Defender Yama Hatası Büyük Bir Tehlike: Disk Tamamen Silebilir

Microsoft’un güvenlik motoru Windows Defender için yayımladığı son yamada, cihazlardaki veri güvenliğini tehdit eden kritik bir hata tespit edildi. Bu açık olarak bilinen RoguePlanet (CVE-2026-50656), sisteme sızan saldırganların sabit diskin tüm alanını doldurarak ciddi veri kaybına veya sistem çökmesine yol açma potansiyeline sahip olduğu belirtiliyor.

Yama, Defender güvenlik motorunda bulunan bir sıfırıncı gün (zero-day) zafiyetini gidermek amacıyla bu hafta yayımlandı. Bu teknik zorluk, aslında yeni tanıtılan koruma mekanizmalarından biri sırasında ortaya çıkıyor ve potansiyel saldırganlara oldukça geniş bir kap açabiliyor.

Teknik Ayrıntılar Açık Nasıl Oluşuyor

RoguePlanet adı verilen bu zafiyet öncelikle Windows 10 ve Windows 11 işletim sistemlerini hedef alıyor. Saldırının en tehlikeli yönü, gerçek zamanlı koruma (real-time protection) özelliği devre dışı bıraksa bile saldırganların uzaktan yönetici düzeyinde kontrol elde edebilmelerine imkan tanımasıdır.

Bu güvenlik açığını ilk olarak anonim bir araştırmacı olan NightmareEclipse keşfetti ve ilgili zararlı yazılımın istismar edilebileceği kodları kamuoyuna duyurdu. Bu olayın ardından Microsoft, defansif derinliği artırmaya yönelik güncellemelerle sistemi güçlendirmeye çalıştı.

Disk Alanını Aşırı Kullanma Riski

Yeni eklenen güvenlik iyileştirmeleri, varsayılan olarak belirli bir sınırlama dahilinde çalışan Defender’ın dosya tarama ve karantinaya alma süreçlerini etkiliyor. Normalde Windows Defender, herhangi bir yazılımı güvenli bölgeye alırken dosyanın diskte ne kadar yer kaplayabileceğine dair katı sınırlandırmalar uygular. Bu sınırlar, cihazın depolama alanının aşırı kullanımını engellemeyi amaçlar.

Ancak araştırmacılar, bu yeni güvenlik yamalarında bir istisna olduğunu tespit etti. Microsoft’un Malware Protection Engine (malware koruma motoru) ile ilişkili mpengine.dll sürücüsündeki değişiklikler bazı koşullar altında veri sızıntısına neden olabiliyor. Özellikle Microsoft Security Essentials ve Forefront gibi bulut tabanlı raporlama hizmetlerinden bir olan SpyNet'in yerel kopyalarıyla ilgili dosya işlemlerini yönetme biçimi, anormal davranışlara zemin hazırlıyor.

Saldırının Mekaniği ve Etkileri

Saldırı senaryosunda, kötü amaçlı yazılım veya uzaktan erişim yoluyla sistemdeki bir zafiyet sömürülerek mpengine.dll sürücüsünün temel sınırlandırma kısıtlamalarının etrafından dolaşması mümkün oluyor. Normalde Defender’ın karantinaya aldığı büyük dosyalar için kendisinin bellek ve depolama sınırlamaları olması gerekirken, sistemdeki bazı özel dosya türleri veya raporlama mekanizminde kullanılan teknik bir yöntem bu korumayı aşabiliyor.

RoguePlanet zafiyeti kullanıldığında, saldırgan diskteki kritik süreçlerin devre dışı bırakılmasına neden olacak kadar devasa boyutlarda dosyalar yazarak mevcut tüm boş alanı tüketebiliyor. Bu durum sadece sistemin yavaşlamasına değil, aynı zamanda işletim sisteminin çökmesine ve kullanıcı verilerinin erişilemez hale gelmesine yol açabili.

Yama yapıldıktan sonra bu risk ortadan kalksa da, zafiyet keşfedilir keşfedilmemesi çok büyük zararlara neden olabilirdi. Bu tür sıfırıncı gün açıklarının ortaya çıkışı, siber güvenlik dünyasında sürekli bir alarm seviyesini koruma gerekliliğini daha net bir şekilde gözler önüne seriyor.