Ekim 2025'te ortaya ç\u0131kan CVE-2025-59287, Microsoft’un Windows Server Update Service (WSUS) bile\u015feninde “untrusted data deserialization” (güvenilmeyen verinin deserialize edilmesi) hatas\u0131ndan kaynaklanan kritik bir uzak kod çal\u0131\u015ft\u0131rma (RCE) zafiyetidir. Ba\u015far\u0131l\u0131 bir sömürü durumunda, kimlik do\u011frulamas\u0131 olmayan bir sald\u0131rgan a\u011f üzerinden hedef WSUS sunucusunda rastgele kod çal\u0131\u015ft\u0131rarak SYSTEM düzeyinde yetki elde edebilir; bu da kurulu\u015flar\u0131n güncelleme altyap\u0131s\u0131n\u0131n bütünüyle ele geçirilmesi riskini ta\u015f\u0131r. (nvd.nist.gov<\/a>)<\/p>\r\n Zafiyet türü:<\/strong> Unsafe deserialization (CWE-502). WSUS içinde d\u0131\u015far\u0131dan gelen (yetkilendirilmemi\u015f) veri güvenli \u015fekilde do\u011frulanmadan deserialize ediliyor; bu durum kötü amaçl\u0131 nesnelerin enjekte edilmesine ve kod çal\u0131\u015ft\u0131r\u0131lmas\u0131na neden oluyor. (nvd.nist.gov<\/a>)<\/p>\r\n<\/li>\r\n Eri\u015fim gereksinimi:<\/strong> A\u011f üzerinden, kimli\u011fi do\u011frulanmam\u0131\u015f (unauthenticated) bir sald\u0131rgan taraf\u0131ndan tetiklenebilir; yani sald\u0131rgan do\u011frudan internetten veya iç a\u011fdan hedefe eri\u015febiliyorsa tehlike büyür. (wiz.io<\/a>)<\/p>\r\n<\/li>\r\n CVSS (kamu kaynaklar\u0131n\u0131n raporlar\u0131na göre):<\/strong> 9.8 (kritik) — Remote Code Execution, a\u011f tabanl\u0131, kullan\u0131c\u0131 etkile\u015fimi gerektirmeyen bir zafiyet. (wiz.io<\/a>)<\/p>\r\n<\/li>\r\n<\/ul>\r\n On-premise WSUS kurulu olan Windows Server makineleri ve WSUS rolünü bar\u0131nd\u0131ran sunucular etkilidir. Kurum içi güncelleme yönetimini WSUS ile yapan kurulu\u015flar en yüksek risk grubundad\u0131r. Bulut tabanl\u0131 Microsoft Update hizmetleri do\u011frudan etkilenmeyebilir; ancak kurum içi WSUS da\u011f\u0131t\u0131mlar\u0131 kritik risk ta\u015f\u0131r. (nsfocusglobal.com<\/a>)<\/p>\r\n<\/li>\r\n<\/ul>\r\n Microsoft ve güvenlik toplulu\u011fu zafiyeti “kritik” olarak s\u0131n\u0131fland\u0131rd\u0131 ve yay\u0131n sonras\u0131 proof-of-concept (PoC)<\/strong> kodlar\u0131 kamuya s\u0131zd\u0131 \/ payla\u015f\u0131ld\u0131. PoC varl\u0131\u011f\u0131, sald\u0131r\u0131lar\u0131n h\u0131zla artma ihtimalini yükseltir; bu nedenle yama uygulanana kadar sistemler gözlemlenmeli ve eri\u015fim k\u0131s\u0131tlamalar\u0131 göz önüne al\u0131nmal\u0131d\u0131r. (BleepingComputer<\/a>)<\/p>\r\n<\/li>\r\n<\/ul>\r\n Microsoft, ilgili zafiyete kar\u015f\u0131 acil güvenlik güncellemeleri yay\u0131mlad\u0131 ve WSUS için out-of-band (ola\u011fanüstü) güncellemeler\/SSU paketleri da\u011f\u0131t\u0131ld\u0131. Baz\u0131 güncellemelerde (KB notlar\u0131nda) WSUS’un hata raporlama\/senkronizasyon detaylar\u0131n\u0131n geçici olarak kald\u0131r\u0131ld\u0131\u011f\u0131\/etkilendi\u011fi bildiriliyor — yani güncelleme yüklemesi sonras\u0131 WSUS yönetim arayüzünün baz\u0131 hata detaylar\u0131n\u0131 göstermemesi gibi bilinen bir durum raporlanm\u0131\u015f. Bu nedenle güncelleme sürecinde üretim ortam\u0131 davran\u0131\u015flar\u0131n\u0131 izlemek önemlidir. (Microsoft Destek<\/a>)<\/p>\r\n<\/li>\r\n<\/ul>\r\n Hemen yama uygulay\u0131n:<\/strong> WSUS rolü bar\u0131nd\u0131ran tüm sunucular için Microsoft’un yay\u0131mlad\u0131\u011f\u0131 patchleri (out-of-band güncellemeler dahil) kurun. Önce ilgili Servicing Stack Update (SSU) gereksinimlerini kontrol edin; Microsoft baz\u0131 güncellemeler için en güncel SSU’yu \u015fart ko\u015fuyor. (Microsoft Destek<\/a>)<\/p>\r\n<\/li>\r\n A\u011f eri\u015fimini k\u0131s\u0131tlay\u0131n:<\/strong> E\u011fer mümkünse WSUS yönetim arayüzüne d\u0131\u015far\u0131dan eri\u015fimi (internet) kesin veya sadece güvenilir yönetim a\u011flar\u0131ndan eri\u015fime izin verin. Web uygulamas\u0131 firewall (WAF) politikalar\u0131 arac\u0131l\u0131\u011f\u0131yla anormal istekleri engelleyin. (wiz.io<\/a>)<\/p>\r\n<\/li>\r\n \u0130zleme & tespit:<\/strong> WSUS sunucular\u0131na yönelik ola\u011fand\u0131\u015f\u0131 HTTP istekleri, özellikle GetCookie gibi kimlik\/çerezle ilgili endpointlere gelen \u015füpheli büyük veya \u015fifreli yükleri takip edin. E\u015f zamanl\u0131 olarak endpoint bazl\u0131 EDR\/antivirus çözümlerinde anormal kod yürütme davran\u0131\u015flar\u0131n\u0131 (new services, suspicious child processes of w3wp\/WSUS process) izleyin. (hawktrace.com<\/a>)<\/p>\r\n<\/li>\r\n PoC ve IOC takibi:<\/strong> Güvenlik haber kaynaklar\u0131 ve Microsoft MSRC duyurular\u0131n\u0131 takip edin; PoC kodu yay\u0131mland\u0131\u011f\u0131 için istihbarat beslemelerinden (threat intel) gelen IOCs (IPler, dosya hashleri, komut\/contoller adresleri) ile e\u015fle\u015fme yap\u0131lmal\u0131. (BleepingComputer<\/a>)<\/p>\r\n<\/li>\r\n Yedek ve inceleme:<\/strong> Yamay\u0131 uygulamadan önce mümkünse yönetime uygun yedek al\u0131n ve yamadan sonra beklenmeyen davran\u0131\u015f için sistemleri inceleyin. E\u011fer bir ihlal \u015füphesi varsa sistem görüntüleri (memory\/disk) al\u0131n ve adli analiz ba\u015flat\u0131n. (wiz.io<\/a>)<\/p>\r\n<\/li>\r\n<\/ol>\r\n Web sunucusu eri\u015fim loglar\u0131nda (WSUS IIS site): k\u0131sa süre içinde ayn\u0131 IP’den gelen anormal uzun POST gövdeleri veya \u015füpheli base64\/hex içerikli istekleri inceleyin.<\/p>\r\n<\/li>\r\n EDR\/antivirus: WSUS prosesinin (ör. w3wp.exe veya ilgili servis süreçleri) beklenmedik child process yarat\u0131p yaratmad\u0131\u011f\u0131n\u0131 aray\u0131n (powershell, cmd.exe, rundll32 vb.). Güvenli kod\/infrastrüktür uygulamalar\u0131:<\/strong> Deserialization yap\u0131l\u0131rken tip do\u011frulamas\u0131, safelist\/denylist, dijital imza ve \u015fifreleme katmanlar\u0131 kullanmak; BinaryFormatter gibi tehlikeli serializer’lardan kaç\u0131nmak. (Bu WSUS iç kodu için Microsoft taraf\u0131ndan düzeltilecek; kurum içi çal\u0131\u015fan benzer bile\u015fenler için ayn\u0131 güvenlik pratikleri uygulanmal\u0131.) (cvedetails.com<\/a>)<\/p>\r\n<\/li>\r\n Segmentasyon:<\/strong> Güncelleme altyap\u0131s\u0131n\u0131 (WSUS) ayr\u0131, s\u0131k\u0131 eri\u015fimli a\u011f segmentlerinde tutun. Yönetim trafi\u011fini izole edin.<\/p>\r\n<\/li>\r\n Sürekli yamalama politikas\u0131:<\/strong> Acil yamalar\u0131n yan\u0131nda düzenli test edilmi\u015f yamalama süreçleri ile risk azalt\u0131m\u0131 sa\u011flanmal\u0131.<\/p>\r\n<\/li>\r\n<\/ul>\r\n Microsoft Security Update Guide — CVE-2025-59287 (MSRC). (msrc.microsoft.com<\/a>)<\/p>\r\n<\/li>\r\n NVD — CVE-2025-59287 (NIST). (nvd.nist.gov<\/a>)<\/p>\r\n<\/li>\r\n BleepingComputer — haber \/ PoC raporu. (BleepingComputer<\/a>)<\/p>\r\n<\/li>\r\n Wiz \/ Tenable analizleri (teknik özet, CVSS). (wiz.io<\/a>)<\/p>\r\n<\/li>\r\n Microsoft destek makaleleri \/ KB notlar\u0131 (Ekim 23, 2025 out-of-band güncellemeleri ve bilinen sorun aç\u0131klamalar\u0131). (Microsoft Destek<\/a>)<\/p>\r\n<\/li>\r\n<\/ul>\r\n Hemen<\/strong> WSUS sunucular\u0131n\u0131z\u0131 kontrol edin: etkilenen sunucu varsa öncelik<\/strong> olarak Microsoft’un yay\u0131mlad\u0131\u011f\u0131 yamay\u0131 kurun. (Microsoft Destek<\/a>)<\/p>\r\n<\/li>\r\n
\r\n\r\n
\r\nKimler etkilenir?<\/h2>\r\n
\r\n
\r\nTehdit durumu — neden \u015fimdi acil?<\/h2>\r\n
\r\n
\r\nMicrosoft’un yan\u0131t\u0131 ve yamalar<\/h2>\r\n
\r\n
\r\nYap\u0131lacaklar (acil eylem plan\u0131 — prioritized)<\/h2>\r\n
\r\n
\r\nÖrnek tespit (SIEM\/Log) sorgular\u0131 — h\u0131zl\u0131 kontroller<\/h2>\r\n
\r\n
(Bu sorgular kurumunuzdaki SIEM\/EDR altyap\u0131s\u0131na göre uyarlanmal\u0131; burada mant\u0131k: deserialize exploit’leri genelde veri yükü gönderme → kötü yük çal\u0131\u015ft\u0131rma ak\u0131\u015f\u0131 takip edilir.) (hawktrace.com<\/a>)<\/p>\r\n<\/li>\r\n<\/ul>\r\n
\r\nUzun vadeli önlemler (sonraki ad\u0131mlar)<\/h2>\r\n
\r\n
\r\nKaynaklar \/ Referanslar (k\u0131sa)<\/h2>\r\n
\r\n
\r\n\r\n