Microsoft, 13 RCE kusurları dahil 107 güvenlik açığını giderir

Microsoft’un Ağustos Yaması Salı günü, 13 kritik RCE kusuru, pencereler, ofis, Azure ve daha fazlasını etkileyen 107 güvenlik açığını giderir.

Microsoft, Salı günü güvenlik güncellemelerine göre 107 güvenlik açığı için yamalar teslim etti. Belirlenen güvenlik açıklarından 13’ü kritik olarak sınıflandırılır, ciddi potansiyel etkileri nedeniyle derhal dikkat gerektirir.

Kritik güvenlik açıkları

Bu ayki güncellemeler, sistemlere yönelik en şiddetli tehditleri temsil eden 13 kritik güvenlik açığı içeriyor. Bu kusurlar, saldırganların genellikle herhangi bir kullanıcı etkileşimi gerektirmeden tam kontrol edinme, hassas bilgileri ifşa etme veya hizmetleri bozma potansiyelini taşır.

Kritik düzeltmelerin çoğu hedef Uzak Kod Yürütme (RCE) Bir saldırganın tehlikeye girmesine izin verdikleri için en tehlikeli olanlar arasında olan kusurlar. Dikkate değer RCE güvenlik açıkları şunları içerir:

Windows Graphics Bileşeni (CVE-2025-50165)

Bu kritik RCE güvenlik açığı, yetkisiz saldırganların güvenilmeyen işaretçi dereferences yoluyla bir ağ üzerinden kod yürütmesine izin verebilir. Temel Windows bileşeni üzerindeki etkisi özellikle onu ilgilendiğini ortaya koymaktadır.

DirectX Graphics çekirdeği (CVE-2025-50176)

Bu, grafik çekirdeğinde, potansiyel olarak yüksek ayrıcalıklara ihtiyaç duymadan, kimlik doğrulamalı bir saldırgan tarafından yerel kod yürütülmesini sağlayan bir karışıklık güvenlik açığıdır.

Microsoft Message Queuing (MSMQ) (CVE-2025-50177)

Başarılı bir sömürü, bir yarış koşulu kazanmayı gerektirse de, bu kullanımdan sonra kullanılan bu güvenlik açığı, kimlik doğrulanmamış bir saldırganın uzaktan kod yürütülmesine izin vermesine izin verir, ancak^. Kalıcılığı MSMQ Güvenlik Açıkları Sistem yöneticileri için devam eden bir endişe alanını vurgular.

Microsoft Office & Word (CVE-2025-53731, CVE-2025-53740, CVE-2025-53733, CVE-2025-53784)

Microsoft Office ve Word’deki ve Word’deki diğer kusurlar ve diğer kusurlar, kimlik doğrulanmamış saldırganların uzaktan kod yürütülmesine izin verebilir. Çoğu zaman, bu güvenlik açıkları, sadece kötü amaçlı bir dosya açan bir kullanıcı tarafından tetiklenebilir ve bu da devam eden riski altına alabilirsiniz. Belge tabanlı saldırılar.

GDI+ (CVE-2025-53766)

Bu, Windows GDI+ ‘da, kimlik doğrulanmamış bir saldırganın uzaktan kod yürütülmesine izin verebilecek yığın tabanlı bir arabellek taşma güvenlik açığıdır.

Windows Hyper-V (CVE-2025-48807)

Bu kırılganlıkta, iletişim kanallarının uygunsuz bir kısıtlanması Hiper-v kimlik doğrulamalı bir saldırganın uzaktan kod yürütülmesine izin verebilir. Bu, sanal makinelerin uzlaşmasına yol açabileceğinden, sanallaştırılmış ortamlara dayanan kuruluşlar için önemli bir endişe kaynağıdır.

Microsoft’a göre Güvenlik Güncelleme KılavuzuKritik İmtiyaz Yüksekliği (EOP) güvenlik açıkları için yamalar da yayınlanmıştır. Bu güvenlik açıkları, saldırganların bir sistemde daha yüksek erişim seviyeleri kazanmasına izin verir.

Böyle bir örnek, kimlik doğrulamalı bir saldırganın bir ağ üzerinden ayrıcalıkları yükseltmesine ve potansiyel olarak sistem ayrıcalıkları kazanmasına izin verebilecek uygunsuz bir kimlik doğrulama kusuru olan Windows NTLM (CVE-2025-53778). Bu, ağ güvenliği ve etki alanı bütünlüğü için ciddi bir tehdit oluşturur.

Bu güncellemede sabitlenmiş bir başka güvenlik açığı, hassas verilerin sızmasına yol açabilecek kritik bir bilgi açıklama güvenlik açığı içerir. Bu, bir kusurun bir saldırganın hassas bilgileri ifşa etmesine izin verebileceği Azure sanal makinelerini (CVE-2025-53781) içerir.

Benzer şekilde, Azure Stack Hub (CVE-2025-53793), yetkisiz aktörlere hassas verileri sızdırabilen başka bir kritik bilgi açıklama güvenlik açığından etkilenir. Son olarak, kritik bir sahte güvenlik açığı ele alındı.

En şiddetli tehditlere hızlı bir bakış için, aşağıdaki tablo kritik güvenlik açıklarını özetlemektedir:

Önemli düzeltmeler ve güvenlik modelleri

Kritik sorunların yanı sıra Microsoft, 76 “önemli” ciddiyet güvenlik açıklarına değindi. Bunlar kritik kusurlar kadar hemen tehdit edici olmasa da, ayrıcalık artış, hizmet reddi, bilgi açıklaması ve kimlik sahtekarlığı da dahil olmak üzere uzlaşmaya yol açabilirler.

Bu ayki güncellemeler ayrıca tüm ciddiyet seviyelerini kapsayan birkaç ayrıcalık (EOP) ve uzaktan kod yürütme (RCE) güvenlik açıkları da gördü. Toplamda 40 EOP kusuru vardı, 38’i önemli olarak sınıflandırıldı.

RCE güvenlik açıkları 35’tir ve 26’sının önemli olduğu. RCE ve EOP’ye bu sürekli odaklanma, kontrol kazanmak ve ağlara erişimini genişletmek isteyen rakipler için ana saldırı vektörleri olarak önemlerini göstermektedir.

Önemli RCE’lerin bazı örnekleri arasında Microsoft Excel’i (CVE-2025-53741, CVE-2025-53759, CVE-2025-53737, CVE-2025-53739) etkileyenler arasında yığın bazlı tampon taşmaları ve kullanımsız sorunlar var.

Windows yönlendirme ve uzaktan erişim hizmeti (RAS) ayrıca birden fazla yığın tabanlı tampon taşması (örneğin, CVE-2025-49757, CVE-2025-50160, CVE-2025-50163, CVE-2025-50164, CVE-2025-53720) gördü.

Microsoft PowerPoint ayrıca önemli bir RCE’ye (CVE-2025-53761) sahipti. Önemli EOP’ler, SQL enjeksiyon zayıflıklarından kaynaklanan CVE-2025-49758 ve Microsoft SharePoint (CVE-2025-53760) gibi birkaç SQL Server hatası içerir.

Düşük Şiddet

Düşük şiddet sorunları da dikkat çekti. İki ılımlı güvenlik açıkları da dahil olmak üzere yamalı CVE-2025-53779 EOP için göreceli yol geçişini içeren Windows Kerberos’ta.

Ek olarak, Android (CVE-2025-49755) için Microsoft Edge’de düşük bir şiddetli sahte kusur sabitlendi. Daha az acil olsa da, bunlar hala genel güvenliğe katkıda bulunur ve daha fazla saldırı için diğer güvenlik açıklarından yararlanabileceği için göz ardı edilmemelidir.

Bu ayın yamalarından ortaya çıkan dikkate değer bir desen Boş kullanışsız hatalaryığın taşmaları ve uygunsuz giriş validasyonu. Bu sorunlar, özellikle Win32k ve yardımcı fonksiyon sürücüleri gibi eski bileşenlerde sıklıkla ortaya çıkar.

Bu, genellikle modern güvenli kodlama uygulamalarından önce gelen Windows içindeki eski, temel kod tabanlarının güvenliğini yönetmede sürekli zorlukları göstermektedir. Bu derin oturmuş bileşenlerde bu bellek yolsuzluğunun sürekli varlığı Microsoft için sistemik bir zorluk olduğunu göstermektedir.

Sıfır gün saati

Microsoft’un Ağustos 2025 Yaması Salı^. Kuruluşların, bu güvenlik açığının kamuoyu tarafından bilinmesine rağmen, Microsoft’un bu sıfır gün de dahil olmak üzere yamalı güvenlik açıklarının hiçbirinin şu anda 12 Ağustos 2025 itibariyle vahşi doğada aktif olarak sömürüldüğünü bildiren ayrımı anlamalıdır.

“Kamuoyu açıklanan” ve “aktif olarak sömürülen” arasındaki ayrım, acil riski anlamak için önemlidir. “Halka açık olarak ifşa edildi”, güvenlik açığının ayrıntılarının kamu malı olarak mevcut olduğu ve potansiyel olarak tehdit aktörlerine kendi istismarlarını geliştirmek için bir plan verdiği anlamına gelir.

Öte yandan, “aktif olarak sömürülen”, saldırganların zaten gerçek dünya saldırılarında kırılganlığı kullandıkları anlamına geliyor. Mevcut “aktif olarak sömürülmemiş” durumu, kuruluşların yamaları uygulaması için geçici olsa da kritik bir pencere sağlar.

Microsoft’un ürünleri arasındaki güncellemeler

Ağustos 2025 Patch Salı güncellemeleri birkaç Microsoft ürün ve hizmetini kapsıyor. Bu, temel Windows bileşenleri, popüler Microsoft Office uygulamaları, Azure Cloud Services, Exchange Server, SQL Server, Windows Hyper-V ve hatta Microsoft Edge’i (Chromium tabanlı) içerir.

Özellikle, Microsoft Edge’de (krom tabanlı) 10 güvenlik açığı ele alınmıştır. Bunlar, döküm ve uzantılar (CVE-2025-8578, CVE-2025-8576) gibi bileşenlerde birden fazla “Ücretsiz Kullanım” sorunları ve resim ve dosya sistemlerinde (CVE-2025-8577, CVE-2025-8579, CVE-2025-8580) kusurları içerir.

Kategoriye ve Şiddete Göre Güvenlik Açığı Arızası (Ağustos 2025)

Powershell 2.0 kaldırma

Windows PowerShell 2.0, Ağustos 2025 güvenlik dışı güncellemeden başlayarak Windows 11, sürüm 24H2’den kaldırılıyor. Ayrıca Eylül 2025 güvenlik güncellemesi ile Windows Server 2025’ten de kaldırılacaktır.

“Black şapka her zaman baharatlı olduktan sonra Salı günü yama ve bu yamaların (diğerleri gibi) bir amaç duygusu ile hareket etmesi gerekiyor ve Yuval Gordon’un Kerberos kırılganlığı, bunun Eylül 2025’in sonunda sektörde ayrıntılı olarak sunulacağı anlaşılıyor” dedi.

“Kerberos’un bulması gibi güvenlik açıkları, sadece farklı perspektiflerin önemini ve özellik tasarımında ve serbest bırakılmasında testlerin önemini gösteriyor – küresel güvenlik topluluğunun gücü, yeni özelliklerin, özellikle güvenlik özelliklerinin hem etkili hem de esnek olduğunu doğrulamaya yardımcı olabilir” diye ekledi.

Windows çalıştırırsanız, muhtemelen bugün veya yarın Windows güncellemesindeki güncellemeleri görürsünüz ve genellikle saldırganlar tarafından aktif olarak hedeflenen güvenlik kusurlarını ele aldığından bunları derhal yüklemek genellikle iyi bir fikirdir.