Microsoft Entra’da Kritik Zafiyet: CVSS 10.0 Puanlı Zafiyeti Giderildi
Microsoft, bulut kimlik platformu Entra ID’nin cihaz kayıt hizmetinde (Entra Device Registration) kritik bir güvenlik açığını duyurdu. CVE-2026-109469 kodlu zafiyet, CVSS 3.1 ölçeğinde en yüksek puan olan 10.0 (Kritik) ile derecelendirildi.
Zafiyetin detayları
Açık, “kullanıcı tarafından kontrol edilen anahtar üzerinden yetkilendirme atlatma” türünde (CWE-639). Microsoft’un açıklamasına göre bu açık, yetkisiz bir saldırganın ağ üzerinden yetkilerini yükseltmesine olanak tanıyor. CVSS vektörü de zafiyetin ciddiyetini gösteriyor:
- Saldırı ağ üzerinden, düşük karmaşıklıkla yapılabiliyor.
- Saldırganın herhangi bir yetkiye ya da kullanıcı etkileşimine ihtiyacı yok.
- Etkisi zafiyetli bileşenle sınırlı kalmıyor (scope: changed). Gizlilik, bütünlük ve erişilebilirlik üzerindeki etkisi yüksek.
Entra Device Registration, cihazların kurumun Entra ID dizinine kaydedilmesini (Entra join / register) sağlayan hizmet. Bu katmandaki bir yetki atlatma açığı, cihaz güvenine dayalı Koşullu Erişim (Conditional Access) politikalarını da dolaylı olarak riske atabilir.
Müşteri tarafında aksiyon gerekiyor mu?
Zafiyet, yalnızca Microsoft tarafından barındırılan bir bulut hizmetini etkiliyor. CVE kaydı bu nedenle “exclusively-hosted-service” olarak etiketlendi ve resmi düzeltmenin yayımlandığı belirtiliyor. Microsoft bu tür bulut zafiyetlerini kendi altyapısında kapatıyor. Kurumların herhangi bir yama yüklemesi gerekmiyor. Bazı güvenlik kaynakları, Microsoft’un açığın kamuya açık olarak bildirilmediğini ve aktif olarak istismar edilmediğini belirttiğini aktarıyor. CISA’nın aktif istismar edilen zafiyetler (KEV) listesinde de yer almıyor.
Takvim
- 12 Ekim 2026: CVE numarası rezerve edildi
- 5 Kasım 2026: Microsoft zafiyeti duyurdu
- 6 Kasım 2026: NVD’de yayımlandı (durum: “Analiz Bekleniyor”)
Önerilen kontroller
Yama gerekmese de, yöneticilerin geçmişe dönük olası kötüye kullanım izlerini kontrol etmesi öneriliyor:
- Entra yönetim merkezinde Cihazlar > Tüm cihazlar ekranında tanınmayan veya yakın zamanda kaydedilmiş cihazları inceleyin.
- Entra denetim günlüklerinde (Audit Logs) Device kategorisindeki olağan dışı kayıt ve değişiklikleri gözden geçirin.
- Cihaz kayıt/join ayarlarının (kimlerin cihaz kaydedebileceği, kullanıcı başına cihaz limiti) ve cihaz uyumluluğuna dayalı Koşullu Erişim politikalarının güncel olduğunu doğrulayın.
