CVSS Nedir, CVE Ne Demek? Açık Puanı Nasıl Okunur?

CVSS nedir sorusunun en kısa cevabı şu: bir açığın ne kadar ciddi olduğunu anlatan puan. CVE kimliği hangi açıktan söz edildiğini söyler, CVSS ise o açığın teknik şiddetini 0.0 ile 10.0 arasında bir sayıyla verir. Bu yazıda puanı ve vektör dizisini okumayı, sonra yama önceliği belirlerken puanın neden tek başına yetmediğini göreceksin.

CVE kimliği ne anlatır?

CVE, kamuya açıklanmış bir güvenlik açığına verilen ortak kimliktir. Biçimi CVE-YYYY-NNNN şeklindedir: önek, dört haneli yıl ve en az dört haneli bir sıra numarası. Kimlik şiddet bilgisi taşımaz. Yalnız herkesin aynı açıktan söz ettiğini garanti eder. Yıl kısmı açığın keşfedildiği yılı göstermek zorunda değildir. Tarihleri kaydın kendisinden oku.

CVE Programını 1999'da MITRE başlattı. Programın destekçisi ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA). Kimlikleri CVE Numaralandırma Otoritesi (CNA) adı verilen yetkili kurumlar atar. CNA listesinde Türkiye'den TR-CERT ve birkaç yerli üretici de bulunuyor.

NVD ise ayrı bir programdır. NIST onu 2005'te kurdu. NVD, CVE kayıtlarını etkilenen sürüm, puan ve bağlantılarla zenginleştirir. Bir duyuruda CVE kimliği gördüğünde sıra şöyle:

1. Kimliği CVE kaydında ve üreticinin güvenlik duyurusunda ara.
2. Etkilenen ürün ve sürümleri kendi kullandığınla karşılaştır.
3. Puanı ve vektör dizisini oku.
4. Yamayı ya da geçici önlemi bul.

Henüz yaması olmayan bir açık da CVE alabilir. Bu durumun nasıl yönetildiğini sıfırıncı gün açığı yazısında anlattık.

CVSS nedir ve puan neyi ölçer?

CVSS'i FIRST yönetir. Güncel sürüm CVSS 4.0, Kasım 2023'te yayımlandı. Puan dört metrik grubundan beslenir:

CVSS 4.0 hangi grupların kullanıldığını adla söylemeni ister. CVSS-B yalnız temel puandır. CVSS-BT tehdit, CVSS-BE ortam metriklerini de içerir. CVSS-BTE üçünü birden kullanır. Üreticiler çoğu zaman yalnız CVSS-B yayımlar.

Puan sonunda bir şiddet bandına çevrilir. Bantlar CVSS 3.x ile 4.0'da aynıdır:

CVSS vektör dizisi nasıl okunur?

Puanın arkasındaki varsayımlar vektör dizisinde yazar. FIRST'ün belgesindeki örnek şu:

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Bu örnek ağdan erişilebilen ama yönetici yetkisi isteyen, etkisi sınırlı bir açığı anlatır. AV:N görünce "internetten erişilebiliyor mu?" diye sorarsın. PR:H görünce saldırganın önce yetkili bir hesaba ulaşması gerektiğini anlarsın. Yetki kazanmanın nasıl işlediğini yetki yükseltme yazısında okuyabilirsin.

Dizinin başındaki sürüm önemlidir. CVSS 4.0 kapsam metriğini kaldırdı ve etkiyi açıklı sistem ile sonraki sistemler olarak ikiye ayırdı. Tehdit grubunun eski adı "temporal" idi. Bu yüzden aynı açık 3.1 ve 4.0'da farklı puan alabilir.

CVSS skoru neden tek başına yetmez?

FIRST'ün kullanım kılavuzu açık konuşuyor: temel puan açığın şiddetini ölçer ve riski değerlendirmek için tek başına kullanılmamalıdır. Tehdit ve ortam metriklerini uygulamak puanı kullanan kurumun sorumluluğundadır.

Puanın bilmediği şeyler:

• Ürün senin ağında var mı, internete açık mı?
• Açık şu anda gerçekten sömürülüyor mu?
• Önünde bir güvenlik duvarı, bölütleme ya da ek doğrulama var mı?
• Açık başka bir açıkla zincirlenebilir mi?

Bir değişikliği de bilmen gerekir. NIST, Nisan 2026'da NVD'de önceliklendirmeye geçtiğini duyurdu. Öncelik CISA'nın listesindeki, ABD federal kurumlarında kullanılan ve "kritik yazılım" sayılan ürünlerin açıklarına veriliyor. CNA kendi puanını verdiyse NVD artık rutin olarak ayrı puan eklemiyor. 1 Mart 2026'dan önce yayımlanıp bekleyen kayıtlar "Not Scheduled" olarak işaretlendi. Sonuç olarak bir kayıtta NVD puanı görmeyebilirsin. Bu durumda CNA'nın verdiği puana ve üreticinin duyurusuna bak.

CVSS puanını kendi ortamına nasıl uyarlarsın?

Ortam grubu tam olarak bu iş için var. İki tür ayar yaparsın:

• Güvenlik gereksinimleri: Sistemin senin için gizlilik, bütünlük ve erişilebilirlik açısından ne kadar önemli olduğu. Müşteri verisi tutan bir veritabanında gizlilik gereksinimi yüksektir. Bir test sunucusunda düşüktür.
• Değiştirilmiş temel metrikler: Ortamındaki önlemlerin etkisi. Panel yalnız VPN arkasından erişiliyorsa saldırı vektörünü ağ yerine bitişik ağ olarak değerlendirebilirsin.

FIRST'ün sitesindeki hesaplayıcıya üreticinin vektörünü girip bu alanları doldurursun. Ortaya çıkan CVSS-BE puanı, aynı açığın senin ağındaki karşılığıdır. Ayarları neden yaptığını not et. Altı ay sonra biri puanın neden düştüğünü sorduğunda gerekçe hazır olur.

Ev kullanıcısıysan hesaplayıcıya gerek yok. Modem, telefon ve tarayıcı güncellemelerini ertelemeden kur, otomatik güncellemeyi açık tut. Puanlarla uğraşmak kurumların işidir, güncellemeyi kurmak herkesin.

KEV ve EPSS yama önceliğine nasıl katkı verir?

CVSS "ne kadar ciddi olabilir" sorusunu cevaplar. İki kaynak daha "gerçekte ne oluyor" sorusunu cevaplar:

CISA, kurumların KEV kataloğunu açık yönetimi önceliklendirmesinde bir girdi olarak kullanmasını öneriyor. Orta puanlı ama KEV'de olan bir açık, Yüksek puanlı ama hiç sömürülmemiş bir açıktan önce kapatılabilir. Listede olmamak ise güvenli olmak demek değildir.

Bir CVE duyurusunu adım adım nasıl değerlendirirsin?

Diyelim ki kullandığın bir web yönetim panelinde 8.8 puanlı bir açık duyuruldu. Şu soruları sırayla sor:

1. Etkilenen sürüm bende var mı? Yoksa kaydı kapat, notunu düş.
2. Vektör ne diyor? AV:N ise ağdan erişim yeter. AV:L ya da AV:P ise yerel ya da fiziksel erişim gerekir.
3. Panel internete açık mı? Yalnız iç ağdan erişiliyorsa risk düşer, ama sıfırlanmaz.
4. KEV'de mi, EPSS yüksek mi? Evetse işi öne al.
5. Yama var mı? Yoksa üreticinin geçici önlemini uygula ve erişimi kısıtla.
6. Kayıt tut. Ürün, sürüm, puan, karar ve uygulama tarihi.

Açık zaten kullanılmışsa iş yama işinden olay müdahalesine döner. Süreci olay müdahalesi ve NIST 800-61 yazısında bulabilirsin. Bağımlılık taramasında çıkan kritik bir paketi önceliklendirmeyi saha görevlerinde deneyebilirsin. Kendi bulduğun bir açığa puan verirken vektörü raporda nasıl gerekçelendireceğini bug bounty raporu yazısı anlatıyor.

Kaynaklar

• FIRST: CVSS v4.0 Specification Document
• FIRST: CVSS v4.0 User Guide
• CVE Program: Sık sorulan sorular
• NIST: NVD işleyişindeki önceliklendirme değişikliği (Nisan 2026)
• CISA: Known Exploited Vulnerabilities Catalog