Windows ve Office Mercek Altında: Tenable’ın Mayıs 2025 Güvenlik Açığı Raporu Ne Anlatıyor?
Microsoft, 13 Mayıs 2025 tarihinde Windows, Office ve diğer bazı ürünlerindeki kritik güvenlik açıklarını gidermek için kapsamlı bir güncelleme paketi yayınladı. Güvenlik çözümleri sağlayıcısı Tenable ise bu güvenlik açıklarıyla ilgili detaylı bir rapor yayınladı.
Mayıs 2025 Raporunda Dikkat Çekici Detaylar Paylaşıldı
Microsoft, Mayıs 2025’te yedi tanesi “sıfırıncı gün” olarak nitelendirilen çok sayıda güvenlik açığını gideren bir güncelleme yayınladı. Bu yedi kritik açıktan beşi, saldırganlar tarafından aktif olarak kullanılıyordu. Geriye kalan iki açık ise, ilgili yamalar yayınlanmadan önce kamuoyunca biliniyordu.
Bu yedi sıfırıncı gün güvenlik açığından dördü “yetki yükseltme” (Elevation of Privilege), ikisi “uzaktan kod çalıştırma” (Remote Code Execution) ve biri de “kimlik sahteciliği” (Spoofing) kategorisinde değerlendirildi.
Scripting Engine Açığı: CVE-2025-30397
CVE-2025-30397 numaralı açık, Microsoft’un Scripting Engine bileşeninde tespit edilen bir bellek bozulması zafiyetine işaret ediyor. Ancak bu açığın sömürülmesi için mağdurun Microsoft Edge tarayıcısını Internet Explorer modunda kullanıyor olması gerekiyor. Edge tarayıcısının pazar payının yalnızca yüzde 5 olması, bu açığın yaygın şekilde kullanılmasını zorlaştırıyor.
Saldırının başarılı olabilmesi için kullanıcıdan, kimlik doğrulaması gerektiren bir bağlantıya tıklaması bekleniyor. Bu da saldırının hedefli olma olasılığını artırıyor. Son üç yılda Scripting Engine bileşeninde yalnızca birkaç açık bildirilmişti. Ağustos 2024’teki CVE-2024-38178 numaralı sıfır gün açığı da benzer şekilde aktif saldırılarda kullanılmıştı. Bu iki olay arasında bağlantı olup olmadığı henüz netleşmedi.
DWM Core Library Açığı: CVE-2025-30400
Windows’un masaüstü pencere yöneticisini etkileyen CVE-2025-30400 numaralı açık, bu ay yamalanan dört yetki yükseltme zafiyetinden biri oldu. 2022’den bu yana DWM Core Library bileşeninde toplamda 26 yetki yükseltme açığı tespit edildi. Bu sayı, sistemin uzun süredir saldırganlar tarafından hedef alındığını gösteriyor.
Nisan 2025 güncellemesinde bu bileşene ait beş farklı açık daha kapatılmıştı. Ancak sıfır gün olarak istismar edilen sadece iki açık vardı: 2024’teki CVE-2024-30051 ve 2023’teki CVE-2023-36033.
CLFS Sürücüsünde İki Yeni Sıfır Gün Açığı
CVE-2025-32701 ve CVE-2025-32706 kodlarıyla takip edilen bu iki zafiyet, Windows’un Ortak Günlük Dosya Sistemi (CLFS) sürücüsünde yer alıyor. CLFS, hem çekirdek hem de kullanıcı modundaki uygulamalar tarafından erişilebilen bir günlükleme altyapısıdır.
Bu, CLFS bileşeninde art arda ikinci ayda sıfır gün açığı tespit edilmesi anlamına geliyor. Nisan 2025’te kapatılan CVE-2025-29824 numaralı açık, Storm-2460 adlı bir tehdit aktörü tarafından PipeMagic zararlısıyla birlikte fidye yazılımı saldırılarında kullanılmıştı.
Bu ayki açıklara dair teknik sömürme detayları paylaşılmasa da bu zafiyetlerin, hedefli casusluk ya da fidye yazılımı yayılımı gibi son aşama saldırıların bir parçası olduğu değerlendiriliyor. 2022’den bu yana CLFS sürücüsünde toplamda 33 açık tespit edildi. Bunların 28’i yetki yükseltme zafiyeti olarak sınıflandırıldı ve altısı sıfır gün olarak istismar edildi.
AFD.sys Açığı: CVE-2025-32709
Windows’un internet bağlantısını yöneten bileşenlerinden biri olan afd.sys içinde bulunan CVE-2025-32709 kodlu açık, yetki yükseltme türünde. Bu bileşen, uygulamaların internetle iletişime geçmesini sağlayan Windows Sockets API (WinSock) ile etkileşim hâlindedir.
2022’den bu yana afd.sys bileşeninde on farklı açık giderildi. Şubat 2025’te kapatılan son açık da sıfır gün olarak kullanılmıştı. Bu açıklar genellikle sistemlere sızıldıktan sonra yetki yükseltme amacıyla kullanılan, doğrudan son kullanıcıyı hedef almayan ancak oldukça tehlikeli zafiyetler arasında yer alıyor.
Son aylarda yayınlanan yamalara ve bu açıklara yönelik saldırıların sıklığına bakıldığında, Microsoft ürünlerinin adeta açıklarla dolu olduğu izlenimi oluşuyor. Bu açıklardan bazıları Windows’un çekirdek bileşenlerini etkilerken bir kısmı da Microsoft 365 gibi çok sayıda kullanıcının aktif olarak kullandığı hizmetleri ilgilendiriyor.
Microsoft’un yapay zekâ ve CoPilot gibi yeni nesil özelliklerini pazarlamada oldukça iddialı bir tavır sergilemesi dikkat çekiyor. Ancak aynı kararlılığın güvenlik tarafında gösterilmediği izlenimi oluşuyor. Bu kadar büyük bir ekosistem, içerdiği onlarca karmaşık bileşenle birlikte sürekli yeni açıklar barındırıyor.
Microsoft’un kendi ürünlerini yapay zekâ destekli tarama ve fuzzing teknikleriyle düzenli olarak kontrol eden bir ekip kurması beklenirdi. Ancak dışarıdan bakıldığında bu tür sistematik bir yaklaşımın eksikliği hissediliyor. Bunun yerine güvenlik katmanı olarak eklenen VBS, Defender veya MoW gibi çözümlerle, daha çok yüzeysel bir güvenlik katmanı inşa edilmeye çalışılıyor.
Yıllardır süregelen “önce piyasaya sür sonra düzelt” yaklaşımı, 2025 yılında da değişmemiş görünüyor. Microsoft’un hâlâ güvenlik açıklarına tepki vermek yerine, proaktif şekilde önleme geçme konusunda ciddi eksiklikleri bulunuyor.
