Desteği biten yazılım neden risk? Windows 10 sonrası ne yapmalı?

Desteği biten (end of life) bir yazılımda güvenlik açığı bulunmaya devam eder, değişen tek şey artık yamasının çıkmamasıdır. Windows 10 için destek 14 Ekim 2025'te sona erdi. Exchange Server 2016 ve 2019 ile Office 2016 ve 2019 aynı gün listeden düştü. SQL Server 2016'nın süresi 14 Temmuz 2026'da doldu, Windows Server 2016 için tarih 12 Ocak 2027. Bu makinelerin hiçbiri o sabah kapanmadı, hepsi çalışmaya devam ediyor. Sorun da tam olarak bu. Yama yönetimi bu riski çözemez, çünkü ortada uygulanacak bir yama yoktur. Elinizde ya parayla satın alınmış geçici bir uzatma, ya yazılı bir geçiş planı, ya da her ay biraz daha genişleyen açık bir kapı vardır.

Ölçek küçük değil. StatCounter'ın Temmuz 2026 verisine göre dünyadaki masaüstü Windows kurulumlarının yüzde 29,83'ü hâlâ Windows 10, Windows 11 ise yüzde 68,93'te. Yani destek bittikten yirmi ay sonra bile her üç makineden biri destek dışı bir işletim sistemiyle çalışıyor. Bu makinelerin bir kısmı ESU aboneliğiyle korunuyor, çoğu değil.

Devletler bunu artık ayrı bir tehdit başlığı sayıyor

5 Şubat 2026'da CISA, FBI ve İngiltere'nin NCSC'si ortak bir bilgi notu yayımladı: "Reducing the Attack Surface for End-of-Support Edge Devices". Metnin anlattığı şey, ulus devlet bağlantılı saldırganların desteği biten uç cihazları (yük dengeleyici, güvenlik duvarı, yönlendirici, VPN geçidi) ağa ilk girişi sağlamak, orada kalıcı olmak ve veriye ulaşmak için hedef seçmesi. Aynı gün CISA, ABD federal kurumlarına BOD 26-02 sayılı bağlayıcı direktifi verdi: üç ay içinde desteği biten uç cihazları tespit et, on iki ay içinde sökmeye başla, on sekiz ay içinde bitir. Direktifin gerekçesindeki cümle kısa ve tartışmaya kapalı: desteklenmeyen cihazlar kurumsal ağlarda kalmamalı.

Bu bir kamu kurumu direktifi, sizi hukuken bağlamıyor. Ama tehdit istihbaratının hangi yöne baktığını gösteriyor, ve saldırganlar hedef seçerken kurum tipine değil, sürüm numarasına bakıyor.

Takvimde ne var

Türkiye'deki tipik bir KOBİ ortamında bugün itibarıyla süresi dolmuş ya da dolmak üzere olan başlıklar:

• Windows 10: 14 Ekim 2025. ESU ile uzatılabilir.
• Exchange Server 2016 ve 2019: 14 Ekim 2025. Yerine Exchange Server SE ya da bulut posta.
• Office 2016 ve Office 2019: 14 Ekim 2025. Bu ikisi için ESU programı yok, uzatma seçeneği hiç yok.
• SQL Server 2016: 14 Temmuz 2026. ESU en fazla üç yıl.
• Windows Server 2016: 12 Ocak 2027. Yani planlamak için kalan süre bir yıldan az.
• Windows Server 2012 ve 2012 R2: 2023'te bitti, hâlâ sahada çok sayıda örneği var.

Listeyi kendi ortamınız için çıkarırken işletim sistemlerinde durmayın. Web uygulamanızın altındaki PHP ya da Node.js sürümü, ERP'nizin bağımlı olduğu veritabanı istemcisi, depodaki barkod terminalinin Android sürümü, toplantı odasındaki NAS'ın firmware'i de aynı listeye girer.

"Hâlâ çalışıyor" neden yanıltıcı bir ölçü

Destek bitiş günü hiçbir şey olmaz. Risk sonraki aylarda birikir ve birikme hızı sabit değil, artan bir hızdır. Mekanizma şöyle işler: bir güvenlik açığı bulunur, üretici desteklenen sürüm için yama yayımlar, güvenlik araştırmacıları ve saldırganlar o yamayı tersine mühendislikle inceleyip açığın tam yerini çıkarır. Aynı kod desteği biten sürümde de duruyorsa, artık herkesin bildiği ama sadece bir tarafın kapatabildiği bir açık haline gelir. Yayımlanan yama, desteklenmeyen sürüm için pratikte bir saldırı tarifidir.

İkinci sorun uyumluluk. Desteği biten bir sunucuya yeni bir EDR ajanı, yeni bir yedekleme istemcisi ya da yeni bir TLS kütüphanesi kurulamaz hale gelir. Yani sistem yaşlandıkça sadece açık biriktirmez, üzerine kurabileceğiniz savunma seçenekleri de teker teker kapanır.

ESU nedir, ne değildir

Windows 10 için Genişletilmiş Güvenlik Güncellemeleri (ESU) programı kurumsal tarafta hacim lisanslama üzerinden satılıyor. Birinci yıl cihaz başına 61 dolar, ve fiyat her ardışık yıl ikiye katlanıyor, en fazla üç yıl. Program kümülatif: ikinci yıl katılmaya karar verirseniz birinci yılı da ödemek zorundasınız. Teknik destek dahil değil, sadece kritik ve önemli seviyedeki güvenlik güncellemeleri geliyor. Yeni özellik yok, güvenlikle ilgisi olmayan hata düzeltmesi yok.

Cihaz başına üç yılın toplamı 61 + 122 + 244 = 427 dolar eder. Bu rakamı yeni bir iş istasyonunun fiyatının yanına koyduğunuzda karar çoğu ortamda kendiliğinden çıkıyor. ESU bir köprüdür, varış noktası değil.

Bireysel kullanıcılar için tablo farklı: tüketici ESU'su 12 Ekim 2027'ye kadar sürüyor ve PC ayarlarını senkronize ederek ücretsiz, 1.000 Microsoft Rewards puanıyla ya da tek seferlik 30 dolar ödeyerek alınabiliyor. Şirket cihazlarında bu yol geçerli değil.

Sık karışan bir nokta daha var. Microsoft 365 uygulamaları Windows 10 üzerinde 10 Ekim 2028'e kadar güvenlik güncellemesi almaya devam edecek, Defender'ın imza güncellemeleri de en az o tarihe kadar sürüyor. Bunlar Office'i ve virüs tanımlarını güncel tutar, işletim sisteminin çekirdeğindeki açığı kapatmaz. "Defender güncelleniyor, o zaman Windows da güvenli" cümlesi doğru değil.

Donanım engeli gerçek bir engel

Windows 11 TPM 2.0 ve desteklenen bir işlemci istiyor, pratikte Intel'in 8. nesli ve sonrası. Microsoft bu şartı gevşetmeyeceğini birden fazla kez tekrarladı. Sahada gördüğümüz iki durum var: bazı makinelerde TPM fiziksel olarak var ama BIOS'ta kapalı, bunlar birkaç dakikada kurtarılıyor. Bazılarında gerçekten yok, bunlar için tek yol yenileme.

Şartları atlatarak Windows 11 kurmak teknik olarak mümkün, ama Microsoft bu kurulumların güncelleme almasını garanti etmiyor. Denetime girecek ya da kişisel veri işleyen bir makinede bu yolu seçmek, çözdüğünüzden daha büyük bir sorun yaratır.

Asıl tehlike masaüstünde değil

Bir Windows 10 istemcisi en azından görünür: envanterde durur, EDR'si vardır, birileri başında oturur. Asıl risk kimsenin bakmadığı yerdedir. İnternete açık duran eski bir güvenlik duvarı, üreticisi destekten çekilmiş bir VPN kutusu, firmware'i 2019'da kalmış bir NAS, kamera kayıt cihazı, yönetim arayüzü dışarıdan erişilebilen bir yazıcı sunucusu. CISA'nın direktifi tam olarak bu kategoriyi hedefliyor, çünkü bu cihazlar üç özelliği bir arada taşıyor: dışarıdan erişilebilir, üzerine güvenlik ajanı kurulamaz, ve çoğu şirketin varlık envanterinde hiç yer almaz.

Buna bir de üretim ortamlarındaki gömülü sistemleri ekleyin. Üretim hattını süren bir kontrol bilgisayarı, POS terminali, laboratuvar cihazına bağlı iş istasyonu. Bunlar genellikle yükseltilemez, çünkü üzerindeki yazılım belirli bir işletim sistemi sürümüne sertifikalıdır.

Uyum ve sözleşme tarafı

KVKK'nın 12. maddesi veri sorumlusundan "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" almasını istiyor. Kurumun Kişisel Veri Güvenliği Rehberi teknik tedbirler arasında yama yönetimini ve yazılım güncelliğini açıkça sayıyor. Bir denetimde ya da ihlal sonrası incelemede "o sunucu 2025'ten beri güncelleme almıyordu" cümlesinin savunulabilir bir karşılığı yok. ISO 27001 belgelendirmesinde de aynı yere geliyorsunuz: 2022 sürümündeki A.8.8 kontrolü teknik açıklıkların yönetimini doğrudan tarif ediyor, destek dışı bir bileşen bu kontrolün ihlali olarak yazılır.

Siber sigorta tarafında da soru listeleri sertleşiyor. Desteklenmeyen işletim sistemi çalıştırıp çalıştırmadığınız artık başvuru formlarında sorulan standart kalemlerden biri, ve verdiğiniz cevap poliçenin fiyatını ve istisnalarını doğrudan etkiliyor.

Yükseltemiyorsanız ne yapılır

Bazı sistemler gerçekten yükseltilemez. O zaman risk sıfırlanmaz, ama daraltılabilir:

• Ağdan ayırın. Kendi VLAN'ına alın, internet erişimini tamamen kesin, sadece ihtiyaç duyduğu tek bir hedefle konuşmasına izin verin.
• Kimliği ayırın. Bu makineye erişen hesap, alan adı yöneticisi hesabı olmasın. Erişim bir atlama sunucusu üzerinden ve kayıt altında olsun.
• Görünürlüğü artırın. Üzerine ajan kurulamıyorsa ağ tarafından izleyin ve bu sistemin loglarını merkezi izlemeye mutlaka dahil edin.
• Yedeği ayrı tutun. Bu sistemin yedeği aynı ağdaki bir paylaşımda durmasın, değiştirilemez (immutable) bir kopya olsun. Fidye yazılımı senaryosunda ilk hedeflenen yer yedektir.
• Bitiş tarihi yazın. Telafi edici kontrol geçici bir çözümdür. Karar defterine "bu sistem şu tarihe kadar kaldırılacak, sorumlusu şu kişi" satırı düşülmezse, geçici olan kalıcı hale gelir.

Önümüzdeki 90 gün için somut plan

Bir varlık envanteri çıkarın ve her satıra üreticinin destek bitiş tarihini yazın: sunucular, istemciler, ağ cihazları, uygulamalar, veritabanları, çalışma zamanları. Tek bir tabloda toplanmadan hiçbir öncelik doğru sıralanamaz. Sonra bu tabloyu üç kritere göre sıralayın: internete açık mı, kişisel veri işliyor mu, kimlik ya da yedek altyapısının parçası mı. Her satır için tek bir karar verin (yükselt, değiştir, ESU al, izole et, kapat), yanına bir tarih ve bir isim yazın. Bütçeyi çıkarırken ESU maliyetini üç yıl için katlanarak hesaplayın ve yenileme maliyetiyle yan yana koyun. Son olarak satın alma sürecinize bir madde ekleyin: bundan sonra alınan her donanım ve yazılım için destek bitiş tarihi sözleşmede yazsın ve envantere ilk gün girsin. Bu tek alışkanlık, üç yıl sonra aynı yazıyı tekrar okumanızı engeller.

Envanteri çıkarmak, hangi sistemin gerçekten yükseltilemez olduğunu ayırmak ve ESU ile yenileme arasındaki maliyeti sayıya dökmek genelde dışarıdan bir gözle daha hızlı ilerliyor. Wedevit olarak bu işi ürün satmadan yapıyoruz: destek dışı varlıkları tespit ediyor, riske göre sıralıyor, yükseltilemeyen sistemler için telafi edici kontrolleri tasarlıyor ve geçiş planını sizin bütçe takviminize oturtuyoruz.