Exchange Server Güvenlik Açığı CVE-2026-70571: Kritik RCE, 2016/2019 için son yama

Özet

Microsoft, 13 Ekim 2026 tarihli Ekim güncellemeleriyle Exchange Server'daki kritik uzaktan kod çalıştırma açığı CVE-2026-70571'i kapattı (CWE-121: stack-based buffer overflow). Microsoft'a göre kimliği doğrulanmamış bir saldırgan, özel hazırlanmış bir e-postayla sunucudaki bir içerik dönüştürme sürecini tetikleyerek kod çalıştırabilir; kullanıcı etkileşimi gerekmiyor, ancak saldırganın hedef ortamı iyi tanıması gerekiyor (saldırı karmaşıklığı yüksek).

• CVSS 3.1: 8,1 (vektör: AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H) – Microsoft önem derecesi: Kritik
• Aktif istismar: Microsoft'a göre hayır; istismar olasılığı "daha yüksek" (Exploitation More Likely) olarak işaretli.
• Çözüm durumu: Yama yayınlandı (aşağıdaki tablo).

Etkilenen sürümler ve düzeltmeler

Aynı güncellemeler CVE-2026-70571 dışında beş Exchange açığını daha kapatıyor (yetki yükseltme ve spoofing). Kurulum sonrası doğrulama için Microsoft, Exchange Server Health Checker çalıştırılmasını öneriyor.

Neden önemli?

Bu, Exchange 2016/2019 için yayınlanan son güvenlik güncellemesi. Microsoft, Exchange 2016 ve 2019'un desteğinin 14 Ekim 2025'te bittiğini, Period 2 ESU'ya kayıtlı kurumların Ekim 2026 sonuna kadar güncelleme alabildiğini ve sonrasında güncelleme çıkmayacağını belirtiyor. ESU'ya kayıtlı değilseniz bu yama size sunulmuyor; sunucunuz Ekim 2025'ten beri yamasız. ESU'nuz varsa bile Kasım 2026'dan itibaren benzer açıklar için yama olmayacak.

Şimdi ne yapmalısınız?

1. Sürüm ve CU seviyenizi kontrol edin: Exchange Management Shell'de Get-ExchangeServer | Format-List Name,AdminDisplayVersion çıktısına bakın, Health Checker çalıştırın.
2. ESU'lu 2016/2019 ve tüm SE sunucularında yukarıdaki KB'yi kurun. Bu, 2016/2019 için son fırsat.
3. ESU'nuz yoksa: Yamaya erişemezsiniz. Exchange SE'ye yükseltme ya da Microsoft 365 / Exchange Online'a taşıma planını hemen başlatın.
4. Geçene kadar riski azaltın: OWA ve ECP'yi mümkünse doğrudan internete açmayın, yönetim erişimini sınırlayın, MFA kullanın ve sunucu günlüklerini izleyin. Bunlar yamanın yerini tutmaz.

Doğa Network nasıl yardımcı olabilir?

Exchange 2016/2019'dan Exchange SE'ye yerinde yükseltme (2019 CU14/CU15) veya geçiş (2016), Microsoft 365 / Exchange Online'a taşıma, ESU sonrası lisans hesabı (SA, CAL, Microsoft 365 planı) ve bu son güncellemenin planlı kurulumu konusunda ekibimiz destek verebilir. Ücretsiz değerlendirme için bize 0850 888 3642 numaralı telefondan veya hi@doga.network adresinden ulaşabilirsiniz.

Kaynaklar

• MSRC – CVE-2026-70571
• Microsoft Support – Exchange SE, 13 Ekim 2026 (KB5128895)
• Microsoft Support – Exchange 2019 CU15, 13 Ekim 2026 (KB5128896)
• Microsoft Support – Exchange 2019 CU14, 13 Ekim 2026 (KB5128897)
• Microsoft Support – Exchange 2016 CU23, 13 Ekim 2026 (KB5128898)