CVE Nedir? Güvenlik Açıklarını Takip Etmenin Temelleri

CVE (Common Vulnerabilities and Exposures), bilgisayar yazılımlarındaki güvenlik açıklarının ortak bir dil ile tanımlanması ve kayıt altına alınması için kullanılan bir veritabanı ve numaralandırma sistemidir. Temelde, dünyadaki her önemli güvenlik açığına benzersiz bir kimlik numarası verilir.

Sistem 1999'da kurulmuş olup, günümüzde MITRE Corporation tarafından yönetilmektedir. Bir açık CVE kodunu aldığında (örneğin CVE-2024-1234 formatında), güvenlik araştırmacıları, yazılım geliştirici firmalar ve sistem yöneticileri aynı açığı aynı kod üzerinden takip edebilirler. Bu standardizasyon, iletişimi basitleştirir ve karmaşayı önler.

CVE'nin yapısı basittir: CVE-YYYY-XXXXX formatında yazılır. YYYY yılı, XXXXX ise o yıl içinde atanan sıra numarasını gösterir. Örneğin CVE-2024-12345, 2024 yılında keşfedilen 12345. açığı ifade eder.

Bir açığın CVE kodu alabilmesi için belirli koşulları sağlaması gerekir: Bağımsız olarak bildirilmiş olması, etkilediği yazılım veya sistem açıkça tanımlanmış olması ve güvenlik camiası tarafından doğrulanmış olması. Bazı açıklar NVD (National Vulnerability Database) gibi resmi veritabanlarında CVSS puanı (0-10 arası ciddiyet skoru) ile de değerlendirilir.

Siber güvenlik profesyonelleri, sistem yöneticileri ve yazılım geliştirici takımları CVE numaralarını kullanarak açıkları hızlı biçimde tespit eder, etkilenen sistemleri belirler ve yamalar (patch) uygularlar. Bir yazılımda kritik bir CVE açığı bulunduğunda, genellikle güvenlik uyarısı yayınlanır ve güncelleme sunulur.

CVE'yi takip etmek için NVD (nvd.nist.gov), CVE Mitre sitesi (cve.mitre.org) veya sektöre özgü güvenlik haberleri kaynakları kullanılabilir. Kuruluşlar, kendi yazılım envanterlerine ait açıkları düzenli olarak kontrol etmelidir. Otomatik tarama araçları (Nessus, OpenVAS gibi) da CVE veritabanına bağlı olarak sistemlerdeki bilinen açıkları tespit edebilir.