2026'da Aktif İstismar Edilen Açıklar: Ekipler Nasıl Değerlendirip Yanıt Veriyor?

2026'da bir zafiyetin yayımlanması ile gerçek dünyada kullanılmaya başlanması arasındaki süre tarihin en kısa noktasında. Eskiden bir CVE çıktığında ekiplerin haftalarca süresi olurdu; bugün ise bazı açıklar yayımlandıktan saatler içinde otomatik tarayıcılarla taranıp denenmeye başlıyor. Bu yazıda son dönemden iki somut örnek üzerinden, bir açığın nasıl skorlandığını, "aktif istismar" etiketinin neden her şeyi değiştirdiğini ve savunma ekiplerinin değerlendir → önceliklendir → yamala akışını nasıl işlettiğini anlatacağız. Burada hiçbir saldırı talimatı yok; amaç, maruziyetinizi doğru ölçüp doğru sırayla kapatmanız.

İki güncel örnek: neden hız önemli?

İlk örnek Langflow CVE-2026-5027. Langflow, yapay zeka iş akışları kuran ekiplerin sıkça kullandığı bir araç. Bu açık bir path traversal (dizin gezinme) zafiyeti: yanlış doğrulanan bir dosya yolu parametresi, saldırganın sunucuda erişmemesi gereken dosyalara ulaşmasına izin veriyor. Açık aktif olarak istismar ediliyor, yani teorik bir risk değil; internete açık örnekler taranıyor.

İkinci örnek daha geniş bir hikâye. ShinyHunters olarak bilinen grup, Oracle PeopleSoft CVE-2026-35273 zafiyetini kullanarak veri çaldı. PeopleSoft, üniversitelerin ve büyük kurumların öğrenci/personel kayıtlarını tuttuğu kurumsal bir sistem; bu yüzden en ağır darbeyi üniversiteler aldı. Buradaki ders, açığın teknik tipi kadar nereye konuşlandığının da risk demek olduğudur: aynı açık, kritik veri tutan bir sistemde çok daha yüksek bir aciliyet taşır.

Bir CVE nasıl skorlanır? (CVSS)

Her açığın bir CVE kimliği olur (örneğin CVE-2026-5027). Bu sadece bir etikettir; tehlikenin büyüklüğünü anlatmaz. Bunun için CVSS (Common Vulnerability Scoring System) kullanılır: açığı 0–10 arası bir sayıya çeviren standart bir formül.

CVSS, açığı birkaç eksende değerlendirir:

• Saldırı vektörü: İnternet üzerinden mi (network), yoksa yerel erişim mi gerekiyor? Uzaktan sömürülebilen açıklar daha tehlikelidir.
• Saldırı karmaşıklığı: Özel koşullar mı gerekiyor, yoksa tek istek yetiyor mu?
• Gerekli ayrıcalık ve kullanıcı etkileşimi: Saldırgan giriş yapmış olmalı mı? Kurban bir bağlantıya tıklamalı mı?
• Gizlilik / Bütünlük / Erişilebilirlik etkisi: Açık veri okumaya mı, veri değiştirmeye mi, yoksa sistemi çökertmeye mi yarıyor?

Bu eksenlerin birleşimi 0–10 arası bir temel skor verir: 9.0–10.0 Kritik, 7.0–8.9 Yüksek, 4.0–6.9 Orta, altı Düşük kabul edilir. Bir açığın CVSS bileşenlerini elle çevirip skorun nasıl oluştuğunu görmek için CVSS Hesaplayıcı aracını kullanabilirsiniz; her ekseni değiştirdiğinizde skorun nasıl oynadığını görmek, "yüksek skor neden yüksek" sorusunu sezgisel hâle getirir.

"Aktif istismar / KEV" neden CVSS'ten önemli olabilir?

Burada en kritik ayrım var: yüksek CVSS skoru, açığın gerçekten kullanıldığı anlamına gelmez. Binlerce yüksek skorlu açık vardır ama hiçbiri vahşi doğada kullanılmıyor olabilir. Tersine, orta skorlu bir açık aktif olarak istismar ediliyorsa sizin için çok daha acildir.

İşte KEV (Known Exploited Vulnerabilities — Bilinen İstismar Edilen Zafiyetler) listesi tam burada devreye girer. ABD'deki CISA'nın yönettiği bu liste, "gerçek dünyada saldırganların kullandığını doğruladığımız açıklar" anlamına gelir. Bir CVE bu listeye girdiyse artık "olabilir mi?" sorusu kapanmış, "kullanılıyor" cevabı gelmiştir. Hem Langflow hem PeopleSoft örneklerini bu kadar acil yapan şey, yüksek skorları değil, fiilen kullanılıyor olmalarıdır.

Pratik kural: önceliklendirmede istismar durumu, skordan önce gelir. Önce KEV'deki ve aktif istismar edilen açıkları kapat, sonra yüksek CVSS'lileri sırala.

Değerlendir → Önceliklendir → Yamala akışı

Olgun bir ekip bu üç adımı bir döngü olarak işletir:

1. Değerlendir (Assess). "Bu açık beni ilgilendiriyor mu?" Etkilenen ürün ve sürüm sizde kullanılıyor mu, ve o sistem internete açık mı? Bir varlık envanteri olmadan bu soruya doğru yanıt veremezsiniz. Langflow örneğinde soru basit: dışarı açık bir Langflow örneğiniz var mı?

2. Önceliklendir (Prioritize). Kalan açıkları şu çarpanlarla sıralayın: istismar durumu (KEV/aktif mi?), maruziyet (internete açık mı, kimlik doğrulama arkasında mı?) ve varlık değeri (PeopleSoft gibi kritik veri mi tutuyor?). Aynı CVSS skoruna sahip iki açıktan biri internete açık bir kayıt sistemindeyse, o önce gelir.

3. Yamala (Patch). Satıcı yamasını uygula. Yama hemen mümkün değilse geçici azaltma uygula: sistemi internetten izole et, savunmasız uç noktayı kapat, WAF kuralı ekle. Geçici çözüm kalıcı yamanın yerini tutmaz; sadece zaman kazandırır.

Etik test edenler ve savunmacılar maruziyeti nasıl doğrular?

Bir açığın size dokunup dokunmadığını varsaymak yerine doğrulamak gerekir. Yetkili güvenlik ekipleri ve etik pentest uzmanları bunu birkaç şekilde yapar.

Önce yüzey alanını haritalar. Hangi servisler dışarı açık, hangi portlar dinlemede? Nmap Komut Oluşturucu ile tarama tipini, portları ve sürüm tespiti seçeneklerini tıklayarak doğru nmap komutunu üretebilir, hangi sistemlerin internete bakan yüzeyde olduğunu görebilirsiniz. Açık bir sürüm, savunmasız bir bileşeni ele verebilir.

Sonra, kontrollü ve yetkili bir ortamda, ilgili açık sınıfının nasıl davrandığını anlamak için payload referansları kullanılır. Örneğin path traversal mantığını kavramak, bir input alanının dosya yolunu yeterince doğrulayıp doğrulamadığını test etmek için Web Saldırı Payload'ları Referansı kategorilere ayrılmış örnekler ve her birinin nasıl çalıştığına dair açıklamalar sunar. Buradaki amaç saldırmak değil, kendi sisteminizin o sınıfa karşı dayanıklı olup olmadığını doğrulamaktır.

Üçüncü adım otomasyon: zafiyet tarayıcıları (kurumsal araçlar) bilinen CVE imzalarını varlıklarınıza karşı çalıştırır ve "bu sürüm bu açığa karşı savunmasız" raporu üretir. Tarayıcı çıktısı bir başlangıçtır, son söz değildir; her bulgu, ortamınızdaki gerçek erişilebilirliğe göre teyit edilmelidir.

Çıkarımlar

2026'da kazanan ekip en çok aracı olan değil, en hızlı doğru sırayla kapatandır. CVE kimliği bir adres, CVSS bir büyüklük tahmini, KEV ise gerçeklik kontrolüdür. Aktif istismar edilen bir açık, ne kadar düşük skorlu olursa olsun listenizin başına geçer. Varlık envanteri tutun, internete açık yüzeyi sürekli haritalayın, istismar durumuna göre önceliklendirin ve yamayı mümkünse hemen, değilse geçici azaltmayla zaman kazanarak uygulayın.

Bu içerik yalnızca eğitim amaçlıdır. Burada anlatılan teknikleri ve araçları yalnızca açık yazılı izninizin olduğu, sahibi olduğunuz veya yetkili olduğunuz sistemlerde kullanın. İzinsiz test yapmak çoğu ülkede suçtur.