Hâlâ hizmette olan her Windows 10 PC'nin bu hafta şu üç şeyden birine ihtiyacı var: ücretli bir ESU lisansı, belgelenmiş bir izolasyon planı ya da birinin imzaladığı bir değiştirme tarihi. Destek 14 Ekim 2025'te sona erdi ve bu üçünden hiçbirine sahip olmayan makine, başında bir kullanıcı oturan yamasız bir endpoint'tir.
Microsoft'un sayfaları Birinci Yıl'ı iki farklı biçimde tanımlıyor. Kapsam destek sonu tarihinde başlıyor, satın alma yılı ise Kasım 2025'te başlıyor olarak anlatılıyor. Varsayımda bulunmak yerine kendi lisans kayıtlarınızı okuyun.
ESU'nun gerçekte neyi kapsadığını belirleyin
ESU, kritik ve önemli olarak derecelendirilen güvenlik güncellemelerini sunan ücretli bir yıllık aboneliktir. Yeni özellikleri, müşteri talebiyle yapılan güvenlik dışı güncellemeleri ve tasarım değişikliği taleplerini içermez. Teknik destek yalnızca lisans etkinleştirmeyi, kurulumu ve ESU'nun kendisinden kaynaklanan gerilemeleri (regression) kapsar ve etkin bir destek planı gerektirir.
Bir cihaz yalnızca Windows 10 sürüm 22H2 üzerindeyse uygundur. Microsoft'un yaşam döngüsü sayfası 21H2'nin Haziran 2023'te, 21H1'in Aralık 2022'de sona erdiğini gösteriyor; dolayısıyla bunlardan birindeki bir PC'ye önce özellik güncellemesi gerekir. LTSC sürümleri Ekim 2025'in ötesine uzanan kendi yaşam döngülerini izler, bu yüzden onları bu çalışmanın dışında tutun.
Uygunluğu ve anahtarları kontrol edin
Envanter aracınızdan LTSC olmayan her makinenin Windows 10 özellik sürümünü çekin ve 22H2'nin altındaki her şeyi güncellenene kadar uygun değil olarak işaretleyin. Ardından anahtarları kontrol edin. Microsoft 365 yönetim merkezindeki ESU Multiple Activation Key'ler destek sonu tarihine kadar kullanılamıyordu; bu nedenle orada duran bir anahtar kapsamın kanıtı değildir.
Her cihazda etkinleştirmeyi doğrulayın ve sonucu kaydedin. Microsoft'un ESU programına genel bakışı etkinleştirme adımlarını vermiyor. Ayrı bir sayfaya, "Enable Extended Security Updates (ESU)" sayfasına yönlendiriyor; ticari ortamlar için o sayfayı izleyin.
Hesabı yapın
Birinci Yıl, toplu lisanslama üzerinden cihaz başına 61 dolara mal olur. Fiyat her yıl iki katına çıkar ve en fazla üç yıl sürer; yani toplam maliyet cihaz başına 61 + 122 + 244 = 427 dolardır. Kısmi yıl satın alamazsınız ve ESU'lar kümülatiftir.
Zamanlamayı bu kümülatif kural belirler. İkinci Yıl'da ilk kez kaydedilen bir cihaz 183 dolara mal olur, çünkü Birinci Yıl da ödenmek zorundadır. Kendi yılınıza ait rakamı, bir değiştirme teklifi ile makinenin imajını hazırlama ve kullanıcıyı taşıma süresinin toplamıyla karşılaştırın.
Kapsamın da kesin bir sınırı var. Kayıtlı ticari PC'ler destek sonundan sonra en fazla üç yıl boyunca güncelleme alır; bu yüzden her "Değiştirme tarihi" son ücretli ESU yılı bitmeden önce olmalıdır.
Windows 365, Azure Virtual Desktop ve Azure sanal makinelerindeki Windows 10 sanal makineleri ESU'yu ek ücret ödemeden alır. Geride kalan makinelerden herhangi birinin oraya taşınıp taşınamayacağını kontrol edin.
ESU'nun kapsamadığı makineleri izole edin
ESU'su olmayan her PC için NCSC'nin eskimiş ürünlere ilişkin rehberini temel alın. Rehberin tutumu net: içindeki hiçbir önlem kullanıma devam etmeyi risksiz hale getirmez ve tamamen etkili tek çözüm ürünü kullanmayı bırakmaktır.
İlk adım, güvenilmeyen içeriğin makineye ulaştığı yolları kesmektir: e-posta, web tarama, dosya paylaşımları, ağ portları ve çıkarılabilir ortamlar. Bunu teknik olarak uygulayın, çünkü teknik olarak zorlanmayan kontroller işe yaramaz. PC'nin bir tarayıcıya ya da ofis uygulamalarına erişmesi gerekiyorsa, onu yamalı yazılım çalıştıran bir uzak masaüstü için thin client haline getirin ve pano paylaşımını ile dosya aktarımını devre dışı bırakın.
Üreticinin sürücüsü Windows 11'e hiç gelmediği için Windows 10'da kalmış bir CNC kontrolcü PC'sini ele alalım. Ben ona kendi bölgesini (zone) verirdim; trafiğe yalnızca makine programlarını tutan dosya sunucusuyla izin verirdim, internet ve e-postayı tamamen engellerdim, USB portlarını devre dışı bırakırdım ve dosyaları bir tarama geçidi üzerinden içeri alırdım.
Bu tür her PC'ye yönetilmeyen ve güvenilmeyen bir cihaz gibi, aynı BYOD cihazlarında olduğu gibi davranın. Bölgeler arasındaki trafik akışlarını tanımlayın ve ele geçirilmiş bir cihazdaki yazılım güvenlik duvarının hâlâ çalıştığını varsaymayın. Mümkün olduğunda eskimiş Windows istemcilerini, uzak masaüstü hizmetinden ayrı bir Active Directory forest'ında tutun.
Yeniden imaj almak, yerleşik zararlı yazılımı bir süre temizleyebilir ama kullandığı zafiyet yerinde kalır. Bunu bir çözüm olarak saymayın.
Tespit ve makinelerin çevresindeki insanlar
Antivirüs ve saldırı tespit sistemleri hâlâ bazı zararlı kodları yakalar, ancak imzaları eskimiş sistemlere yönelik saldırılar için ayarlanmamış olabilir. Onlara güvenmeyin.
Uyarı üretmeyen loglama pek bir işe yaramaz, çünkü birçok kuruluş güvenlik olaylarını kaydeder ama bunlara hiç aksiyon almaz. Eski bir makine olağandışı davrandığında birinin çağrı alacağından emin olun ve onu kimin, nasıl izole edeceği konusunda önceden anlaşın. Olay müdahale hizmetimiz bu süreci prova etmenize yardımcı olabilir, yönetilen izleme ise uyarı sürecini sizin yerinize üstlenebilir.
Üçüncü tarafları da kontrol edin. Kendi cihazlarını bağlayan tedarikçiler de desteklenmeyen Windows çalıştırıyor olabilir; bir olay yaşanmadan önce sorun ve bağlantılarını ayrı bir bölgeye alın.
Tarihli değiştirme listesini hazırlayın
NCSC'nin zafiyet yönetimi rehberi, güncelleme yapmama kararını üst düzey bir risk kararı olarak niteliyor. Her birini, süresi ve bütçesiyle birlikte risk kayıt defterinize yazın; böylece sahibi görünür olur. Yama uygulayamadığınız bir makineye yeni bir zafiyet düştüğünde önce triyaj yapın; CVSS hesaplayıcımız puanlamada yardımcı olur. Ardından her makine için bir satır olacak şekilde şu gibi bir tablo oluşturun:
| Varlık | Sahibi | Neden hâlâ Windows 10'da | ESU durumu | Uygulanan kontroller | Değiştirme tarihi | Riski kabul eden |
|---|---|---|---|---|---|---|
| (hostname) | (ad) | (uygulama, sürücü, bütçe) | (evet / hayır) | (bölge, web yok, e-posta yok) | (tarih, ESU bitmeden önce) | (ad) |
Her satırın gerçek bir tarihi ve adı belli bir onaylayanı olmalıdır. Listeyi düzenli olarak gözden geçirin, çünkü yeni tehditler ve zafiyetler cevabı değiştirebilir.
Nereden başlamalı
- Windows 10 envanterinizi dışa aktarın, LTSC cihazları filtreleyin ve 22H2 sürümünün altındaki her şeyi işaretleyin.
- ESU anahtarları için lisans kayıtlarını kontrol edin, her cihazın etkinleştirildiğini doğrulayın ve cihaz başına 427 doları (İkinci Yıl'da kaydolursanız 183 doları) değiştirme teklifinizle karşılaştırın.
- Taşıyabildiklerinizi, ESU'nun ek ücret getirmediği Windows 365'e ya da Azure'da barındırılan Windows 10 sanal makinelerine taşıyın.
- Geri kalanlar için e-postayı, web taramayı, dosya paylaşımlarını, çıkarılabilir ortamları ve gereksiz portları engelleyin ve bu makineleri ayrı bir bölgeye yerleştirin.
- Bu bölge için yalnızca loglamayı değil, uyarıyı da açın; bir olayı kimin, nasıl kontrol altına alacağını yazılı hale getirin.
- Değiştirme tablosunu sahipleri ve ücretli ESU süresi içinde kalan tarihlerle doldurun ve üst düzey bir yöneticiye risk kabulünü imzalatın.
