CVE-2026-81387· NVD / CVE Programı· CNA microsoft

Microsoft Excel Information Disclosure Vulnerability

Noroxi değerlendirmesi

Öncelik: İzleyin (aksiyon skoru 22/100)

İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
Önümüzdeki 30 günde sömürülme olasılığı %0,55 (FIRST EPSS).
Sisteme yerel erişimi olan biri tetikleyebilir. Hesap ya da parola gerekmez. Bir kullanıcının bağlantıyı açması ya da sayfayı ziyaret etmesi gerekir. Özel bir koşul gerekmez; tekrarlanabilir.
Düzeltilmiş sürüm: Microsoft 365 Apps for Enterprise for 32-bit Systems 16.0.20326.20138; Microsoft 365 Apps for Enterprise for 64-bit Systems 16.0.20326.20138; Microsoft Excel 2016 (32-bit edition) 16.0.5569.1003.
Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 1 kez anıldı.

Şimdilik düşük öncelik. Microsoft 365 Apps for Enterprise for 32-bit Systems 16.0.20326.20138; Microsoft 365 Apps for Enterprise for 64-bit Systems 16.0.20326.20138; Microsoft Excel 2016 (32-bit edition) 16.0.5569.1003 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Exposure of sensitive system information to an unauthorized control sphere in Microsoft Office Excel allows an unauthorized attacker to disclose information locally.

OrtaCVSS 5.5 · v3.1—İstismar yok Düzeltme var

Bilgi sızıntısı

EUVD-2026-73856

Yayın: 8 Eyl 2026
Güncelleme: 8 Eki 2026
EPSS: %0,6 · 45. yüzdelik
CWE: CWE-497

Rapor araçları

JSON

Aksiyon skoru

İzleyin

Şimdilik düşük öncelik.

CVSS: 22 / 40 · 5.5 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 0 / 30 · %0,6

CISA SSVC kararı

Sömürü: yok
Otomatikleştirilebilir: hayır
Teknik etki: kısmi

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: —
CNA · microsoft: 5,5; NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N/E:U/RL:O/RC:C

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Herkese açık istismar kodu kaydı yok
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

WordPress siteniz mi var? WP Lens ile ücretsiz tarayın

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
microsoft	365 apps	cpe:2.3:a:microsoft:365_apps
microsoft	excel	cpe:2.3:a:microsoft:excel
microsoft	microsoft 365	cpe:2.3:a:microsoft:microsoft_365
microsoft	office 2016	cpe:2.3:a:microsoft:office_2016
microsoft	office 2019	cpe:2.3:a:microsoft:office_2019
microsoft	office 2021	cpe:2.3:a:microsoft:office_2021
microsoft	office 2024	cpe:2.3:a:microsoft:office_2024

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

microsoft 365 appstüm sürümler
microsoft excel2016
microsoft microsoft 365tüm sürümler
microsoft office 2016tüm sürümler
microsoft office 2019tüm sürümler
microsoft office 2021tüm sürümler
microsoft office 2024tüm sürümler

Üreticinin bildirdiği sürümler

Kaydı açan otorite (microsoft) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Microsoft Microsoft 365 Apps for Enterprise
- 16.0.1 ve sonrası · 16.0.20326.20138 öncesietkilenir
Microsoft Microsoft Excel 2016
- 16.0.0.0 ve sonrası · 16.0.5569.1003 öncesietkilenir
Microsoft Microsoft Office 2016
- 16.0.0 ve sonrası · 16.0.5569.1003 öncesietkilenir
Microsoft Microsoft Office 2019
- 19.0.0 ve sonrası · 16.0.10417.20207 öncesietkilenir
Microsoft Microsoft Office 365 for Mac
- 1.0.0 ve sonrası · 16.113.26091433 öncesietkilenir
Microsoft Microsoft Office LTSC 2021
- 16.0.1 ve sonrası · 16.0.14334.20906 öncesietkilenir
Microsoft Microsoft Office LTSC 2024
- 16.0.0 ve sonrası · 16.0.17932.20976 öncesietkilenir
Microsoft Microsoft Office LTSC for Mac 2021
- 16.0.1 ve sonrası · 16.113.26091433 öncesietkilenir
Microsoft Microsoft Office LTSC for Mac 2024
- 16.0.0 ve sonrası · 16.113.26091433 öncesietkilenir

Aynı üründe

microsoft: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2023-23397Microsoft Outlook Elevation of Privilege VulnerabilityKEV
98Hemen
CVE-2024-21413Microsoft Outlook Remote Code Execution VulnerabilityKEV
97Hemen
CVE-2026-21509Microsoft Office Security Feature Bypass VulnerabilityKEV
82Hemen
CVE-2021-42292Microsoft Excel Security Feature Bypass VulnerabilityKEV
74Bu hafta
CVE-2023-35311Microsoft Outlook Security Feature Bypass VulnerabilityKEV
70Bu hafta
CVE-2024-38189Microsoft Project Remote Code Execution VulnerabilityKEV
67Bu hafta

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
Microsoft 365 Apps for Enterprise for 32-bit Systems	16.0.20326.20138 · Release Notes	Microsoft (MSRC)
Microsoft 365 Apps for Enterprise for 64-bit Systems	16.0.20326.20138 · Release Notes	Microsoft (MSRC)
Microsoft Excel 2016 (32-bit edition)	16.0.5569.1003 · KB5002914	Microsoft (MSRC)
Microsoft Excel 2016 (64-bit edition)	16.0.5569.1003 · KB5002914	Microsoft (MSRC)
Microsoft Office 2016 (32-bit edition)	16.0.5569.1003 · KB5002904	Microsoft (MSRC)
Microsoft Office 2016 (64-bit edition)	16.0.5569.1003 · KB5002904	Microsoft (MSRC)
Microsoft Office 2019 for 32-bit editions	16.0.10417.20207 · Release Notes	Microsoft (MSRC)
Microsoft Office 2019 for 64-bit editions	16.0.10417.20207 · Release Notes	Microsoft (MSRC)
Microsoft Office 365 for Mac	16.113.26091433 · Release Notes	Microsoft (MSRC)
Microsoft Office LTSC 2021 for 32-bit editions	16.0.14334.20906 · Release Notes	Microsoft (MSRC)
Microsoft Office LTSC 2021 for 64-bit editions	16.0.14334.20906 · Release Notes	Microsoft (MSRC)
Microsoft Office LTSC 2024 for 32-bit editions	16.0.17932.20976 · Release Notes	Microsoft (MSRC)
Microsoft Office LTSC 2024 for 64-bit editions	16.0.17932.20976 · Release Notes	Microsoft (MSRC)
Microsoft Office LTSC for Mac 2021	16.113.26091433 · Release Notes	Microsoft (MSRC)
Microsoft Office LTSC for Mac 2024	16.113.26091433 · Release Notes	Microsoft (MSRC)

İstismar durumu

Bilinen kamuya açık istismar yok

Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın dışında tarihli olay yok.

EPSS son 120 gün

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

Referanslarda commit ya da PR bağlantısı yok.

Kredi

Tüm araştırmacılar

CNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.

CNA kaydında kredi yok.

Varyant adayları

Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.

CVE-2026-813940 gün araylaMicrosoft Excel Information Disclosure Vulnerability
22İzleyin

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

—

Bug bounty kapsamı

Bilinen herkese açık program yok.

Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).

Ulusal bildirim (Siber Güvenlik Başkanlığı / USOM)

Bu kaydı anan resmi güvenlik bildirimleri; çözüm önerisi kurumun sayfasında.

TR-26-1037 · 9 Eyl 2026(Microsoft Çoklu Ürün Güvenlik Bildirimi)

Tüm ulusal bildirimler →

Teknik detay

Saldırı koşulları

Sisteme yerel erişimi olan biri tetikleyebilir.
Hesap ya da parola gerekmez.
Bir kullanıcının bağlantıyı açması ya da sayfayı ziyaret etmesi gerekir.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik: yüksek · veriler okunabilir
Bütünlük: yok
Erişilebilirlik: yok

Saldırı vektörü: Yerel
Karmaşıklık: Düşük
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekir
Kapsam: Değişmez
Gizlilik etkisi: Yüksek
Bütünlük etkisi: Yok
Erişilebilirlik etkisi: Yok

Zayıflık sınıfı (CWE)

CWE-497 · Exposure of Sensitive System Information to an Unauthorized Control Sphere

CVSS vektörü

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

nvd-secondary

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Saldırı desenleri (CAPEC)

ATT&CK teknikleri

System Language DiscoveryT1614

Değişiklik günlüğü

Düzeltme✗ → ✓28 Eyl 2026 22:07 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

msrc.microsoft.com/update-guide/vulnerability/CVE-2026-81387

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar