Microsoft, 10 Kasım 2026 sonrasında yayımlanan Windows güncellemeleriyle NTLM kimlik doğrulamasında mesaj imzalamaya yönelik güvenlik iyileştirmelerini devreye. CVE-2026-118737 için hazırlanan değişiklikler, NTLM bağlantılarında kriptografik oturum anahtarının oluşturulmasını gerçek mesaj imzalamanın kullanılmasını sağlamayı amaçlıyor. Böylece NTLM relay saldırılarına karşı koruma artırılıyor.
Microsoft’un planı iki aşamadan oluşuyor. İlk aşamada istemci cihazlar, anonim olmayan NTLM bağlantılarında imzalama desteğini varsayılan olarak sunmaya başlıyor. Sunucular ise şimdilik hem imzalı hem imzasız bağlantıları kabul ediyor. Sistem yöneticileri, imzalama kullanmayan bağlantıları olay günlüklerinden belirleyebiliyor.
İkinci aşamanın Mayıs 2027’ başlaması planlanıyor. tarihten itibaren Windows sunucularında NTLM imzalamanın varsayılan olarak zorunlu hale gelmesi hedefleniyor. İmzalama sunmayan istemcilerin güvenli bağlantıları reddedilecek.
Gerçek imzalama eski yöntem arasındaki farkNTLM’ iki farklı imzalama davranışı bulunuyor. NTLMSSP_NEGOTIATE_SIGN bayrağı, oturum anahtarı kullanan gerçek HMAC-MD5 imzalamayı ifade ediyor. NTLMSSP_NEGOTIATE_ALWAYS_SIGN ise kriptografik koruma sağlamayan eski yer tutucu davranış.
nedenle yalnızca bağlantıda “imzalama” ifadesinin bulunması yeterli değil. Microsoft, oturumun güvenli sayılması için SIGN (0x00000010) KEY_EXCH (0x40000000) bayraklarının birlikte bulunmasını oturum anahtarının mevcut olmasını belirtiyor.
Olay günlükleriyle uyumluluğu kontrol edinNTLM imzalama durumu, Microsoft-Windows-NTLM/Operational günlüğündeki olaylardan izlenebiliyor:
- Olay Kimliği 4022: İstemci tarafındaki NTLM kimlik doğrulaması
- Olay Kimliği 4023: Sunucu tarafındaki NTLM kimlik doğrulaması
Microsoft’a göre olaylar, NTLM Enhanced auditing etkin olan Windows Server 2019 sonraki sürümlerde kullanılabiliyor. Hem imzalı hem imzasız bağlantılar aynı uyarı düzeyinde görünebildiği için yalnızca olay seviyesine bakılmamalı; Negotiated Flags içindeki 0x10 SIGN biti Session Key Status değeri incelenmeli.
Örneğin 0xE0888215 bayrak değeri Session Key Status: Present, bağlantının ikinci aşamaya hazır olduğunu gösteriyor. 0xA0888205 Session Key Status: Missing ise imzalamanın kullanılmadığını istemcinin ele alınması gerektiğini belirtiyor.
Yeni kayıt defteri ayarlarıKasım güncellemesiyle birlikte istemci sunucu davranışını yönetmek için iki kayıt defteri değeri ekleniyor. Her ikisi konumda bulunuyor:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
Değer adıVarsayılan davranış (0)1 değeriClientAllowUnsignedNtlmİstemci, anonim olmayan bağlantılarda SIGN sunar.İstemci SIGN sunmaz. Yalnızca geçici uyumluluk amacıyla kullanılmalı.ServerRequireNtlmSignSunucu, imzalı imzasız istemcileri kabul.Sunucu, imzasız istemcileri reddeder.ayarların değiştirilmesi için yeniden başlatma gerekmiyor. Ancak Microsoft, sunucularda ServerRequireNtlmSign=1 değerinin ancak olay günlüklerinde imzasız bağlantı kalmadığı doğrulandıktan sonra etkinleştirilmesini öneriyor.
Kurumlar için geçiş planıYöneticilerin öncelikle güncellemeleri yükleyip NTLM Operational günlüklerindeki 4022 4023 olaylarını incelemesi gerekiyor. SIGN biti bulunmayan bağlantılar için istemci, uygulama veya cihaz uyumluluğu araştırılmalı. envanter tamamlanmadan sunucularda imzalamayı zorunlu kılmak, eski istemci uygulamaların bağlantı kuramamasına neden olabilir.
Microsoft, değişikliklerin NTLM güvenliğini aşamalı olarak güçlendirdiğini desteklenen tüm Windows Server sürümlerinin imzalamayı zaten desteklediğini belirtiyor. Yeni dağıtım, özelliğin bağlantılarda kullanılmasını ilerleyen aşamada varsayılan olarak zorunlu tutulmasını sağlayacak.
