CVE nedir? Zafiyet bildirimleri nasıl okunur, ne zaman acil?
CVE numarası, CVSS puanı, "aktif istismar" ne demek? Bir güvenlik açığı haberini gördüğünüzde sitenizi etkileyip etkilemediğini ve ne kadar acele etmeniz gerektiğini anlamanın yolu.
CVE (Common Vulnerabilities and Exposures), yazılımlarda bulunan güvenlik açıklarına verilen tekil kimlik numarasıdır; CVE-2026-12345 gibi. Aynı açıktan bahseden haberler, üretici duyuruları ve güvenlik araçları bu numarayla birbirini bulur. Bir açığın sizi ne kadar ilgilendirdiğini anlamak için numaranın yanındaki üç bilgiye bakmak yeter.
1. Etkilenen ürün ve sürüm
İlk soru: bu yazılımı kullanıyor muyum, kullanıyorsam hangi sürümünü? Bildirimlerde "X sürümünden önceki tüm sürümler" ya da "A ile B arası" diye yazar. Siteniz WordPress ise eklentilerinizin listesini, sunucunuz varsa üzerindeki yazılımları (web sunucusu, PHP, veritabanı, yönetim paneli) bilmeniz gerekir.
2. CVSS puanı
CVSS, açığın ciddiyetini 0–10 arasında puanlar. Kabaca:
- 9.0–10: Kritik. Çoğu zaman giriş yapmadan, uzaktan sistemi ele geçirmeye izin verir.
- 7.0–8.9: Yüksek.
- 4.0–6.9: Orta.
- 0.1–3.9: Düşük.
Puan tek başına yetmez; "kimlik doğrulama gerekmez" ve "internetten erişilebilir" ifadelerini görüyorsanız puanı bir basamak yukarı okuyun.
3. Aktif olarak istismar ediliyor mu?
En önemli bilgi bu. Puanı orta olan ama saldırganların şu anda kullandığı bir açık, puanı yüksek ama kimsenin kullanmadığı bir açıktan daha acildir. ABD'nin siber güvenlik ajansı CISA, saldırılarda kullanıldığı doğrulanan açıkları "Known Exploited Vulnerabilities" kataloğunda yayınlar. Haberler sayfamızdaki "aktif istismar edilen zafiyetler" listesi bu katalogdan her saat güncellenir.
Ne kadar acele etmeli?
- Aktif istismar + sizin sürümünüz: aynı gün güncelleyin; güncelleme yoksa üreticinin önerdiği geçici önlemi uygulayın ya da ilgili özelliği kapatın.
- Kritik ama henüz istismar yok: birkaç gün içinde.
- Orta ve düşük: bir sonraki düzenli bakımda.
Güncelleme yoksa?
Bazen açık duyurulur ama düzeltme henüz yayınlanmamıştır. Bu durumda etkilenen eklentiyi geçici olarak devre dışı bırakmak, ilgili sayfayı erişime kapatmak ya da bir web uygulama güvenlik duvarıyla o isteği engellemek gerekir.
Kullandığınız yazılımların listesi yoksa önce o listeyi çıkarın. Hangi açığın sizi ilgilendirdiğini bilmenin başka yolu yok.
Listeyi çıkarmak ve takibi bizim yapmamızı isterseniz web güvenliği sayfasına bakabilirsiniz.