Telefonunuz “güncelleme hazır” dediğinde “yarın hatırlat”a basmak çok kolay. Ancak güncellemeler çoğu zaman yeni özelliklerden çok, bilinen güvenlik açıklarını kapatan yamalar içeriyor. Açık bir kez duyurulduğunda, saldırganlar da onu kullanmayı deniyor. Bu rehber, hangi güncellemelerin neden önemli olduğunu, Windows 10 kullanıcılarının bugün ne yapması gerektiğini ve güncellemeyi alışkanlığa dönüştürmenin yollarını anlatıyor.

Kısaca

  • Otomatik güncellemeleri açık tutun; yalnızca yeniden başlatma zamanını siz seçin.
  • Windows 10 desteği 14 Ekim 2025’te sona erdi. Güvenlik yaması almaya devam etmek için Windows 11’e geçin ya da Genişletilmiş Güvenlik Güncellemeleri (ESU) programına kaydolun.
  • Tarayıcı, PDF okuyucu, ofis yazılımı ve uzaktan erişim araçları işletim sistemi kadar önemli.
  • Modem, akıllı kamera gibi cihazları da unutmayın; bunlar çoğu zaman yıllarca yamasız kalıyor.
  • Artık güncelleme almayan bir telefonla bankacılık ve e-Devlet işlemi yapmak riskli.

Güncelleme neden bu kadar önemli?

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), uygulama ve cihaz güncellemelerinin yayımlanır yayımlanmaz yüklenmesini öneriyor. NCSC’ye göre güncellemeler virüs ve diğer kötü amaçlı yazılımlara karşı koruma içeriyor. Bir güncelleme bildirimini görmezden gelmemek, çevrimiçi güvende kalmak için yapabileceğiniz en önemli ve en hızlı şeylerden biri. Kurum ayrıca cihaz ayarlarında “otomatik güncellemeler”in açılmasını tavsiye ediyor; böylece güncellemeyi hatırlamak zorunda kalmıyorsunuz.

Tehdidin gerçek olduğunu gösteren somut bir kaynak da var. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Bilinen İstismar Edilmiş Açıklar (KEV) kataloğunu tutuyor. Katalog, gerçek saldırılarda kullanıldığı doğrulanmış açıkların yetkili listesi. CISA, kurumların bu listeyi yama önceliklerini belirlerken kullanmasını öneriyor. Listedeki açıkların ortak noktası, yamaları çoğu zaman zaten yayımlanmış olması. Saldırganlar, yama yüklenmeden geçen süreyi kullanıyor.

Windows 10 kullanıyorsanız

Microsoft, Windows 10’un 14 Ekim 2025’te destek süresinin sona erdiğini duyurdu. Bu tarihten sonra Windows 10 bilgisayarlar çalışmaya devam ediyor, ancak teknik destek, yazılım güncellemesi ve güvenlik düzeltmesi almıyor. Microsoft’a göre bu durumdaki bilgisayarlar virüs ve kötü amaçlı yazılımlara karşı daha yüksek risk altında. Seçenekler şöyle:

  • Windows 11’e ücretsiz yükseltme: Windows 10 22H2 sürümünü çalıştıran ve donanım gereksinimlerini karşılayan bilgisayarlar için ücretsiz. Uygunluğu Ayarlar > Güncelleştirme ve Güvenlik > Windows Update üzerinden kontrol edebilirsiniz.
  • Tüketici ESU programı: Microsoft’un güncel sayfasına göre program 12 Ekim 2027’ye kadar kritik ve önemli güvenlik güncellemelerini sağlıyor. Kayıt, bilgisayar ayarlarını Microsoft hesabıyla eşitleyerek ek ücret ödemeden, 1.000 Microsoft Rewards puanıyla ya da 30 dolar veya yerel para birimi karşılığı tek seferlik ödemeyle yapılabiliyor. Bir lisans 10 cihazda kullanılabiliyor. ESU teknik destek ya da yeni özellik içermiyor.
  • Cihazı değiştirmek: Donanım Windows 11’e uygun değilse ve ESU sona erdikten sonra da kullanmayı düşünüyorsanız, yeni bir cihaz ya da desteklenen başka bir işletim sistemi gerekecek.

Microsoft 365 uygulamaları için Windows 10’da güvenlik güncellemeleri 10 Ekim 2028’e kadar sürecek, ancak bu işletim sisteminin kendisini korumuyor.

Ne güncellenmeli?

  • İşletim sistemi: Windows, macOS, Android, iOS ve Linux dağıtımları. Yetki yükseltme ve uzaktan kod çalıştırma gibi en tehlikeli açık türleri burada kapatılıyor.
  • Tarayıcı: İnternette en çok kullandığınız yazılım ve en geniş saldırı yüzeyi. Otomatik güncellemesi varsayılan olarak açık; kapatmayın, ara sıra tarayıcıyı yeniden başlatın.
  • Ofis, PDF ve görüntüleyiciler: E-posta ekleri bu programlarla açılıyor. Yamasız bir okuyucu, oltalama saldırısının işini kolaylaştırıyor.
  • VPN, uzaktan erişim ve yedekleme yazılımları: Ağın kenarında çalıştıkları için gecikmiş bir yama tüm ağı riske atabiliyor.
  • Modem ve akıllı cihazlar: NCSC, akıllı hoparlör, akıllı saat ve güvenlik kamerası gibi cihazlar için üreticinin destek sayfasındaki güncelleme talimatlarına bakılmasını öneriyor. Modeminizin arayüzünde “yazılım güncelleme” bölümünü yılda en az birkaç kez kontrol edin.

Eski telefonlar: görünmeyen risk

Üreticiler eski cihazlara bir noktada güncelleme göndermeyi bırakıyor. NCSC, en yeni ya da en pahalı modeli almanın gerekmediğini, ancak mümkünse artık desteklenmeyen telefonları satın almaktan ve kullanmaktan kaçınılmasını öneriyor. İkinci el telefon alırken, modelin hâlâ güvenlik güncellemesi alıp almadığını üreticinin sitesinden kontrol edin. Telefonunuz artık güncelleme almıyorsa, en azından mobil bankacılık, e-Devlet ve e-posta gibi kritik hesaplar için desteklenen bir cihaza geçmeyi planlayın.

Güncellemeyi alışkanlığa dönüştürün

  1. Tüm cihazlarda otomatik güncellemeyi açın. Bilgisayarda yeniden başlatmayı mesai dışına ayarlayın.
  2. Uygulama mağazasında “otomatik güncelle” seçeneğini etkinleştirin.
  3. Ayda bir, örneğin her ayın ilk pazar günü, modem ve akıllı cihazları kontrol edin.
  4. Güncelleme notlarında “güvenlik”, “CVE” ya da “kritik” ifadeleri geçiyorsa beklemeyin.
  5. Büyük sürüm geçişlerinden önce yedek alın. NCSC de güncelleme öncesinde yedekleme önerildiğinde bunu yapmayı tavsiye ediyor. Ayrıntılar için yedekleme rehberimize bakabilirsiniz.

Küçük işletmeler için

Birkaç bilgisayar ve bir sunucusu olan bir işletmede bile güncelleme işi “herkes kendi halletsin” anlayışına bırakılmamalı. Önce bir envanter çıkarın: hangi cihazlar, hangi işletim sistemi sürümleri ve internete açık hangi hizmetler var? Ardından bir sorumlu belirleyin ve CISA’nın KEV kataloğunu ya da üreticilerin güvenlik bültenlerini haftalık olarak takip edin. Aktif olarak istismar edilen bir açık, kullandığınız bir üründe çıkarsa planlı bakım takvimini beklemeden yamalayın. Muhasebe ya da satış yazılımı gibi kritik programlarda, güncellemeyi önce tek bir bilgisayarda deneyip sonra yaymak iyi bir uygulama. KVKK’nın 12. maddesi, kişisel veri işleyen her işletmeye uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alma yükümlülüğü getiriyor; yamasız sistemler bu açıdan da risk oluşturuyor.

Sahte güncelleme tuzağı

Saldırganlar güncellemenin önemini de istismar ediyor. Bir web sitesinde aniden çıkan “tarayıcınız güncel değil, hemen indirin” uyarıları ya da e-postayla gelen “güncelleme dosyaları” sık kullanılan bir oltalama yöntemi. Güncellemeleri yalnızca işletim sisteminin kendi ayarlarından, resmî uygulama mağazasından ya da üreticinin sitesinden yükleyin.

Kaynaklar: NCSC – Install the latest software and app updates, CISA – Known Exploited Vulnerabilities Catalog, Microsoft – Windows 10 support has ended, Microsoft – Windows 10 Consumer ESU.