Microsoft Domain Controller Güvenliği İçin Üç Aşamalı Güçlendirme Sürecini Başlattı
Microsoft, Windows Domain Controller yöneten BT ekiplerini ilgilendiren yeni bir güvenlik uyarısı yayınladı. Şirket, Kerberos kimlik doğrulama protokolünde tespit edilen yeni bir açık nedeniyle sunucu tarafında aşamalı bir sertleştirme sürecini devreye aldı.
Kerberos Güvenlik Açığı Hangi Sistemleri Etkiliyor?
Microsoft’un açıklamasına göre CVE-2026-20833 koduyla takip edilen güvenlik açığı, eski ve zayıf şifreleme algoritmalarının kötüye kullanılmasına dayanıyor. Açık, saldırganların RC4 gibi yöntemleri kullanarak servis hesaplarına ait kimlik bilgilerini ele geçirmesine zemin hazırlayabiliyor.
Microsoft’un paylaştığı teknik bilgilere göre güvenlik açığı, belirli Windows Server sürümlerinde çalışan Domain Controller sistemlerini kapsıyor. Şirket, etkilenen sürümleri açık şekilde sıraladı. Etkilenen sistemler arasında Windows Server 2008 Premium Assurance, Windows Server 2008 R2 Premium Assurance, Windows Server 2012 ESU, Windows Server 2012 R2 ESU, Windows Server 2016, Windows Server 2019, Windows Server 2022 ve Windows Server 2025 yer alıyor.
Microsoft, bu sistemlerde Kerberos üzerinden üretilen servis biletlerinin, zayıf şifreleme ayarları nedeniyle saldırılara açık hâle gelebildiğini belirtiyor.
Microsoft, son Patch Tuesday güncellemesiyle birlikte yeni sertleştirme sürecinin ilk adımını başlattı. Şirket, bu süreci üç ayrı faza bölerek ilerletmeyi planlıyor. Mevcut durumda sistemler “Initial Deployment Phase” olarak adlandırılan ilk aşamada bulunuyor. Bu aşamada yayınlanan Windows güncellemeleri, olası uyumluluk sorunlarını tespit edebilmek için ayrıntılı denetim kayıtları oluşturuyor. Microsoft, bu sayede BT yöneticilerinin altyapılarını kontrol edebilmesini hedefliyor.
Bu aşamayla birlikte RC4DefaultDisablementPhase adlı yeni bir kayıt defteri anahtarı da sisteme eklendi. Bu ayar, uygun koşullar sağlandığında Domain Controller’ların AES-SHA1 şifreleme algoritmasını kullanmasını sağlıyor.
Microsoft, ilk aşamanın nisan 2026’ya kadar devam edeceğini duyurdu. Bu tarihten sonra “İkinci Dağıtım Aşaması” süreci başlayacak. İkinci aşamada Domain Controller sistemleri, Active Directory üzerinde açık şekilde tanımlı msds-SupportedEncryptionTypes özniteliği bulunmayan hesaplar için otomatik olarak AES-SHA1 algoritmasına geçiş yapacak.
Temmuz 2026 itibarıyla ise “Zorunluluk Aşaması” süreci devreye alınacak. Bu son aşamada RC4DefaultDisablementPhase kayıt defteri anahtarı tamamen kaldırılacak. Böylece RC4 tabanlı şifreleme yöntemleri Domain Controller tarafında devre dışı kalacak.
Microsoft, yayınladığı destek dokümanında BT yöneticilerine doğrudan çağrıda bulundu. Şirket, ocak 2026 Patch Tuesday güncellemelerinin gecikmeden yüklenmesini ve denetim kayıtlarının düzenli olarak izlenmesini öneriyor.
Microsoft’a göre bu izleme süreci, altyapının bir sonraki sertleştirme aşamasına hazır olup olmadığını anlamak açısından kritik önem taşıyor. Şirket, erken hazırlık yapan kurumların ilerleyen aşamalarda uyumluluk sorunlarını daha az yaşayacağını vurguluyor.
