Hakkında ve yöntem
Her gün yüzlerce yeni güvenlik açığı yayımlanıyor. Hepsini okumaya kimsenin vakti yok. Zafiyet.live bu listeyi sizin için süzüyor: resmi kaynaklardan gelen kayıtları topluyor, hangilerinin saldırılarda kullanıldığını işaretliyor ve her açık için ne yapmanız gerektiğini Türkçe yazıyor.
Veriler nereden geliyor?
- CVE Programı (cvelistV5): Resmi CVE kayıtları. Açıklama, etkilenen sürümler ve üreticinin çözüm notu buradan geliyor. Her 10 dakikada bir kontrol ediyoruz.
- CISA KEV: ABD Siber Güvenlik Ajansı'nın, gerçek saldırılarda kullanıldığını doğruladığı açıkların listesi.
- FIRST EPSS: Bir açığın önümüzdeki 30 gün içinde istismar edilme ihtimaline dair günlük tahmin.
- NVD: ABD Ulusal Açık Veritabanı'ndaki ürün eşleştirmeleri ve puanlar.
Aynı açık birden fazla kaynakta geçse de sitede tek kayıt olarak görünür. Açıklama ve etkilenen sürümler için üreticinin kaydını, saldırı bilgisi için CISA'yı esas alıyoruz.
Sıralama nasıl yapılıyor?
CVSS puanı tek başına yanıltıcı olabilir. 9,8 puanlı bir açık hiç kullanılmayabilir; 6,5 puanlı bir açık ise bugün saldırıda olabilir. Bu yüzden öncelik puanını (0–100) birkaç bilgiyi birlikte değerlendirerek hesaplıyoruz:
| CVSS puanı × 4 | en fazla 40 (puan yoksa 12) |
| CISA KEV listesinde | +35 |
| Fidye yazılımı saldırılarında kullanılmış | +5 |
| EPSS ihtimali × 40 | en fazla 20 |
| CISA SSVC: istismar edildiği bildirildi (KEV'de değilse) | +20 |
| CISA SSVC: çalışan bir saldırı örneği var | +8 |
| CISA SSVC: saldırı otomatikleştirilebilir | +4 |
| CISA SSVC: sistemin tamamı ele geçirilebilir | +3 |
Türkçe metinler nasıl yazılıyor?
Başlık, özet, çözüm adımları ve öneriler, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazılıyor. Yayına almadan önce her metni otomatik kontrollerden geçiriyoruz: kaynakta geçmeyen bir sürüm numarası ya da komut içeren adımlar atılıyor, bağlantılar siliniyor. Her adımın yanında nereden geldiği yazıyor (üretici, CISA ya da genel öneri). Kaynağın kendi metni de her sayfada duruyor.
Yine de hata olabilir. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.
"Etkileniyor muyum?" kontrolü
Yazdığınız sürüm, tarayıcınızda kayıttaki sürüm aralıklarıyla karşılaştırılır; bize gönderilmez. Linux dağıtımları yamayı eski sürüm numarasını koruyarak uygulayabildiği için, paketi dağıtımın deposundan kurduysanız dağıtımın kendi güvenlik duyurusuna bakın.
İletişim
Bir hata gördüyseniz ya da öneriniz varsa yazın: iletisim@zafiyet.live