Windows Netlogon’daki Kritik Zafiyet: Domain Controller’lar Risk Altında

Microsoft’un Mayıs 2026 güncellemeleri kapsamında kapattığı kritik güvenlik açığı CVE-2026-41089 için tehdit seviyesi yükseldi. Güvenlik araştırmacıları ve resmi kurumlar, Windows Netlogon servisindeki bu uzaktan kod çalıştırma (RCE) zafiyetinin artık saldırganlar tarafından aktif olarak kullanıldığını duyurdu.

Söz konusu açık, Active Directory ortamlarında Domain Controller rolü bulunan Windows Server sistemlerini etkiliyor. Saldırganlar, özel olarak hazırlanmış Netlogon istekleri göndererek herhangi bir kimlik doğrulaması yapmadan hedef sunucuda SYSTEM yetkileriyle kod çalıştırabiliyor.

Kimlik Doğrulaması Gerektirmiyor

CVE-2026-41089’un en kritik özelliklerinden biri, saldırının gerçekleştirilmesi için kullanıcı etkileşimi, yerel erişim veya önceden bir hesap ele geçirilmesi gerekmemesi. Saldırganın yalnızca ağ üzerinden Netlogon servisine erişebilmesi yeterli oluyor.

Bu durum, açığı otomatik saldırılar, yatay hareket (lateral movement) ve tüm etki alanının ele geçirilmesi gibi senaryolar için son derece tehlikeli hale getiriyor.

Domain Controller Ele Geçirilebilir

Active Directory altyapısının merkezinde yer alan Domain Controller sunucularının ele geçirilmesi, saldırganlara geniş çaplı yetkiler sağlayabiliyor. Başarılı bir istismar sonrasında saldırganlar:

• Zararlı yazılım dağıtabilir,
• Yeni kullanıcı veya yönetici hesapları oluşturabilir,
• Mevcut hesaplarda değişiklik yapabilir,
• Güvenlik mekanizmalarını devre dışı bırakabilir,
• Ağ içerisindeki diğer kritik sistemlere sıçrayabilir.

Bu nedenle açık, kurumsal ağlar açısından son derece yüksek riskli olarak değerlendiriliyor.

Belçika Siber Güvenlik Merkezi Uyardı

Belçika Siber Güvenlik Merkezi (CCB), Mayıs 2026 güncellemeleriyle giderilen 118 güvenlik açığı arasında CVE-2026-41089’u özellikle ön plana çıkardı. Güncelleme paketindeki 16 açık “kritik” seviyede sınıflandırılırken, Netlogon açığının aktif olarak sömürülmesi nedeniyle kuruluşlara acil aksiyon çağrısında bulunuldu.

Acil Yama ve İzleme Tavsiyesi

Microsoft, Windows Server 2012 ve sonrasındaki desteklenen tüm sürümler için güvenlik güncellemelerini yayımladı. Güvenlik uzmanları, özellikle Domain Controller sunucularının öncelikli olarak yamalanmasını öneriyor.

Kuruluşların ayrıca aşağıdaki kontrolleri artırması tavsiye ediliyor:

• Şüpheli Netlogon trafiğinin izlenmesi,
• Olağandışı kimlik doğrulama hareketlerinin tespit edilmesi,
• Yetki yükseltme girişimlerinin incelenmesi,
• Beklenmedik yönetici hesabı oluşturma olaylarının takip edilmesi,
• Domain Controller erişimlerinin ve ağ segmentasyonunun gözden geçirilmesi.

Uzmanlara göre hızlı yama yönetimi, sıkı ağ erişim kontrolleri ve gelişmiş izleme mekanizmaları, CVE-2026-41089 kaynaklı devam eden saldırı kampanyalarına karşı en etkili savunma yöntemleri arasında yer alıyor.