Microsoft Bugün, aktif olarak sömürülen iki sıfır günlük kusur da dahil olmak üzere Windows işletim sistemlerinde ve desteklenen yazılımlarında en az 56 güvenlik açığını düzeltmek için güvenlik güncellemeleri yayınladı.
Desteklenen tüm Windows işletim sistemleri, CVE-2025-21418 akılda kalıcı adını taşıyan bir tampon taşma güvenlik açığı için bu ay bir güncelleme alacaktır. Microsoft’un kullanıldığını söylediği gibi, bu yama işletmeler için bir öncelik olmalı, düşük saldırı karmaşıklığı ve kullanıcı etkileşimi için gereksinim yok.
Zorunlu Kıdemli Personel Araştırma Mühendisi Satnam Narang 2022’den bu yana, aynı Windows bileşeninde-her yıl üç-2024’te bir tane dahil olmak üzere, vahşi doğada sıfır gün olarak sömürülen dokuz ayrıcalık güvenlik açıkına sahip olduğunu belirtti (CVE-2024-38193).
Narang, “CVE-2024-38193, Lazarus Grubu olarak bilinen Kuzey Kore APT grubu tarafından Fudmodule rootkit’in yeni bir versiyonunu, uzlaşmış sistemlerde kalıcılığı ve gizliliği korumak için kullandı” dedi. “Şu anda, CVE-2025-21418’in Lazarus Grubu tarafından da kullanılmadığı belirsiz.”
Diğer sıfır gün CVE-2025-21391, Windows depolama alanında, hedeflenen bir sistemdeki dosyaları silmek için kullanılabilecek ayrıcalık güvenlik açığının bir yükselmesidir. Microsoft’un bu hataya ilişkin danışmanlığı, “CWE-59: dosya erişiminden önce uygunsuz bağlantı çözünürlüğü” adlı bir şeye atıfta bulunur, hiçbir kullanıcı etkileşimi gerekli olmadığını ve saldırı karmaşıklığının düşük olduğunu söylüyor.
Adam Barnettyazılım mühendisi Rapid7danışmanlık yetersiz ayrıntı sağlasa ve hatta ‘bir saldırganın sadece bir sistemde hedeflenen dosyaları silebileceği’ belirsiz bir güvence sunmasına rağmen, keyfi dosyaları silmenin etkisinin sınırlı olacağını varsaymak bir hata olacaktır. veri kaybı veya hizmet reddi.
Barnett, “2022 yılına kadar ZDI araştırmacıları, motive olmuş bir saldırganın sembolik bağlantıların yaratıcı kötüye kullanılmasını da içeren teknikleri kullanarak keyfi dosya silinmesini tam sistem erişimine nasıl parlatabileceğini belirledi” diye yazdı.
Bugün daha önce açıklanan bir güvenlik açığı, bir saldırganın savunmasız bir Windows sisteminde ayrıcalıklarını yükseltmesine izin verebilecek başka bir zayıflık olan CVE-2025-21377’dir. Özellikle, bu, NTLMV2 karmalarını çalmak için kullanılabilecek başka bir Windows kusurudur – esasen bir saldırganın giriş yapmak zorunda kalmadan hedeflenen kullanıcı olarak kimlik doğrulamasına izin verir.
Microsoft’a göre, CVE-2025-21377’den yararlanmak için, “dosyayı açmak veya yürütmekten başka bir eylemin seçilmesi veya gerçekleştirilmesi” dahil olmak üzere kötü amaçlı bir dosya ile minimal kullanıcı etkileşimi gerekir.
Barnett, “Bu ticari marka dilbilim ve dokuma, Microsoft’un ‘Size daha fazla söylersek, oyunu vereceğiz’ demenin yolu olabilir” dedi. “Buna göre, Microsoft sömürüyü daha olası olarak değerlendiriyor.”
SANS Internet Storm Center, bugün piyasaya sürülen ve Ridity ile endekslenen tüm Microsoft yamalarının kullanışlı bir listesine sahiptir. Windows Enterprise yöneticileri, genellikle sorunlara neden olan herhangi bir yamada kepçeye sahip olan Askwoody.com’a göz kulak olmak için iyi olur.
Microsoft’un amiral gemisi Copilot Yapay Zeka (AI) özelliğiyle de paketlenmeyen Windows yazılımı satın almak zorlaşıyor. Geçen ay Microsoft, Copilot’u paketlemeye başladı Microsoft Office 365Redmond’un o zamandan beri yeniden markalaştığı “Microsoft 365 Copilot. ” Görünüşe göre, önemli AI yatırımlarının maliyetlerini dengelemek için Microsoft, yaklaşan lisans yenilemeleri ve yeni aboneler için fiyatları yüzde 22’den yüzde 30’a çıkardı.
Office-watch.com, yıllık bulut lisansı ödeyen mevcut Office 365 kullanıcılarının “Microsoft 365 Classic” seçeneğine sahip olduğunu yazıyor, ancak daha düşük bir fiyata AI içermeyen bir abonelik, ancak birçok müşteriye seçeneği sunulmadı. Mevcut ofis aboneliklerini iptal etmeye çalışın.
Diğer Güvenlik Yaması haberlerinde, Elma saldırılarda ortaya çıkan sıfır günlük bir güvenlik açığını (CVE-2025-24200) düzelten iOS 18.3.1’i gönderdi.
Adobe toplam 45 güvenlik açığını çözen güvenlik güncellemeleri yayınladı İnatçı– Ticaret– Madde 3D Stanger– Enfekte etmek– İllüstratör– Madde 3D Tasarımcısı Ve Photoshop öğeleri.
Chris Goettl -den İri Notlar Google Chrome bugün krom tabanlı tarayıcılar için güncellemeleri tetikleyecek bir güncelleme gönderiyor mu? Microsoft Edgebu yüzden hafta boyunca devam ederken Chrome ve Edge güncellemelerini arayın.