2025’te ilk kez, Microsoft’un Salı günkü güncellemeleri, istismar edilen güvenlik açıkları için düzeltmeler yapmadı, ancak şirket, adreslenen kusurlardan birinin kamuya açık olduğunu kabul etti.
Yamalar, Visual Studio, AMD ve krom tabanlı kenar tarayıcısını etkileyen diğer 10 Microsoft olmayan CVE ile birlikte 130 güvenlik açığını çözüyor. Bunlardan 10’u kritik olarak derecelendirilmiştir ve geri kalanların hepsi şiddet açısından önemlidir.
Tenable kıdemli personel araştırma mühendisi Satnam Narang, “11 aylık en az bir sıfır gün boyunca vahşi bir sıfır gün boyunca yamanın bu ay sona erdi.” Dedi.
Bu eksikliklerin elli üçü, ayrıcalık yükseltme hataları olarak sınıflandırılır ve ardından 42 uzaktan kod yürütme, 17 bilgi açıklaması olarak ve 8 ve güvenlik özelliği olarak 8’dir. Bu yamalar, geçen ayki Patch Salı güncellemesinin piyasaya sürülmesinden bu yana Edge tarayıcısındaki şirket tarafından ele alınan diğer iki kusura ek olarak.
Kamu olarak bilinen olarak listelenen güvenlik açığı, yetkisiz bir saldırganın sınırsız belleğe sızmasına izin verebilecek Microsoft SQL Server’da (CVE-2025-49719, CVSS puanı: 7.5) bir bilgi açıklama kusurudur.
Rapid7’nin baş yazılım mühendisi Adam Barnett, “Bir saldırgan herhangi bir değerden hiçbir şey öğrenemez, ancak şans, kalıcılık veya istismarın çok kurnaz masajı ile ödül, SQL Server’dan kriptografik anahtar malzeme veya diğer taç mücevherler olabilir.” Dedi.
Action1’in başkanı ve kurucu ortağı Mike Walters, kusurun muhtemelen SQL Server’ın bellek yönetiminde uygunsuz giriş validasyonunun sonucu olduğunu ve sınırsız belleğe erişime izin verdiğini söyledi.
Walters, “Sonuç olarak, saldırganlar kimlik bilgileri veya bağlantı dizeleri gibi hassas verilerin kalıntılarını alabilirler.” “Hem SQL Server motorunu hem de OLE DB sürücülerini kullanarak uygulamaları etkiler.”
Bu ayın güncellemelerinin bir parçası olarak Microsoft tarafından düzenlenen en kritik kusur, SPNEGO Uzatılmış Müzakereyi (NEGOEX) etkileyen uzaktan kod yürütme vakası ile ilgilidir. CVE-2025-47981 olarak izlenen, 10.0 üzerinden 9.8 CVSS skoru taşır.
Microsoft bir danışmanlıkta, “Windows SPNEGE Genişletilmiş Müzakere’deki Yığın Tabanlı Tampon Taşması, yetkisiz bir saldırganın bir ağ üzerinden kod yürütmesine izin veriyor.” Dedi. “Bir saldırgan, sunucuya kötü amaçlı bir mesaj göndererek bu güvenlik açığını kullanabilir ve potansiyel olarak uzaktan kod yürütülmesine yol açabilir.”
Anonim bir araştırmacı ve Yuki Chen, kusuru keşfetme ve onarma konusunda kredilendirildi. Microsoft, sorunun yalnızca Windows 10, sürüm 1607 ve üstü çalıştıran Windows istemci makinelerini etkilediğini belirtti.GPO) Varsayılan olarak etkinleştirilmesi.
WatchTowr kurucusu ve Ceo Benjamin Harris, “Her zaman olduğu gibi, uzaktan kod yürütülmesi kötüdür, ancak erken analiz, bu güvenlik açığının ‘solunabilir’ olabileceğini düşündürmektedir – kendi kendini tanıtan kötü amaçlı yazılımlarda kaldırılabilecek ve Wannacry olayından birçok yeniden ziyaret travması yapabilen kırılganlık.” Dedi.
“Microsoft burada ön koşullarda açıktır: kimlik doğrulaması gerekmez, sadece ağ erişimi ve Microsoft’un sömürünün ‘daha olası’ olduğuna inanmaktadır. Kendimizi kandırmamalıyız – eğer özel endüstri bu kırılganlığı fark etmişse, kesinlikle bir ons kötülükle her saldırganın radarında.
Önemli olan diğer güvenlik açıkları arasında Windows KDC Proxy Hizmetini Etkileyen Uzak Kod Yürütme Kusurları (CVE-2025-49735, CVSS Puanı: 8.1), Windows Hyper-V (CVE-2025-48822, CVSS Puan: 8.6) ve Microsoft Office (CVE-2025-4965, CVE-2015- CVE-2025-49697, CVSS skorları: 8.4).
Ben McCarthy, dallı siber güvenlik mühendisi, özellikle APT’ler ve ulus-devlet aktörleri için cazip olan, yüksek saldırı karmaşıklığına rağmen, yüksek saldırı karmaşıklığına rağmen, yüksek saldırı karmaşıklığına rağmen, yüksek saldırı karmaşıklığına rağmen, güvenlik açığı, yüksek saldırı karmaşıklığına rağmen, ağa maruz kalmasıdır.
“Saldırgan bir yarış koşulu kazanmalıdır – belleğin belirli bir pencerede serbest bırakıldığı ve yeniden tahsis edildiği bir zamanlama kusuru – yani güvenilirlik şimdilik düşüktür. Yine de, bu tür sorunlar yığın tımar gibi tekniklerle silahlandırılabilir, nihai sömürü mümkün kılar.”
Başka yerlerde, güncelleme Bitlocker’da (CVE-2025-48001, CVE-2025-48003, CVE-2025-48003, CVE-2025-48804 ve CVE-2025-48818, CVSS scores: 6.8) ‘de, cihazlardan bir saldırıya izin verebilecek beş güvenlik özelliği bypass’ı kapatıyor.
Microsoft, CVE-2025-48804 hakkında “Bir saldırgan, bir WinRe.WIM dosyası yükleyerek bu güvenlik açığını kullanabilir. İşletim sistemi hacmi kilidi açılırken Bitlocker şifreli verilere erişim sağlayarak.” Dedi.
Araştırmacılar Netanel Ben Simon ve Microsoft Saldırgan Araştırma ve Güvenlik Mühendisliği (Morse) ile Alon Leviev, yerleşik disk şifreleme aracındaki beş sorunu bildirdikleri için kabul edildi.
Bağışlı Siber Güvenlik Mühendisi Jacob Ashdown, “İstismar edilirse, bu kusurlar hassas dosyaları ortaya çıkarabilir, kimlik bilgileri açabilir veya sistem bütünlüğüne müdahale edebilir.” Dedi. Diyerek şöyle devam etti: “Bu, özellikle cihazların kaybolabileceği veya çalınabileceği kuruluşlar için belirli bir risk oluşturmaktadır, çünkü uygulamalı erişime sahip saldırganlar potansiyel olarak şifrelemeyi atlayabilir ve hassas verileri çıkarabilir.”
Ayrıca, 8 Temmuz 2025’in resmi olarak SQL Server 2012 için yolun sonunu işaretlediğini belirtmek gerekir, bu da artık genişletilmiş güvenlik güncellemesi (ESU) programı listesinde gelecekteki güvenlik yamaları almayacaktır.
Diğer satıcılardan yazılım yamaları
Microsoft’a ek olarak, son birkaç hafta içinde diğer satıcılar tarafından güvenlik açıklamaları, – dahil olmak üzere çeşitli güvenlik açıklarını düzeltmek için de yayınlandı.
- Adobe
- AMD
- Atlassian
- Bitdefender
- Broadcom (VMware dahil)
- Cisco
- Citrix
- Drip
- Dell
- Drupal
- F5
- Fortinet
- Fortra
- Gigabayt
- Gitlab
- Google Chrome
- Google Cloud
- Kazıma
- Hikvision
- Hitachi Enerji
- HP
- HP Enterprise (Aruba Networking dahil)
- IBM
- İntel
- İri
- Jenkins
- Ardıç Ağları
- Lenovo
- Linux Dağıtımları Almalinux, Alpine Linux, Amazon Linux, Arch Linux, Debian, Gentoo, Oracle Linux, Mageia, Red Hat, Rocky Linux, Suse ve Ubuntu
- MediaTek
- Mitsubishi Electric
- Mongodb
- Mox
- Mozilla Thunderbird
- Nvidia
- Oppo
- Palo Alto Networks
- İlerleme Yazılımı
- Qualcomm
- Ricoh
- Ruckus kablosuz
- SAMSUNG
- Çukur
- Schneider Electric
- ServiceNow
- Siemens
- Yaygara
- Süper
- Veeam
- WordPress
- Zimbra ve
- Zum