Teknoloji devleri arasındaki güvenlik protokolleri bir kez daha zorlu bir sınavdan geçti. Google’ın ünlü güvenlik ekibi Project Zero, Windows 11 işletim sisteminde kritik bir açık tespit etti. Microsoft bu açığı kapatmak için bir güncelleme yayınladı. Ancak uzmanlar yamanın yetersiz kaldığını belirledi. Bu durum Google’ın güvenlik politikasını devreye soktu. Şirket, kullanıcıları uyarmak adına zafiyetin detaylarını kamuoyuyla paylaştı.

Süreç oldukça sancılı ilerledi. Google araştırmacıları Microsoft’a gerekli süreyi tanıdı. Yazılım devi ek süre talep etti. Fakat yayınlanan çözüm sorunu kökten çözemedi. İşte CVE-2025-60718 kodlu bu güvenlik krizinin perde arkası ve teknik detayları.

Windows 11 Administrator Protection Hedefte

Güvenlik açığı Windows 11’in Insider sürümlerinde ortaya çıktı. Sorun özellikle “Administrator Protection” (Yönetici Koruması) özelliğini etkiliyor. Bu özellik normalde güvenliği artırmayı hedefler. Sistem, yönetici yetkilerini sadece gerektiğinde verir. Windows Hello ve izole edilmiş bir yönetici jetonu kullanır. Ancak Google araştırmacıları bu yapıda bir çatlak buldu.

Google Project Zero araştırmacısı James Forshaw bu hatayı keşfetti. Forshaw, sistemde bir Ayrıcalık Yükseltme (Elevation of Privilege – EoP) hatası saptadı. Düşük yetkiye sahip bir işlem sistemi kandırabiliyor. Saldırgan, UI erişim sürecini (UI access process) ele geçirebiliyor. Böylece tam yönetici haklarına sahip oluyor. Bu durum, bilgisayar korsanlarının sistemin kontrolünü tamamen ele geçirmesine olanak tanıyor.

Windows 11’deki Gizli Özellikleri Açma Rehberi yazımızda bahsettiğimiz Insider sürümleri, yenilikleri erken denemenizi sağlar. Ancak bu olay, erken erişim sürümlerinin risklerini de gözler önüne seriyor.

Krizin Zaman Çizelgesi: 90 Gün Kuralı

Google Project Zero ekibi katı kurallarla çalışır. Bir açık bulduklarında satıcıya 90 gün süre verirler. Bu süre dolarsa açığı ifşa ederler. Bu olayda süreç şu şekilde işledi:

8 Ağustos: James Forshaw açığı keşfetti. Durumu Microsoft’a özel olarak raporladı.
6 Kasım: Standart 90 günlük süre doldu.
Ek Süre: Microsoft sorunu çözmek için ek süre istedi. Google bu talebi kabul etti.
12 Kasım: Microsoft bir yama yayınladı. Şirket ayrıca Forshaw’a teşekkür etti.
Keşif: Forshaw yamayı inceledi. Düzeltmenin yetersiz olduğunu gördü. Açık hala istismar edilebiliyordu.
16 Aralık: Google, politikasını uyguladı. Zafiyeti ve teknik detayları herkese açık olarak yayınladı.

Bu tür zamanlama hataları teknoloji dünyasında nadir değildir. Ancak Microsoft gibi bir devin güvenlik yamasında başarısız olması dikkat çekicidir. Windows 11 Performans Sorunları kadar güvenlik yamalarının kalitesi de kullanıcı deneyimini doğrudan etkiler.

Teknik Detaylar ve Risk Analizi

Söz konusu açık, saldırganların “Hard Link” veya benzeri dosya sistemi hilelerini kullanmasına gerek bırakmıyor. Doğrudan süreç (process) üzerinden yetki yükseltiliyor. Düşük yetkili bir yazılımın, sistemin en kritik noktalarına erişmesi büyük bir risktir.

Zafiyetin Insider sürümünde olması şimdilik bir avantajdır. Milyarlarca standart kullanıcı henüz bu özellik aktif olmadığı için güvende olabilir. Ancak “Administrator Protection” özelliği genel dağıtıma çıktığında bu açığın tamamen kapanmış olması gerekir. Microsoft mühendisleri şu an daha kapsamlı bir yama üzerinde çalışıyor.

Google ve Microsoft Arasındaki Güvenlik Savaşı

Project Zero ekibi daha önce de benzer ifşalar yaptı. CentOS, libxslt ve ChromeOS gibi sistemlerde hatalar buldular. Hatta kendi ürünleri olan Android’de bile açıklar yakaladılar. Google’ın bu agresif tutumu sektörde tartışma yaratıyor. Bazıları bunu kullanıcı güvenliği için gerekli görüyor. Bazıları ise üreticileri zor durumda bıraktığını savunuyor.

Güvenlik sadece işletim sistemiyle sınırlı değildir. Donanım tabanlı koruma da önemlidir. Örneğin Windows Hello Yüz Tanıma Kırıldı haberimizde, biyometrik güvenliğin bile aşılabileceğini görmüştük. Yazılımsal açıklar ise çok daha yaygındır ve uzaktan istismar edilebilir.

Kullanıcılar Ne Yapmalı?

Şu an için Insider kullanıcısı değilseniz panik yapmanıza gerek yok. Ancak Insider programına dahilseniz dikkatli olmalısınız.

Bilgisayarınıza güvenmediğiniz yazılımları yüklemeyin.
Windows Update’i sık sık kontrol edin. Microsoft yeni bir düzeltme yayınlayacaktır.
Administrator Protection özelliğini kullanıyorsanız geçici olarak devre dışı bırakmayı düşünebilirsiniz.

Siber güvenlik dünyasında tehditler sürekli evrim geçiriyor. Google Android Güvenlik Kalkanı gibi hamlelerle mobil tarafta önlemler artıyor. Masaüstü tarafında ise sorumluluk büyük oranda Microsoft’un omuzlarında. CVE-2025-60718 vakası, güvenlik yamalarının sadece yayınlanmasının yetmediğini, aynı zamanda doğru çalışması gerektiğini bize hatırlattı.

Bunları da Okuyun

Techneiro Analizi

Analizlerimize göre, Google Project Zero’nun bu hamlesi Microsoft üzerinde ciddi bir baskı oluşturacaktır. Özellikle “Administrator Protection” gibi güvenlik odaklı bir özelliğin kendisinin bir güvenlik açığı barındırması ironik bir durumdur. James Forshaw’ın bulguları, modern işletim sistemlerinin karmaşıklığının arttığını gösteriyor. Kod tabanı büyüdükçe, gözden kaçan detaylar saldırganlar için fırsata dönüşüyor. Microsoft’un ilk yamasının başarısız olması, şirketin Kalite Kontrol (QA) süreçlerinin sorgulanmasına neden olabilir. Insider sürümleri test içindir. Ancak buradaki güvenlik mimarisi hataları, temel tasarımda sorun olabileceğine işaret eder. Kullanıcıların 2026 yılına girerken işletim sistemi güncellemelerini “Otomatik” modda tutmaları hayati önem taşıyor.

Teknoloji dünyasındaki en son yenilikleri kaçırmamak için Techneiro.com adresini takip edin.