Microsoft İş Ortağı Merkezi’nde (Partner Center) tespit edilen beş kritik güvenlik açığı, şirketlerin müşteri hesapları bulut hizmetlerini yönetirken karşılaşabileceği riskleri gündeme getirdi. 8 Ekim 2026’ kamuoyuna duyurulan güvenlik sorunlarından biri, CVSS ölçeğinde en yüksek seviye olan 10,0 puanını. Microsoft, açıkları sunucu tarafında yayımladığı düzeltmelerle giderirken ana kadar gerçek saldırılarda kullanıldıklarına ilişkin doğrulanmış bulgu ılmadı.
Microsoft İş Ortağı Merkezi Nedir Neden Önemlidir?Microsoft İş Ortağı Merkezi, Microsoft çalışan teknoloji şirketlerinin müşteri hesaplarını, lisanslarını, bulut aboneliklerini iş ortaklığı programlarını yönettiği çevrim içi platformdur. BT hizmet sağlayıcıları sistem üzerinden Microsoft 365 Azure aboneliklerini yönetebilir, müşterileriyle ilgili destek taleplerini iletebilir Microsoft AI Cloud Partner Program kapsamındaki üyelik işlemlerini gerçekleştirebilir.
Platform, müşteri verilerinin yanı sıra lisans yönetimi, faturalandırma, gelir raporları kullanıcı erişim yetkileriyle bağlantılıdır. Microsoft Entra ID üzerinden yönetilen kimlikler rol tabanlı erişim izinleri, kurumsal hesapların güvenliğinde önemli yer tutar. Dolayısıyla platformdaki kritik güvenlik açığı, yalnızca tek uygulamayı değil, müşteri hesaplarını yöneten iş süreçlerini riske atabilir.
Kamuoyuna duyurulan beş güvenlik açığı, Microsoft İş Ortağı Merkezi’nin yanı sıra Microsoft Bookings, Linux için Azure App Service, Microsoft Dataverse Azure SRE Agent hizmetlerini kapsıyor. Açıklar; sertifika doğrulama hataları, kimlik doğrulamanın atlatılması, yetkilendirme eksiklikleri uzaktan kod çalıştırma gibi farklı güvenlik sorunlarıyla ilişkilendiriliyor.
Güvenlik AçığıEtkilenen HizmetCVSS PuanıAçıklamaCVE-2026-96207Microsoft İş Ortağı Merkezi10,0Sertifika doğrulama hatası kimlik doğrulaması olmadan ağ yetkilerinin yükseltilmesiCVE-2026-94510Microsoft Bookings9,9Kullanıcı tarafından kontrol edilen anahtarla kimlik doğrulamanın atlatılmasıCVE-2026-77900Linux için Azure App Service9,8Kimlik doğrulama eksikliği kod çalıştırmaCVE-2026-88131Microsoft Dataverse9,8Güvenilmeyen verilerin işlenmesi üzerinden uzaktan kod çalıştırmaCVE-2026-69435Azure SRE Agent9,6Yetkilendirme eksikliği kimliği doğrulanmış saldırganın yetki yükseltmesiListede en yüksek puanı alan CVE-2026-96207, Microsoft İş Ortağı Merkezi’ndeki sertifika doğrulama mekanizmasıyla ilgili zafiyeti tanımlıyor. Kaynakta aktarılan bilgilere göre açık, kimlik doğrulaması yapılmadan ağ yetkilerinin yükseltilmesine yol açabilecek nitelik taşıyor. güvenlik sorunları ise randevu planlama, bulut uygulamalarını barındırma, kurumsal verileri yönetme site güvenilirliği işlemlerini destekleyen hizmetleri etkiliyor.
Microsoft, açıklanan güvenlik sorunlarını sunucu tarafında yaptığı güncellemelerle giderdi. ılan bilgilere göre açıkların gerçek saldırılarda kullanıldığına veya kamuya açık istismar kodlarının yayımlandığına ilişkin doğrulanmış bildirim bulunmuyor.
Sunucu tarafında uygulanan düzeltmeler, kullanıcıların bilgisayarlarına ayrıca yama yüklemesinin gerekmeyebileceği anlamına geliyor. Ancak kurumların kendi hesapları için yayımlanan güvenlik bildirimlerini Microsoft’un belirttiği ek işlemleri kontrol etmesi gerekiyor. Özellikle birden fazla müşterinin lisanslarını bulut kaynaklarını yöneten BT hizmet sağlayıcıları, yönetici hesaplarının etkinliğini erişim kayıtlarını incelemeli.
güvenlik açığının kapatılması, geçmişte yetkisiz erişim yaşanmadığını tek başına kanıtlamıyor. nedenle kuruluşların şüpheli oturum açma girişimlerini, beklenmeyen yetki değişikliklerini olağan dışı müşteri hesabı işlemlerini denetlemesi önem taşıyor. Çok faktörlü kimlik doğrulama kullanılması kullanıcıların yalnızca görevleri için gereken yetkilere sahip olması hesap güvenliğini güçlendiren temel önlemler arasında yer alıyor.
Microsoft İş Ortağı Merkezi üzerinden müşteri hesaplarını yöneten kuruluşların güvenlik duyurularını mesi kendi ortamlarına yönelik ek işlem gerekip gerekmediğini doğrulaması gerekiyor. Microsoft’un düzeltmeleri sunucu tarafında uygulaması önemli adım olsa şirketlerin erişim denetimlerini güvenlik izleme süreçlerini sürdürmesi gerekiyor.
Microsoft 365 lisans yönetimi, Azure abonelikleri müşteri destek işlemleri gibi farklı süreçlerin aynı platformda birleşmesi, erişim yetkilerinin düzenli incelenmesini daha önemli hale getiriyor. Kuruluşlar yönetici rollerini gözden geçirerek kullanılmayan hesapları devre dışı bırakabilir, olağan dışı işlemleri takip edebilir müşteri verilerine erişimi sınırlandırabilir.
Beş güvenlik açığının farklı Microsoft hizmetlerine yayılması, kurumların güvenlik kontrollerini tek platformla sınırlamaması gerektiğini gösteriyor. Özellikle bulut altyapısı müşteri hesapları üzerinde geniş yetkilere sahip BT ekiplerinin güvenlik bildirimlerini mesi, olası riskleri erken belirlemesine yardımcı olabilir.
