Microsoft, Microsoft Office’te saldırganların etkilenen sistemlerde uzaktan kod yürütmesine izin verebilecek üç ciddi güvenlik açıkını ele alan kritik güvenlik güncellemeleri yayınladı.
CVE-2025-53731, CVE-2025-53740 ve CVE-2025-53730 olarak izlenen güvenlik açıkları, Microsoft Office’in birden fazla sürümünü etkiler ve dünya çapında kuruluşlar ve bireysel kullanıcılar için önemli güvenlik riskleri oluşturmaktadır.
Key Takeaways
1. Critical Office flaws enable code execution via document preview
2. All Office versions 2016-2024 affected, millions at risk
3. Patches released August 12 – install immediately
Bedava Kullanım Kusurları
Yeni açıklanan güvenlik açıkları, ortak zayıflık numaralandırma veritabanında CWE-416 kapsamında sınıflandırılan içermeyen bellek bozulma sorunlarından kaynaklanmaktadır.
Hem CVE-2025-53731 hem de CVE-2025-53740, Microsoft Office Visio’yu etkileyen CVE-2025-53730 ile CVSS taban skorları ile kritik şiddet derecelendirmeleri aldı.
Bu güvenlik açıkları, yetkisiz saldırganların hedef sistemlerde yerel olarak keyfi kod yürütmek için bellek yönetimi kusurlarından yararlanabileceği standart bir saldırı modelini paylaşır.
Teknik spesifikasyonlar, CVSS’nin CVSS vektör dizesi içeren kritik güvenlik açıkları ile saldırı vektörleri ile ilgili olarak ortaya çıkmaktadır: 3.1/AV: L/AC: L/PR: N/UI: N/S: U/C: H/I: H/A: H/E: U/RL: O/RC: C.
Bu, düşük saldırı karmaşıklığını, ayrıcalıklara gerek olmadığını ve sömürü için kullanıcı etkileşimi gerekmediğini gösterir.
Özellikle endişe verici olanı, önizleme bölmesinin CVE-2025-53731 ve CVE-2025-53740 için bir saldırı vektörü olarak hizmet etmesidir, yani kullanıcıların kötü niyetli ofis belgelerini önizleyerek tehlikeye atılabilir.
Güvenlik açıkları, Microsoft Office 2016, Office 2019, Office LTSC 2021, Office LTSC 2024 ve Microsoft 365 uygulamaları dahil olmak üzere, hem 32 bit hem de 64 bit mimariler arasında Microsoft Office 2016, Office 2019, Office LTSC 2021, Office LTSC 2024 ve Microsoft 365 uygulamaları dahil olmak üzere kapsamlı bir yelpazeyi etkiler.
Mac kullanıcıları da risk altında, Mac 2021 ve 2024 sürümleri için anında güncellemeler gerektiren Microsoft Office LTSC ile. Yaygın etki, küresel olarak kurumsal ve tüketici ortamlarında milyonlarca kullanıcıyı kapsamaktadır.
Güvenlik Araştırmacıları 0x140ce[LLMole]Li Shuang ve Willj Güvenlik Açığı Araştırma Enstitüsü ile ve Zscaler’ın tehditlerinden araştırmacılar, koordineli ifşa süreçleri yoluyla bu güvenlik açıklarını keşfettikleri için kredilendirildi.
Microsoft’un Güvenlik Müdahale Merkezi (MSRC), bu güvenlik açıklarının hiçbirinin vahşi doğada kamuya açıklanmadığını veya sömürülmediğini, “sömürü olasılığı olmayan” dan “daha az sömürü” ile değişen sömürülebilirlik değerlendirmeleri ile doğruladı.
| CVE | Başlık | CVSS 3.1 puanı | Şiddet |
| CVE-2025-53731 | Microsoft Office Uzaktan Kod Yürütme Güvenlik Açığı | 8.4 | Eleştirel |
| CVE-2025-53740 | Microsoft Office Uzaktan Kod Yürütme Güvenlik Açığı | 8.4 | Eleştirel |
| CVE-2025-53730 | Microsoft Office Visio Uzaktan Kod Yürütme Güvenlik Açığı | 7.8 | Önemli |
Hafifletme
Microsoft, etkilenen tüm ofis sürümleri için kapsamlı güvenlik güncellemeleri yayınladı ve KB5002756 güncellemesi Office 2016 sürümlerindeki güvenlik açıklarını ele aldı.
Daha yeni ofis sürümleri için güncellemeler, Microsoft’un resmi güvenlik sürüm kanalları aracılığıyla ayrıntılı bilgilerle birlikte tıklamadan koşu mekanizmalarıyla teslim edilir.
Güvenlik açıklarının kritik doğası ve önizleme bölmesinin kullanılma potansiyeli göz önüne alındığında, kuruluşlar bu güncellemelerin derhal konuşlandırılmasına öncelik vermelidir.
Güvenlik ekipleri, geleneksel yama yönetiminin ötesine uzanan kapsamlı güvenlik açığı yönetimi programları oluşturmalı, tehdit istihbarat beslemeleri ve uzlaşma göstergeleri (IOCS) için proaktif izleme içermelidir.
Boost your SOC and help your team protect your business with free top-notch threat intelligence: Request TI Lookup Premium Trial.