CVE puanlaması ve CVE güvenliği, modern yazılım uygulamalarını ortaya çıkan siber tehditlerden korumak için çok önemlidir. Güvenlik açıklarını etkili bir şekilde belirlemek ve önceliklendirmek, kuruluşların en kritik riskleri önce ele almalarını sağlar. CVE puanlaması, bu konuda bir çözüm sunar. standardBu, güvenlik açıklarını ciddiyet derecesine göre sıralamanın standartlaştırılmış bir yoludur; CVE güvenlik uygulamaları ise bu risklerin doğru şekilde yönetilmesini ve azaltılmasını sağlar.
2025 olarak, 48,185 adet CVE yayınlandı. 2024'teki 39,962'ye kıyasla %20.6'lık bir artış ve %38'i Yüksek veya Kritik önem derecesinde değerlendirildi. Hacim bu kadar hızlı artarken, güçlü bir CVE puanlama ve güvenlik stratejisine sahip olmak artık isteğe bağlı değil; bir zorunluluktur.
Daha büyük sorun sadece hacim değil, geleneksel analiz yöntemlerinin bu hıza ayak uyduramamasıdır. NIST'in NVD sistemi 2025 yılında yaklaşık 42,000 CVE'yi zenginleştirdi; bu, önceki yıllara göre %45 daha fazla, ancak yine de artan başvurulara yetişmek için yeterli olmadı. Bunun doğrudan bir sonucu olarak, 2025 yılında yeni açıklanan CVE'lerin yalnızca %28'i tam NVD zenginleştirmesi (CVSS puanı, CWE sınıflandırması, CPE verileri) aldı; bu oran 2024'teki %46.2'den önemli ölçüde düştü. Bu rakamlar, kuruluşların yalnızca zamanında gelen NVD verilerine güvenmek yerine, kendi CVE güvenlik önlemlerini uygulamaya koymalarının giderek artan aciliyetini vurgulamaktadır.
CVE Puanlaması Nedir ve CVE Güvenliği İçin Neden Önemlidir?
CVE, Ortak Güvenlik Açıkları ve Maruz Kalmalar anlamına gelir ve kamuya açık olarak bildirilen siber güvenlik açıkları ve risklerinin bir listesidir. CVE listesindeki her giriş, belirli bir güvenlik açığına atıfta bulunan CVE Kimliği adı verilen benzersiz bir tanımlayıcıya sahiptir. Bu sistem MITRE Corporation tarafından yönetilmektedir. standardGüvenlik açıklarının nasıl tanımlandığı ve kataloglandığı konusunda bir standart belirler. Bu, siber güvenlik alanındaki herkesin belirli tehditleri tartışırken aynı referansı kullanmasını sağlar.
CVE puanlaması, her bir CVE girdisinin değerlendirilmesini ve ciddiyetine bağlı olarak sayısal bir puan atanmasını içerir. Bu puan, kuruluşların güvenlik açığını giderme öncelik düzeyini belirlemelerine yardımcı olur.
Bu, kaynakları etkin bir şekilde tahsis etmelerine ve potansiyel riskleri azaltmalarına olanak tanır. CVE puanlama sistemi, istismar kolaylığı gibi faktörleri değerlendirir. Ayrıca gizlilik, bütünlük ve erişilebilirlik üzerindeki etkiyi (genellikle "CIA üçlüsü" olarak adlandırılır) de dikkate alır. Ek olarak, düzeltme potansiyelini de değerlendirir.
NVD, MITRE CVE Listesi ve CVE Puanlama Sistemi Nasıl Birlikte Çalışır?
Ulusal Güvenlik Açığı Veritabanı (NVD) ile MITRE ListesiCVE güvenliği, siber güvenlik ekosisteminde güvenlik açıklarının nasıl yönetildiğini anlamak için çok önemlidir.
MITRE CVE Listesi, öncelikle güvenlik açıklarını belirleyip bunlara bir CVE kimliği atayarak başlar. Ancak bu liste, her güvenlik açığı hakkında yalnızca temel bilgiler sağlar. NVD, tarafından işletilen bir kuruluştur. Ulusal Enstitüsü StandardBilim ve Teknoloji (NIST)Bu verileri, ayrıntılı açıklamalar, referanslar ve en önemlisi, CVE puanlaması sağlayarak zenginleştirir. Ortak Güvenlik Açığı Puanlama Sistemi (CVSS).
NVD, bir veri deposu görevi gördüğü için önemli bir kaynaktır. standardCVSS tabanlı güvenlik açığı verileri, kuruluşların bir güvenlik açığının etkisini daha kapsamlı bir şekilde anlamalarına yardımcı olur. NVD, yalnızca CVSS puanlarını değil, aynı zamanda aşağıdaki gibi ayrıntılı bilgileri de içerir:
- Ayrıntılı açıklamalar Her bir güvenlik açığına ilişkin teknik detaylar ve güvenlik açığının istismar edilebileceği bağlam da dahil olmak üzere ayrıntılı bilgi.
- Etki ölçütleri Bu, söz konusu güvenlik açığının bir kuruluşun sisteminin farklı bölümlerini nasıl etkileyebileceğini göstermektedir.
- İyileştirme bilgileri Yama bağlantıları, uyarılar ve çözüm önerileri gibi.
Kapsamlı yapısı nedeniyle, NVD (Güvenlik Açığı Tanıma), kuruluşların bir güvenlik açığının gerçek dünyadaki etkisini değerlendirmeleri ve bunu etkili bir şekilde nasıl ele alacaklarını anlamaları gerektiğinde başvuracakları temel kaynaktır.
CVSS: Siber Güvenlikte En Yaygın CVE Puanlama Sistemi
CVE puanlaması için en yaygın kullanılan yöntem şudur: Ortak Güvenlik Açığı Puanlama Sistemi (CVSS)Olay Müdahale ve Güvenlik Ekipleri Forumu (FIRST) tarafından sürdürülen ve geliştirilen CVSS, bir standardGüvenlik açıklarının ciddiyetini ölçmenin yeni bir yolu olup, kuruluşların hangilerine öncelik vermeleri gerektiğini belirlemelerini kolaylaştırır.
Özellikle, CVSS güvenlik açıklarını 0 ile 10 arasında bir ölçekte puanlandırır. Burada 0 riskin olmadığını, 10 ise en yüksek ciddiyet seviyesini temsil eder. Dahası, puanlama dört ana ölçüt grubuna dayanmaktadır:
Baz Puanı:
Bu, zaman içinde ve farklı kullanıcı ortamlarında sabit kalan bir güvenlik açığının içsel özelliklerini yansıtır. Temel puan, istismar edilebilirlik gibi faktörleri dikkate alır. Bu, güvenlik açığının istismar edilmesinin ne kadar kolay olduğunu ifade eder. Ayrıca gizlilik, bütünlük ve kullanılabilirlik üzerindeki etkisini de değerlendirir.
Zamansal Skor:
Bu, zaman içinde değişen faktörlere (örneğin, bir düzeltmenin mevcut olup olmaması veya bir güvenlik açığının aktif olarak kullanılıp kullanılmaması gibi) bağlı olarak temel puanı ayarlar. Zamansal ölçümler arasında güvenlik açığı kodunun olgunluğu, iyileştirme düzeyi ve rapor güvenilirliği yer alır.
Çevre Puanı:
Bu, kuruluşların CVSS puanını kendi özel ortamlarındaki güvenlik açığının etkisini yansıtacak şekilde özelleştirmelerine olanak tanır. Etkilenen sistemin önemi ve potansiyel ikincil hasar gibi faktörleri dikkate alır.
Ek Metrik Grubu:
CVSS v4.0'da tanıtılan bu özellik, genel risk değerlendirmesini etkileyebilecek ek bağlam sağlar. Bu, güvenlik gereksinimleri, otomatikleştirilebilir metrikler (otomasyonun kullanım üzerindeki etkisini ölçen) ve diğer metrik gruplarına uymayabilecek benzersiz özellikler gibi hususları içerir. Genel CVSS puanı bu metrikleri içermese de, değerli bilgiler sunarlar. Sonuç olarak, kuruluşların daha bilinçli kararlar almasına yardımcı olurlar.cisGüvenlik açıklarının yönetimiyle ilgili düşünceler.
Son sürüm, CVSS v4.0, CVSS v4.0, güvenlik açığı puanlamasının doğruluğunu ve kullanılabilirliğini artırmak için bu geliştirmeleri sunmaktadır. Metrikleri iyileştirerek, CVSS v4.0 güvenlik açıklarının karmaşıklığını ve bağlamını daha etkili bir şekilde yakalar. Bu, puanların daha önceden tahmin edilebilir olmasını sağlar.cisGerçek riskin yansıması.
Gerçek Dünya Örneği: CVE-2021-44228 (Log4Shell)
CVE puanlamasının pratikte nasıl çalıştığını göstermek için, yaygın olarak Log4Shell olarak bilinen CVE-2021-44228'e bakalım. Apache Log4j 2 kütüphanesi güvenlik açığı Uzaktan kod yürütülmesine (RCE) olanak tanır. Sonuç olarak, bir saldırgan etkilenen sistemin kontrolünü ele geçirebilir.
- CVE Kimliği: CVE-2021-44228
- CVSS Temel Puanı: 10.0 (Kritik)
- Saldırı Vektörü: Ağ (N) – Uzaktan istismar edilebilir.
- Saldırı Karmaşıklığı: Düşük (L) – İstismar edilmesi kolay.
- Gerekli Ayrıcalıklar: Hiçbiri (N) – Herhangi bir ayrıcalığa ihtiyaç duyulmaz.
- Kullanıcı etkileşimi: Yok (N) – Kullanıcı etkileşimi gerekmez.
- Dürbün: Değiştirildi (C) – Orijinal kapsamının ötesindeki kaynakları etkiler.
- Gizlilik, Bütünlük, Erişilebilirlik Etkisi: Yüksek (H) – Gizlilik, bütünlük ve erişilebilirliğin tamamen tehlikeye atılması.
NVD, en yüksek ciddiyet seviyesini gösteren 10.0'lık bir CVSS puanı verdi. Bu güvenlik açığının yaygınlığı ve kolayca istismar edilebilmesi, onu dünya çapında düzeltilmesi gereken en önemli önceliklerden biri haline getirdi.
CVE Puanlamasındaki Zorluklar ve Bunların CVE Güvenliğine Etkisi
Meşruiyet inancının dayandığı bu Genel Güvenlik Açıkları ve Etkilenmeler (CVE) sistem bir standardGüvenlik açıklarını belirleme ve izleme konusunda kullanılan bu yöntem, risk yönetiminde etkinliğini etkileyen çeşitli sınırlamalara sahiptir.
CVE-2021-44228 (Log4Shell) Bu zorlukları şu şekilde göstermektedir:
- Sömürüye İlişkin Sınırlı Detaylar: CVE-2021-44228 Benzersiz bir tanımlayıcı sağlar ancak saldırganların bunu nasıl istismar edebileceğine dair kapsamlı ayrıntılar içermez. Uzmanlar bunu kritik olarak değerlendirse de, CVE kaydı saldırganların kullandığı kesin yöntemleri veya güvenlik açığını artıran belirli yapılandırmaları tam olarak açıklamamaktadır. Bu boşluk, kuruluşları gerçek dünyadaki risk konusunda belirsiz bırakmaktadır.
- Raporlamada Değişkenlik: CVE Kayıtların içeriği ve kalitesi büyük farklılıklar göstermektedir. Bazıları, örneğin CVE-2021-44228Bazı güvenlik açıkları ayrıntılı açıklamalar ve teknik bilgiler sunarken, diğerleri kısa veya eksik kalmaktadır. Bu tutarsızlık, kuruluşların bir güvenlik açığının riskini yalnızca CVE girdisine dayanarak değerlendirmeye çalıştıklarında zorluklar yaratmaktadır.
- Bağlamsal İlgi Eksikliği: CVE girişler şunu kullanır: standardFarklı ortamların özel bağlamını yansıtmayabilecek, düzenlenmiş bir format. Örneğin, CVE-2021-44228 Bu durum, bir şirketin altyapısına bağlı olarak sistemleri farklı şekilde etkiler. Bu uyumsuzluk, CVE ayrıntıları belirli ortamla eşleşmediği takdirde yanlış risk değerlendirmelerine yol açar.
- Bilgilendirmede Gecikme: Bir güvenlik açığının keşfedilmesi ile CVE veri tabanına eklenmesi arasında genellikle bir gecikme yaşanır. Bu gecikme sırasında saldırganlar, aşağıdaki gibi güvenlik açıklarından faydalanabilir: CVE-2021-44228 Sorunlar kamuoyuna açıklanmadan önce ortaya çıkıyor ve bu da farkındalık ve çözüm süreçlerindeki gecikmeler nedeniyle riski artırıyor.
- Bilinen Güvenlik Açıklarına Odaklanın: CVE Bu girdiler yalnızca kamuoyuna açıklanan güvenlik açıklarını kapsar; bu da sıfır gün güvenlik açıklarını ve açıklanmamış tehditleri hesaba katmaz. Yalnızca bunlara güvenmek CVE Bu durum, kuruluşları veri tabanının henüz kataloglamadığı yeni ortaya çıkan risklere maruz bırakır.
- Katılımların Kalitesinde Tutarsızlık: Kalitesi CVE Girişler kaynağa bağlı olarak değişir. Bazıları, örneğin CVE-2021-44228Bazı veriler yeni ayrıntılarla düzenli olarak güncellenirken, diğerleri statik kalır; bu da veri tutarsızlıklarına ve potansiyel veri boşluklarına yol açar.
- NVD Zenginleştirme Bekleyen İşleri: Bir CVE yayınlandıktan sonra bile, hemen puanlanacağının garantisi yoktur. 2024-2025 yıllarına ait 54,914 CVE, tam analiz için NVD kuyruğunda bekliyor. Nisan 2026'da NIST, artık yalnızca belirli yıllara ait CVE'ler için acil zenginleştirmeye öncelik vereceğini duyurdu. CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğu, federal hükümet içinde kullanılan yazılımlar ve 14028 sayılı Başkanlık Kararnamesi'nde tanımlanan kritik yazılımlar dahil olmak üzere her şey en iyi çaba esasına göre zenginleştirilir; bu da çoğu kuruluşun artık en çok ihtiyaç duydukları anda bir CVSS puanının mevcut olacağını varsayamayacağı anlamına gelir.
EPSS: Kapsamlı Güvenlik Açığı Yönetimi için CVE Güvenliğini Geliştirme
CVE-2021-44228 aynı zamanda nerede olduğunu da vurgular Ortak Güvenlik Açığı Puanlama Sistemi (CVSS)Sağlam olmasına rağmen yetersiz kalıyor. Bu eksiklik, ...'nın önemini vurguluyor. İstismar Tahmini Puanlama Sistemi (EPSS).
EPSS nedir?
EPSS Veriye dayalı bir çerçeve kullanarak, aşağıdaki gibi güvenlik açıklarının istismar edilme olasılığını tahmin eder. CVE-2021-44228 önümüzdeki 30 gün içinde. Aksine CVSSPotansiyel etkiyi ölçen bir araç. EPSS Tarihsel veriler ve trendlere dayanarak sömürü olasılığını tahmin eder.
EPSS neden önemlidir?
- Geliştirilmiş Önceliklendirme: EPSS Bu, kuruluşların güvenlik açıklarını yalnızca ciddiyetine göre değil, aynı zamanda istismar edilme olasılığına göre de önceliklendirmelerini sağlar. Örneğin, güvenlik ekipleri şunları bildiğinde: CVE-2021-44228 İstismar edilme olasılığı yüksek olduğundan, iyileştirme çalışmalarını en çok ihtiyaç duyulan yerlere yoğunlaştırıyorlar.
- Proaktif Savunma: EPSS Bu, güvenlik ekiplerinin istismar edilme olasılığı yüksek güvenlik açıklarına karşı önleyici tedbirler almasına ve başarılı saldırı riskini azaltmasına olanak tanır.
- Bağlamsal Decisİyon Oluşturma: EPSS ek bağlam sağlar CVSS Tek başına hareket etmek, saldırganlar tarafından aktif olarak hedeflenen güvenlik açıklarını belirlemek gibi gözden kaçırabileceği noktaları içerir. Bu da daha bilinçli ve stratejik karar alma süreçlerine yol açar.cisiyon oluşturma.
- Kaynak Optimizasyonu: Sınırlı kaynaklara sahip kuruluşlar için, EPSS Bu, çabaların en büyük tehdidi oluşturan güvenlik açıklarına verimli bir şekilde yönlendirilmesine yardımcı olarak daha etkili bir savunma stratejisi sağlar.
EPSS'nin Sınırlamaları
Avantajlarına rağmen, EPSS Sınırlamaları vardır. Tarihsel verilere dayanır ve bu veriler her zaman mevcut tehdit ortamını yansıtmayabilir. 30 gün içinde istismarı tahmin etmeye odaklanması, uzun vadeli tehditleri göz ardı edebilir.
EPSS Bireysel ortamların özel bağlamını hesaba katmadan genel bilgiler sunar. Son olarak, geçmiş istismar modellerine dayanır; bu da saldırı tekniklerindeki hızlı değişiklikleri veya yeni keşfedilen güvenlik açıklarını yansıtmayabilir.
En İyi Güvenlik Açığı Yönetimi için CVE ve EPSS Arasında Denge Kurma
Güvenlik açıklarını etkili bir şekilde yönetmek için, kuruluşların hem bu açıkların sınırlılıklarını anlamaları hem de bunlara yönelik önlemler almaları gerekir. CVSS hem de EPSSBu araçların entegrasyonu, güvenlik açığı ortamına daha kapsamlı bir bakış açısı sağlar. Bu yaklaşım, ciddiyet ile istismar olasılığı arasında denge kurarak daha iyi önceliklendirme ve bilinçli karar alma süreçlerine yol açar.cisiyon üretimi ve siber güvenlik sonuçlarında iyileşme.
Kritik güvenlik açıklarının önceliklendirilmesi zorluğunu ele alıyor.
Bu blog boyunca, CVE puanlamasının inceliklerini, Ulusal Güvenlik Açığı Veritabanı'nın (NVD) kritik rolünü ve İstismar Tahmini Puanlama Sistemi (EPSS) gibi araçların istismar olasılığını tahmin ederek güvenlik açığı yönetimine nasıl derinlik kattığını inceledik. Bununla birlikte, güvenlik açıklarını etkili bir şekilde yönetmek, bu kavramları anlamaktan daha fazlasını gerektirir; kuruluşunuzun özel güvenlik ihtiyaçlarına uyum sağlayan kapsamlı bir yaklaşım gerektirir.
Yaklaşık olarak 176,000 bilinen güvenlik açığı19,000'den fazla saldırı, kritik riskleri gösteren 9.0-10.0 arasında bir CVSS puanına sahip. Ancak çoğunluğu (yaklaşık %77.5'i) 4.0 ile 8.0 arasında orta düzeyde bir puana sahip. Bu geniş dağılım, zorluğu ortaya koyuyor: Hangi güvenlik açıklarına öncelik verileceği ve sınırlı kaynaklarla güçlü bir savunma sürdürülürken bunun nasıl yapılacağı.
Xygeni'nin Yazılım Bileşimi Analizi (SCA) Çözümümüz, CVE puanlamasını EPSS ve diğer bağlamsal araçlarla entegre ederek bu zorluğun üstesinden gelir ve size güvenlik açığı ortamınızın eksiksiz bir resmini sunar. Çözümümüz, NPM, GitHub ve OWD dahil olmak üzere birden fazla kaynaktan kod tabanınızı kapsamlı bir şekilde tarayarak olası güvenlik tehditlerinin hiçbirini kaçırmamanızı sağlar.
Xygeni'nin nasıl SCA Çözüm, CVE Puanlamasını Eyleme Dönüştürüyor
2025 yılında yayınlanan 48,185 CVE'nin %38'i Yüksek veya Kritik önem derecesine sahip olarak değerlendirilmiş ve yılın ortalama CVSS puanı 6.60 olmuştur. Bu, aynı sınırlı iyileştirme kaynakları için rekabet eden çok sayıda "kritik" ve "yüksek" etiket anlamına gelir ve bu, 2025 CVE'lerinin yalnızca %28'inin ilk etapta tam NVD zenginleştirmesine tabi tutulduğu gerçeğini hesaba katmadan önce bile geçerlidir.
Xygeni'nin Yazılım Bileşimi Analizi (SCA) Bu çözüm, CVE puanlamasını EPSS ve ek bağlamsal sinyallerle entegre ederek bu zorluğun üstesinden gelir ve NVD'nin belirli bir CVE'yi zenginleştirip zenginleştirmediğine bakılmaksızın, güvenlik açığı ortamınızın eksiksiz bir resmini sunar. Kod tabanınızı npm, GitHub ve diğer açık kaynak kayıt defterlerinde tarar, böylece hiçbir şey gözden kaçmaz.
İşte bu, güvenlik açığı yönetimi stratejinizi nasıl tamamlıyor:
- CVE Puanlaması + EPSS Entegrasyonu. Güvenlik açığı ciddiyetini (CVSS) istismar olasılığıyla (EPSS) birleştirmek, ekibinizin öncelikle kağıt üzerinde en yüksek puanı alanları değil, gerçekte istismar edilenleri düzeltmesi anlamına gelir.
- Erişilebilirlik Analizi. Xygeni, "bu CVE bağımlılık ağacınızda mevcut" demekle yetinmez. Güvenlik açığı bulunan kod yolunun uygulamanızda gerçekten erişilebilir olup olmadığını belirleyerek gereksiz bilgileri önemli ölçüde azaltır ve iyileştirme çalışmalarını istismar edilebilir risklere odaklar.
- Bağlamsal Farkındalık. Xygeni, birden fazla danışmanlık kaynağından ve puanlama sisteminden aynı anda yararlanarak, herkese uyan tek tip bir ciddiyet puanı uygulamak yerine, kuruluşunuzun özel ortamına uyum sağlar.
- Sürekli İzleme ve Gerçek Zamanlı Uyarılar. Yeni CVE'ler ve yeni EPSS puanları sürekli olarak yayınlanmaktadır. Xygeni sürekli olarak izleme yapar, bu nedenle dün düşük öncelikli olan ve bugün aktif olarak istismar edilen bir güvenlik açığı gözden kaçmaz.
Sonuç: Yeni CVE'lerin üçte birinden fazlasının zaten Yüksek veya Kritik olarak işaretlenmesi ve NVD zenginleştirmesinin her yıl daha da geride kalması nedeniyle, her bulguyu manuel olarak önceliklendirmek gerçekçi değil. Xygeni, ekibinizin ortamınızda hem ciddi hem de gerçekten istismar edilebilir olan küçük bir kısma odaklanmasına yardımcı olur.
Demoyu İste or Ücretsiz bir başlangıç yapın Xygeni'nin CVE puanlamasını nasıl öncelikli ve uygulanabilir bir güvenlik açığı yönetimi stratejisine dönüştürdüğünü görmek için.
SSS
CVE, CVSS ve NVD arasındaki fark nedir?
CVE, belirli bir güvenlik açığı için benzersiz bir tanımlayıcıdır. CVSS (Ortak Güvenlik Açığı Puanlama Sistemi), bu güvenlik açığının ciddiyetini 0 ile 10 arasında derecelendirmek için kullanılan puanlama çerçevesidir. NVD (Ulusal Güvenlik Açığı Veritabanı), NIST tarafından yönetilen ve her CVE'yi CVSS puanı, açıklamaları ve düzeltme referanslarıyla zenginleştiren bir depodur.
EPSS nedir ve CVSS'den farkı nedir?
EPSS (Exploit Prediction Scoring System), gerçek dünya istismar verilerine dayanarak, bir güvenlik açığının önümüzdeki 30 gün içinde istismar edilme olasılığını tahmin eder. CVSS ise potansiyel riskleri ölçer. şiddet istismar edilirse; EPSS ölçer olasılık Sömürüye karşı. İkisini birlikte kullanmak, tek başına kullanmaktan çok daha doğru bir önceliklendirme sinyali verir.
Neden yüksek değil? CVSS puanı bir güvenlik açığını önceliklendirmek için yeterli mi?
CVSS puanı, gerçek dünya riskini değil, teorik ciddiyeti yansıtır. Belirli kod tabanınızda erişilemeyen veya bilinen aktif bir istismarı olmayan "kritik" 9.8 puanlı bir güvenlik açığı, saldırganların şu anda aktif olarak istismar ettiği "orta" bir güvenlik açığından daha düşük öncelikli olabilir. Bu nedenle CVSS'yi EPSS ve erişilebilirlik analiziyle birleştirmek önemlidir.
Her yıl kaç adet CVE (Kritik Değerli İlişi) yayınlanıyor?
CVE sayısı her yıl istikrarlı bir şekilde artmakta ve her yıl on binlerce yeni güvenlik açığı ortaya çıkmaktadır. Bu ölçek göz önüne alındığında, manuel önceliklendirme çoğu kuruluş için gerçekçi değildir; bu nedenle otomatik, bağlam duyarlı önceliklendirme (CVSS + EPSS + erişilebilirlik) vazgeçilmez hale gelmiştir.
CVE-2021-44228 (Log4Shell) nedir ve neden örnek olarak kullanılıyor?
Log4Shell, Apache Log4j 2'de CVSS'de 10.0 (maksimum) puan alan kritik bir uzaktan kod yürütme güvenlik açığıdır. Ağ tabanlı istismar edilebilirliği, ayrıcalık gerektirmemesi ve kullanıcı etkileşimi olmaması nedeniyle yaygın olarak bir eğitim örneği olarak kullanılır ve CVSS çerçevesinde "kritik"in tam olarak ne anlama geldiğini gösterir.
