Microsoft Bugün, en az 67 güvenlik açığını düzeltmek için güvenlik güncellemeleri yayınladı. Pencere işletim sistemleri ve yazılım. Redmond, kusurlardan birinin zaten aktif saldırı altında olduğu konusunda uyarıyor ve bu ay yamalı yaygın bir Windows hatalarının nasıl kullanılacağını gösteren yazılım planlarının artık halka açık olduğu konusunda uyarıyor.
Bu ay tek sıfır gün kusuru CVE-2025-33053’tür, Windows uygulamasında bir uzaktan kod yürütme kusuru Webdav – Kullanıcıların bir sunucudaki dosyaları ve dizinleri uzaktan yönetmesini sağlayan bir HTTP uzantısı. Webdav, Windows’ta varsayılan olarak etkinleştirilmese de, miras veya özel sistemlerdeki varlığı hala alakalı bir hedef haline getiriyor, dedi Seth HoytKıdemli Güvenlik Mühendisi Otomox.
Adam Barnettyazılım mühendisi Rapid7dedi Microsoft’un CVE-2025-33053 danışmanlığı, WebDAV’ın Windows uygulamasının Kasım 2023’ten bu yana kullanımdan kaldırıldığından bahsetmiyor, bu da pratik açıdan WebClient hizmetinin artık varsayılan olarak başlamadığı anlamına geliyor.
Barnett, “Danışman ayrıca düşük olarak saldırı karmaşıklığına sahiptir, bu da sömürünün hedef ortamın saldırganın kontrolünün ötesinde herhangi bir şekilde hazırlanmasını gerektirmediği anlamına gelir” dedi. “Sökülme, kullanıcının kötü niyetli bir bağlantıyı tıklamasına dayanır. Hizmet çalışmıyorsa bir varlığın hemen nasıl savunmasız olacağı açık değildir, ancak Windows’un tüm sürümleri, Server 2025 ve Windows 11 24H2 gibi webClient’in kullanımdan kaldırılmasından bu yana yayınlananlar da dahil olmak üzere bir yama alır.”
Microsoft, “ayrıcalık yüksekliği” kırılganlığının Windows Server mesaj bloğu (SMB) istemcisi (CVE-2025-33073), bu hatanın kavram kanıtı kodunun artık herkese açık olduğu göz önüne alındığında, kullanılması muhtemeldir. CVE-2025-33073, CVSS risk puanı 8.8’dir (10 üzerinden) ve kusurun sömürülmesi, saldırganın savunmasız bir PC üzerinde “sistem” düzey kontrolü kazanmasına yol açar.
“Bunu özellikle tehlikeli kılan şey, ilk bağlantıdan sonra başka kullanıcı etkileşimi gerekmemesidir – bir şey saldırganların kullanıcı fark etmeden genellikle tetiklenebileceği” dedi Alex Vovkkurucu ortağı ve CEO’su Eylem1. “Yüksek ayrıcalık seviyesi ve sömürü kolaylığı göz önüne alındığında, bu kusur Windows ortamları için önemli bir risk oluşturmaktadır. SMB, dosya ve yazıcı paylaşımı ve işlemler arası iletişim için kullanılan temel bir Windows protokolü olduğundan etkilenen sistemlerin kapsamı kapsamlıdır.”
Bu öne çıkan özelliklerin ötesinde, bu ay düzeltilen 10 güvenlik açıkları, sekiz uzaktan kod yürütme kusuru da dahil olmak üzere Microsoft tarafından “kritik” olarak değerlendirildi.
Özellikle bu ayın yama parti, yeni keşfedilen bir zayıflık için bir düzeltmedir. Windows Server 2025 Bu, saldırganların Active Directory’deki herhangi bir kullanıcının ayrıcalıklarıyla hareket etmesini sağlar. Hata, dublajBanyo başarısı”Araştırmacılar tarafından herkese açık olarak açıklandı Akamai 21 Mayıs’ta ve birkaç kamu kavram kanıtı artık mevcut. Tenable’dan Satnam Narang, en az bir Windows Server 2025 Etki Alan Denetleyicisi olan kuruluşların prensipler için izinleri incelemesi ve bu izinleri mümkün olduğunca sınırlandırması gerektiğini söyledi.
Adobe için güncellemeler yayınladı Akrobat okuyucu ve en az 259 güvenlik açığını ele alan diğer altı ürün, bunların çoğu için bir güncelleme Deneyim Yöneticisi. Mozilla Firefox Ve Google Chrome Her ikisi de son zamanlarda, tarayıcının yeniden başlatılmasını gerektiren güvenlik güncellemeleri yayınladı. En son Chrome güncellemesi, tarayıcıdaki iki sıfır gün istismarını düzeltir (CVE-2025-5419 ve CVE-2025-4664).
Bugün Microsoft tarafından yayınlanan bireysel güvenlik güncellemeleri hakkında ayrıntılı bir döküm için, Sans internet fırtına merkezi. Action 1, Microsoft’tan yamaların dökülmesine ve bu ay düzeltmeleri yayınlayan diğer yazılım satıcılarının bir parçasına sahiptir. Her zaman olduğu gibi, yama yapmadan önce sisteminizi ve/veya verilerinizi yedekleyin ve bu güncellemeleri uygulayan herhangi bir sorunla karşılaşırsanız yorumlarda bir not bırakmaktan çekinmeyin.