İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

CVE Nedir?

Yayın: · Son güncelleme:

CVE Nedir? Kısaca

CVE (Common Vulnerabilities and Exposures), kamuya açıklanmış siber güvenlik açıklarına benzersiz bir kimlik numarası veren uluslararası bir listedir. Her açık CVE-yıl-sıra numarası biçiminde kodlanır.

CVE nedir?
İçindekiler
  1. CVE nedir?
  2. CVE numarası nasıl okunur?
  3. CVE ile CVSS arasındaki ilişki
  4. Pratikte ne işe yarar?

CVE nedir?

CVE, güvenlik açıkları için ortak bir isim sistemidir. Bir açık keşfedilip duyurulduğunda ona bir numara verilir. Böylece dünyanın farklı yerlerindeki üreticiler, güvenlik firmaları ve sistem yöneticileri aynı açıktan söz ettiklerinden emin olur.

Liste, ABD'deki MITRE kuruluşunun koordinasyonunda yürütülür. Numaraları ise yetkilendirilmiş birçok yazılım üreticisi ve güvenlik kuruluşu dağıtabilir.

CVE numarası nasıl okunur?

Bir CVE kodu üç parçadan oluşur: "CVE" öneki, numaranın ayrıldığı yıl ve sıra numarası. Örneğin varsayımsal "CVE-2026-12345" kodu, 2026 yılında ayrılmış 12345 sıra numaralı açık anlamına gelir. Yıl, açığın keşfedildiği değil, numaranın ayrıldığı yılı gösterir.

Her CVE kaydında açığın kısa bir açıklaması ve kaynak bağlantıları bulunur. Ayrıntılı teknik bilgi ve ciddiyet puanı genellikle NIST'in yürüttüğü Ulusal Zafiyet Veritabanı (NVD) gibi kaynaklarda yer alır.

CVE ile CVSS arasındaki ilişki

CVE açığa bir isim verir, CVSS ise o açığın ne kadar tehlikeli olduğunu 0 ile 10 arasında puanlar. İkisi birlikte okunduğunda hangi açığın önce kapatılması gerektiği anlaşılır.

Pratikte ne işe yarar?

Bir sistem yöneticisi, kullandığı yazılımın güvenlik bülteninde bir CVE numarası gördüğünde o açığın kendi sistemini etkileyip etkilemediğini hızla araştırabilir. Siz de bir güncelleme notunda CVE numaraları görüyorsanız, bu güncellemenin güvenlik açıklarını kapattığını ve ertelenmemesi gerektiğini anlayabilirsiniz.

Sıkça Sorulan Sorular

CVE ne demek, açılımı nedir?

CVE, Common Vulnerabilities and Exposures ifadesinin kısaltmasıdır. Türkçede ortak güvenlik açıkları ve maruziyetler listesi olarak anlatılabilir.

Her güvenlik açığının CVE numarası olur mu?

Hayır. CVE yalnız kamuya açıklanan ve kayda geçirilen açıklara verilir. Henüz duyurulmamış ya da bir şirketin kendi iç sistemine özel açıklar genellikle CVE almaz.

İlgili terimler

CVSSCVSS (Common Vulnerability Scoring System), güvenlik açıklarının ne kadar ciddi olduğunu 0 ile 10 arasında bir puanla ifade eden açık ve ortak bir derecelendirme sistemidir.Güvenlik Açığı(Security Vulnerability)Güvenlik açığı (zafiyet), bir yazılımda, donanımda, ağ yapılandırmasında ya da iş sürecinde bulunan ve saldırganın izinsiz erişim veya zarar için kullanabileceği zayıf noktadır.Zafiyet Yönetimi(Vulnerability Management)Zafiyet yönetimi, bir kurumdaki güvenlik açıklarının sürekli olarak tespit edildiği, risk düzeyine göre önceliklendirildiği, giderildiği ve giderildiğinin doğrulandığı döngüsel güvenlik sürecidir.Güvenlik Yaması(Security Patch)Güvenlik yaması, bir yazılımda, işletim sisteminde ya da cihaz yazılımında bulunan güvenlik açığını kapatmak için üreticinin yayımladığı kod düzeltmesidir. Genellikle güncelleme yoluyla yüklenir.Liste(List)Liste (list), programlamada birden fazla değeri sıralı tutan, eleman eklenip çıkarılabilen ve değiştirilebilen veri yapısıdır. Python'da köşeli parantezle yazılır: `meyveler = ["elma", "armut"]`.Yazılım(Software)Yazılım, bir bilgisayarın ya da akıllı cihazın ne yapacağını adım adım tarif eden programların, verilerin ve talimatların bütünüdür. Donanım fiziksel parçaları, yazılım ise bu parçaları çalıştıran mantığı ifade eder.Veritabanı(Database)Veritabanı, verilerin düzenli, aranabilir ve güncellenebilir biçimde saklandığı elektronik kayıt sistemidir. Müşteri listeleri, siparişler ve ürün bilgileri gibi veriler veritabanlarında tutulur.