CVE Nedir ve CVSS 10.0 Skoru Ne Anlama Gelir? Yazılımcılar İçin Siber Güvenlik Metrikleri Rehberi

GitHub'da bir projeyi açtığında karşısına çıkan sarı Dependabot uyarılarında, terminalde çalıştırdığın npm audit çıktılarında veya teknoloji haberlerinde sürekli iki kavram görürsün: CVE-2026-XXXX gibi bir kod ve yanında CVSS: 9.8 (Critical) gibi bir puan.

Peki bu numaraları kim veriyor, neye göre hesaplanıyor ve bir açığın 10 üzerinden 10.0 alması sunucun için tam olarak ne anlama geliyor?

1. CVE (Common Vulnerabilities and Exposures) Nedir?

1999 yılında kar amacı gütmeyen araştırma kuruluşu MITRE tarafından başlatılan CVE, dünyadaki tüm bilinen siber güvenlik açıklarının evrensel kimlik numarası sistemidir.

CVE sistemi kurulmadan önce, örneğin Linux çekirdeğinde veya PHP'de bir açık bulunduğunda her güvenlik şirketi o açığa kendi kafasına göre farklı bir isim veriyordu. Sistem yöneticileri hangi yamanın hangi açığı kapattığını takip edemiyordu.

Bugün ise doğrulanmış her güvenlik açığına dünya çapında tek bir kimlik verilir: CVE-YIL-NUMARA (Örn: CVE-2026-110264).

• YIL: Açığın kayıt altına alındığı veya açıklandığı yılı gösterir.
• NUMARA: GitHub, Google, Microsoft, Red Hat gibi yetkili kurumlar (CNA - CVE Numbering Authority) tarafından atanan benzersiz sıra numarasıdır.

2. CVSS (Common Vulnerability Scoring System) Puanı Nasıl Hesaplanır?

CVE açığın kimlik numarasıysa, CVSS de o açığın tehlike derecesini 0.0 ile 10.0 arasında ölçen matematiksel standarttır:

3. Bir Açık Ne Zaman 9.8 veya 10.0 Alır? (5 Kabus Şartı)

Bir güvenlik açığına 9.8 veya 10.0 puanı kimsenin kişisel yorumuyla verilmez; CVSS Vektör Dizisi adı verilen katı bir formülle hesaplanır:

CVSS:3.1 / AV:N / AC:L / PR:N / UI:N / S:C / C:H / I:H / A:H  ➔  Skor: 10.0 (CRITICAL)

Bir zafiyetin 9.8 veya 10.0 alabilmesi için şu 5 korkutucu şartın aynı anda gerçekleşmesi gerekir:

1. Attack Vector = Network (AV:N): Saldırganın sunucuya fiziksel erişimine veya aynı Wi-Fi ağında olmasına gerek yoktur; doğrudan açık internet üzerinden vurulabilir.
2. Attack Complexity = Low (AC:L): Saldırıyı gerçekleştirmek için karmaşık zamanlama yarışlarına (race condition) gerek yoktur; gönderilen tek bir paket her seferinde çalışır.
3. Privileges Required = None (PR:N): Saldırganın sistemde üye olmasına, giriş yapmasına veya bir API anahtarına sahip olmasına gerek yoktur (Unauthenticated).
4. User Interaction = None (UI:N): Sistem yöneticisinin sahte bir linke tıklamasına veya bir dosya indirmesine gerek yoktur; saldırgan doğrudan sunucuya istek atar.
5. Impact = High (C:H / I:H / A:H) & Scope Change (S:C): Saldırgan tüm veritabanını okuyabilir (Confidentiality), dosyaları değiştirebilir (Integrity), sunucuyu kapatabilir (Availability) ve hatta zafiyetli bileşenin dışına çıkıp (Scope Change) ana işletim sistemini ele geçirebilir!

İlgili Kısa Video & Yazılarımız

• 🎬 YouTube Shorts: CVE Nedir ve 10.0 Skoru Ne Anlama Gelir?
• 🚨 Backend'de Kırmızı Alarm: PHP, Node.js ve Java Kritik CVE Analizi