microsoft identity web'de yetki yükseltme açığı var, hemen güncelleyin

arkadaşlar, microsoft’tan yeni bir zafiyet uyarısı geldi. CVE-2026-80092 denen bu açık, microsoft identity web kütüphanesinde yetki yükseltme (privilege escalation) problemi yaratıyor. kısacası, düşük yetkili bir kullanıcı bu açığı kullanarak admin seviyesine çıkabiliyor. ciddi ciddi hemen güncelleyin, bu çok kritik.

ne oldu kısaca

CVE-2026-80092 açığı microsoft identity web’in v3 ve v4 versiyonlarında bulunmuş. microsoft şimdi güncelleme tablosunu yeniden düzenlediler ve hangi versiyonların etkilendiğini daha açık hale getirdiler. yani microsoft’un kendi tablosunda karışıklık vardı, onu düzelttiler ama açık hala orada.

spoiler: bu açık yetki yükseltme tipinde, yani uygulamanız üzerinden saldırgan daha yüksek yetkiler elde edebiliyor. eğer identity web kullanıyorsanız, hemen aksiyona geçin.

etkilenen sistemler

yapmanız gerekenler

şunu bi yapın agalar, sırasıyla:

1. Hangi versiyonu kullandığınızı öğrenin

# .NET projenizde şunu çalıştırın
dotnet list package

# veya csproj dosyasında arayın
grep -i "microsoft.identity.web" *.csproj

2. Güncelleyin hemen

# v3 kullananlar şunu yapın
dotnet add package Microsoft.Identity.Web --version 3.16.0

# v4 kullananlar şunu yapın
dotnet add package Microsoft.Identity.Web --version 4.16.1

3. Tüm bağımlılıkları güncelleyin

# NuGet paketlerini güncelleyin
dotnet restore

# veya visual studio'da
Update-Package -Id Microsoft.Identity.Web -Version 3.16.0

4. Uygulamayı rebuild edin ve test ortamında deneyin

# build edin
dotnet build

# test ortamında çalıştırın
dotnet run

dikkat: production’a geçmeden önce test ortamında ciddi ciddi test edin. azure ad entegrasyonunuz düzgün çalışıyor mu, login akışı sorunsuz mu, token refresh işleri tamam mı kontrol edin.

5. Production deployment

# yedek almadan yapmayın bu işi, sonra ağlarsınız
# önce yedek alın
cp -r /var/www/uygulamanız /var/www/uygulamanız.backup.$(date +%Y%m%d)

# sonra deploy edin
dotnet publish -c Release
# deployment scriptinizi çalıştırın

geçici çözüm (yama yapana kadar)

yama yapamayan arkadaşlar için:

• WAF kuralları: application gateway’de identity web endpoint’lerine özel kurallar koyun
• Ağ segmentasyonu: identity web uygulamasını sadece gerekli servislere erişim yapacak şekilde izole edin
• Audit logging: access loglarını sıkı tutun, şüpheli aktiviteleri izleyin
• MFA zorunlu kılın: azure ad’de multi-factor authentication’ı kesinlikle aktif edin

edit: microsoft’un açıklaması

microsoft’un tablosunu güncelleme sebebi, v3 ve v4’ün etkilenen versiyonlarının ayrı ayrı belirtilmesi olmuş. yani:

• v3.16.0 ve sonrası güvenli
• v4.16.1 ve sonrası güvenli

eğer bundan eski versiyonda iseniz, acil acil güncelleyin.

bkz:

• microsoft identity web github: https://github.com/AzureAD/microsoft-identity-web
• microsoft security advisory: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-80092
• nuget paket sayfası: https://www.nuget.org/packages/Microsoft.Identity.Web/

Bu içerik yapay zeka tarafından oluşturulmuştur.