Giriş
National Institute of Standards and Technology (NIST), artan iş yükü nedeniyle düşük öncelikli güvenlik açıklarına artık öncelik vermeyeceğini duyurdu. Bu durum, siber güvenlik topluluğu ve yazılım geliştiricileri için önemli etkiler taşımaktadır.
Saldırı Nasıl Çalışıyor?
NIST, 15 Nisan’dan itibaren yalnızca belirli kriterleri karşılayan güvenlik açıklarını analiz edecek ve bu açıklarla ilgili ek bilgiler sağlayacaktır. Bu kriterler şunlardır:
- CISA’nın Bilinen Sömürülen Güvenlik Açıkları (KEV) katalogunda yer alması
- ABD federal hükümet yazılımlarını etkilemesi
- Yürütme Emri 14028’e göre kritik yazılım içermesi
NIST, son dönemde güvenlik açığı başvurularında %263’lük bir artış gözlemlemiş olup, bu durum 2026’da da devam etmektedir. 2025 yılında toplamda 42,000 CVE’yi zenginleştiren NIST, artan talebe ayak uyduramayacak durumda kaldığını belirtmiştir.
Etkilenen Sistemler
NIST’in Ulusal Güvenlik Açığı Veritabanı (NVD), bilinen yazılım ve donanım açıklarının merkezi bir veri tabanıdır. NVD’de bulunan güvenlik açıkları, CVE Numaralandırma Otoritesi (CNA) tarafından atanmış benzersiz tanımlayıcılarla birlikte daha fazla açıklama ve analiz sunmaktadır. NVD, şunları içermektedir:
- Güvenlik açıklarının etkilediği yazılım versiyonları
- Zayıflıkların sınıflandırılması
- Tavsiyeler, yamanmalar ve ilgili araştırmalara bağlantılar
Çözüm ve Korunma
NIST, belirlenen kriterlere uymayan güvenlik açıklarını “Planlanmamış” olarak sınıflandıracağını belirtmiştir. Tüm sunulan CVE’ler NVD’ye eklenecektir, ancak bu açıkların sıralaması, sistemik risk açısından daha az öneme sahip bulunmaktadır. NIST, bazı yüksek etkili CVE’lerin atlanabileceğini kabul etmekte ve düşük öncelikli CVE’ler için zenginleştirme taleplerini e-posta yoluyla kabul etmektedir: [email protected].
Aksiyon
Siber güvenlik stratejilerinizi güncel tutmak için potansiyel etkileri yüksek olan CVE’ler üzerinde dikkatle çalışmalısınız. Tüm yazılım ve sistemlerinizi güncelleyerek mevcut zafiyetlere karşı güncel yamaları uygulamak, kritik önem taşıyor. Ayrıca, etkilenmeyen portları kapatarak dış saldırılara karşı daha iyi bir koruma sağlamayı unutmayın. NIST’in belirlediği kriterlere göre sistemlerinizi gözden geçirmeniz, güvenliğinizi artıracaktır.
