeniyle tarih 15 Mart 2026 olarak öne çekildi.
Kimlerin işlem yapması gerekiyor?
Microsoft’a göre çoğu kurumun ek işlem yapmasına gerek yok. Çünkü Windows işletim sistemi, güvenilen sertifika listelerini otomatik olarak güncelliyor. Bu nedenle Windows üzerinde çalışan ve bu özelliği devre dışı bırakmamış Exchange veya SMTP sunucuları otomatik olarak güncellenmiş sertifikalara güvenmeye devam edecek.
Ancak bazı durumlarda sistem yöneticilerinin manuel işlem yapması gerekebilir. Özellikle şu durumlar risk oluşturabiliyor:
- Kurum içinde Windows Certificate Trust List (CTL) güncelleme özelliği kapatılmışsa
- Sertifika güven zinciri Group Policy ile manuel yönetiliyorsa
- Eski Java sürümleri, gömülü sistemler veya özel Linux imajları kullanılıyorsa
- İnternete kapalı (air-gapped) sistemler Exchange Online ile iletişim kuruyorsa
Bu senaryolarda sistemlerin DigiCert Global Root G2 kök sertifikasını ve ilgili ara sertifikaları güvenilen sertifika deposuna eklemesi gerekiyor.
Güncelleme yapılmazsa ne olur?
Microsoft, gerekli sertifika güveni sağlanmadığında TLS bağlantılarının başarısız olabileceğini ve bunun e-posta iletişimini doğrudan etkileyebileceğini belirtiyor. Olası sorunlar arasında şunlar yer alıyor:
- Exchange Online ile SMTP bağlantısının kurulamayaması
- STARTTLS hataları nedeniyle e-posta gönderiminin engellenmesi
- Gelen e-postaların alınamaması veya gecikmesi
- Güvenli bağlantı kurulamadığı için TLS iletişiminin başarısız olması
Örneğin Exchange Online mesaj izleme kayıtlarında şu tür hatalar görülebilir:
450 4.4.317 Cannot establish session with remote server
451 5.7.3 STARTTLS is required to send mail
Microsoft’tan kurumlara çağrı
Microsoft, kurumların 15 Mart 2026 tarihinden önce gerekli sertifika kontrollerini yapmasını ve eksik sertifikaları yüklemesini öneriyor. Aksi halde Exchange Online ile kurum sistemleri arasındaki e-posta trafiğinde ciddi kesintiler yaşanabileceği vurgulanıyor.
Şirket ayrıca Microsoft 365 yöneticilerinin Message Center üzerinden yayımlanan MC1224565 numaralı duyuruyu incelemelerini tavsiye ediyor.
Özetle: Exchange Online kullanan kurumların büyük çoğunluğu otomatik olarak güncellenecek olsa da, sertifika güven listesini manuel yöneten sistemlerde DigiCert Global Root G2 sertifikasının zamanında yüklenmesi kritik önem taşıyor.
Bilgisayar dünyasında güven zinciri küçük bir halkaya benzer. Zincirin en üstündeki kök sertifika güvenilir değilse, onun imzaladığı tüm sertifikalar da geçersiz sayılır. E-posta altyapılarında yaşanan kesintilerin büyük kısmı da tam olarak bu görünmez güven zincirinin kırılmasından kaynaklanır.
bu güncelleme hangi sistem üzerinde ypaılacka
Bu güncelleme Exchange Online tarafında değil, Exchange Online ile SMTP üzerinden konuşan sizin sistemlerinizde yapılır. Yani Microsoft kendi tarafını zaten güncelliyor; mesele sizin ortamın o sertifikaya güvenip güvenmemesi.
Şöyle düşün: TLS bağlantısı kurulduğunda iki sistem birbirine “sen gerçekten kimsin?” diye sorar. Cevap sertifikadır. Eğer karşı tarafın kök sertifikası senin güven listende yoksa bağlantı kurulmaz. İşte Microsoft burada DigiCert Global Root G2’yi güvenilen kök olarak zorunlu hale getiriyor.
Bu nedenle kontrol edilmesi gereken sistemler şunlar:
On-prem Exchange Server
- Hybrid yapı varsa
- Exchange Online ile mail alışverişi yapıyorsa
- Send Connector veya Receive Connector üzerinden SMTP konuşuyorsa
SMTP Gateway / Mail Security cihazları
Örneğin:
- FortiMail
- Cisco ESA
- Proofpoint
- Barracuda
- Trend Micro vb.
Bu cihazlar Exchange Online’a mail gönderiyorsa sertifika zincirini doğrular.
Linux tabanlı mail sunucuları
Örneğin:
- Postfix
- Exim
- Sendmail
- OpenSMTPD
Bunlar genelde OpenSSL trust store kullanır.
Eski Java uygulamaları
Eski JDK / JRE truststore (cacerts) kullanan sistemlerde de sertifika eksik olabilir.
Air-gapped veya manuel certificate yönetimi olan Windows sunucular
Eğer kurum:
- Windows CTL Updater’ı kapattıysa
- Sertifikaları Group Policy ile manuel yönetiyorsa
o zaman Root CA elle eklenmelidir.
