Microsoft, Outlook for Web ve yeni Outlook for Windows uygulamalarında inline SVG görsellerinin artık görüntülenmeyeceğini duyurdu. Şirket, kararın saldırılarda kullanılan güvenlik açıklarını azaltmayı hedeflediğini açıkladı. Değişiklik eylül 2025’in başında kademeli olarak dağıtılmaya başladı ve ekim ortasına kadar tüm kullanıcılara ulaşması planlandı.
Outlook Güvenlik Açıkları İçin Yeni Adım Atıldı
Microsoft, SVG formatının kötü niyetli kişiler tarafından uzun süredir saldırı aracı olarak kullanıldığını belirtti. Özellikle zararlı yazılım yüklemek veya oltalama formları göstermek amacıyla gönderilen inline SVG dosyalarının kullanıcı güvenliğini tehlikeye attığı ifade edildi. Şirket, bundan sonra bu görsellerin yerinde boş alan bırakılacağını duyurdu.
Microsoft tarafından yapılan açıklamaya göre karar, Outlook üzerinden gönderilen tüm görsellerin yalnızca yüzde 0,1’ini etkileyecek. Bu nedenle genel kullanımda önemli bir kayıp yaşanmayacak. SVG dosyalarının ek olarak gönderilen sürümleri ise desteklenmeye devam edecek.
Siber güvenlik şirketleri, SVG tabanlı saldırıların son dönemde önemli ölçüde arttığını raporladı. Trustwave tarafından nisan ayında yayımlanan verilere göre 2024’ün başından 2025’in ilk çeyreğine kadar geçen sürede oltalama kampanyalarında SVG kullanımında yüzde 1800’lük bir artış yaşandı.
Uzmanlar, bu saldırıların genellikle Phishing-as-a-Service (PhaaS) platformları üzerinden yayıldığını ve Tycoon2FA, Mamba2FA, Sneaky2FA gibi araçların bu alanda sıkça kullanıldığını açıkladı.
Microsoft Outlook İçin Daha Geniş Güvenlik Önlemleri Alındı
Microsoft, son yıllarda Outlook ve Office ürünlerinde saldırı amacıyla kullanılan birçok özelliği kaldırdı. Haziran 2025’te Outlook Web ve yeni Outlook for Windows üzerinde .library-ms ve .search-ms dosya türlerinin engellendiği açıklandı. Bu dosyalar, daha önce devlet kurumlarını hedef alan oltalama ve zararlı yazılım kampanyalarında kullanılmıştı.
Şirket ayrıca 2018’den bu yana Antimalware Scan Interface (AMSI) desteğini genişletti, VBA ve XLM makrolarına yönelik varsayılan engellemeler getirdi, Excel 4.0 makrolarını devre dışı bıraktı ve güvenilmeyen XLL eklentilerinin yüklenmesini engelledi. Nisan 2025’te ise Office 2024 uygulamaları için ActiveX kontrolleri tamamen kapatıldı.
Uzmanlar, Outlook kullanıcılarının e-postalardaki görsellere tıklarken dikkatli olması gerektiğini vurguluyor. Her ne kadar inline SVG desteği kapatılmış olsa da ek olarak gönderilen dosyalar üzerinden riskler devam ediyor. Güvenlik araştırmacıları, kullanıcıların güncellemeleri düzenli yüklemesini, şüpheli içeriklere karşı dikkatli olmasını ve bilinmeyen kaynaklardan gelen dosyaları açmaktan kaçınmasını öneriyor.
