Microsoft, 10 Kasım 2026 ve sonrasında yayımlanan Windows güncellemeleriyle NTLM kimlik doğrulamasında mesaj imzalamaya yönelik güvenlik iyileştirmelerini devreye aldı. CVE-2026-118737 için hazırlanan bu değişiklikler, NTLM bağlantılarında kriptografik oturum anahtarının oluşturulmasını ve gerçek mesaj imzalamanın kullanılmasını sağlamayı amaçlıyor. Böylece NTLM relay saldırılarına karşı koruma artırılıyor.
Microsoft’un planı iki aşamadan oluşuyor. İlk aşamada istemci cihazlar, anonim olmayan NTLM bağlantılarında imzalama desteğini varsayılan olarak sunmaya başlıyor. Sunucular ise şimdilik hem imzalı hem imzasız bağlantıları kabul ediyor. Sistem yöneticileri, imzalama kullanmayan bağlantıları olay günlüklerinden belirleyebiliyor.
İkinci aşamanın Mayıs 2027’de başlaması planlanıyor. Bu tarihten itibaren Windows sunucularında NTLM imzalamanın varsayılan olarak zorunlu hale gelmesi hedefleniyor. İmzalama sunmayan istemcilerin güvenli bağlantıları reddedilecek.
Gerçek imzalama ile eski yöntem arasındaki fark
NTLM’de iki farklı imzalama davranışı bulunuyor. NTLMSSP_NEGOTIATE_SIGN bayrağı, oturum anahtarı kullanan gerçek HMAC-MD5 imzalamayı ifade ediyor. NTLMSSP_NEGOTIATE_ALWAYS_SIGN ise kriptografik koruma sağlamayan eski bir yer tutucu davranış.
Bu nedenle yalnızca bağlantıda “imzalama” ifadesinin bulunması yeterli değil. Microsoft, oturumun güvenli sayılması için SIGN (0x00000010) ve KEY_EXCH (0x40000000) bayraklarının birlikte bulunmasını ve oturum anahtarının mevcut olmasını belirtiyor.
Olay günlükleriyle uyumluluğu kontrol edin
NTLM imzalama durumu, Microsoft-Windows-NTLM/Operational günlüğündeki olaylardan izlenebiliyor:
- Olay Kimliği 4022: İstemci tarafındaki NTLM kimlik doğrulaması
- Olay Kimliği 4023: Sunucu tarafındaki NTLM kimlik doğrulaması
Microsoft’a göre bu olaylar, NTLM Enhanced auditing etkin olan Windows Server 2019 ve sonraki sürümlerde kullanılabiliyor. Hem imzalı hem de imzasız bağlantılar aynı uyarı düzeyinde görünebildiği için yalnızca olay seviyesine bakılmamalı; Negotiated Flags içindeki 0x10 SIGN biti ve Session Key Status değeri incelenmeli.
Örneğin 0xE0888215 bayrak değeri ve Session Key Status: Present, bağlantının ikinci aşamaya hazır olduğunu gösteriyor. 0xA0888205 ve Session Key Status: Missing ise imzalamanın kullanılmadığını ve istemcinin ele alınması gerektiğini belirtiyor.
Yeni kayıt defteri ayarları
Kasım güncellemesiyle birlikte istemci ve sunucu davranışını yönetmek için iki kayıt defteri değeri ekleniyor. Her ikisi de şu konumda bulunuyor:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
| Değer adı | Varsayılan davranış (0) | 1 değeri |
|---|---|---|
| ClientAllowUnsignedNtlm | İstemci, anonim olmayan bağlantılarda SIGN sunar. | İstemci SIGN sunmaz. Yalnızca geçici uyumluluk amacıyla kullanılmalı. |
| ServerRequireNtlmSign | Sunucu, imzalı ve imzasız istemcileri kabul eder. | Sunucu, imzasız istemcileri reddeder. |
Bu ayarların değiştirilmesi için yeniden başlatma gerekmiyor. Ancak Microsoft, sunucularda ServerRequireNtlmSign=1 değerinin ancak olay günlüklerinde imzasız bağlantı kalmadığı doğrulandıktan sonra etkinleştirilmesini öneriyor.
Kurumlar için geçiş planı
Yöneticilerin öncelikle güncellemeleri yükleyip NTLM Operational günlüklerindeki 4022 ve 4023 olaylarını incelemesi gerekiyor. SIGN biti bulunmayan bağlantılar için istemci, uygulama veya cihaz uyumluluğu araştırılmalı. Bu envanter tamamlanmadan sunucularda imzalamayı zorunlu kılmak, eski istemci ve uygulamaların bağlantı kuramamasına neden olabilir.
Microsoft, bu değişikliklerin NTLM güvenliğini aşamalı olarak güçlendirdiğini ve desteklenen tüm Windows Server sürümlerinin imzalamayı zaten desteklediğini belirtiyor. Yeni dağıtım, bu özelliğin bağlantılarda kullanılmasını ve ilerleyen aşamada varsayılan olarak zorunlu tutulmasını sağlayacak.
