CVSS puanı bir açığın ne kadar ağır olabileceğini anlatır; bugün birinin onu gerçekten kullanıp kullanmadığını anlatmaz. Bu ikinci soruya cevap veren bilgi, 2024’ten beri CVE kayıtlarının içinde ayrı bir bölüm olarak geliyor: ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA’nın eklediği SSVC değerlendirmesi. Sitemizdeki “Kavram kanıtı var” ve “Saldırıda kullanılıyor” etiketleri buradan gelir. Bu yazıda bu alanların ne dediğini ve WordPress kayıtlarında ne sıklıkla göründüklerini anlatıyoruz.
Vulnrichment ve SSVC
CISA’nın Vulnrichment projesi, yayımlanan CVE kayıtlarını CISA’nın kendi değerlendirmesiyle zenginleştirir. Proje açıklamasına göre CISA, CVE Programı’nın 2024’te başlattığı Yetkili Veri Yayıncısı (ADP) düzeni üzerinden kayıtlara kendi bölümünü ekler ve kaydı açan kuruluşun verisinin üzerine hiçbir zaman yazmaz. Bu bölümde her kayıt için üç SSVC karar noktası bulunur.
SSVC (Stakeholder-Specific Vulnerability Categorization), Carnegie Mellon Üniversitesi’ndeki CERT/CC’nin geliştirdiği bir önceliklendirme yöntemidir. CISA kayıtlara şu üç karar noktasını ekler:
- Exploitation (istismar durumu): none, poc ya da active.
- Automatable (otomatikleştirilebilir mi): yes ya da no.
- Technical Impact (teknik etki): partial ya da total.
Üç istismar değeri
CERT/CC’nin tanımları şöyle:
- None (yok): Gerçek saldırıda kullanıldığına dair kanıt ve herkese açık bir kavram kanıtı yok.
- PoC (kavram kanıtı): Metasploit ya da ExploitDB gibi kaynaklarda tipik bir kavram kanıtı var ya da açığın bilinen bir kullanım yöntemi var.
- Active (aktif): Açığın gerçek saldırganlar tarafından kullanıldığına dair paylaşılmış, gözlemlenebilir, güvenilir kanıt ve inandırıcı bir kamuya açık bildirim var.
Tanımın bir inceliği var. CERT/CC, bazı zayıflık türlerinin tanım gereği “kavram kanıtı var” sayılabileceğini yazar, çünkü kullanım yöntemleri herkesçe bilinir. Listesinde dizin aşımı, SQL enjeksiyonu ve siteler arası betik de var. Bu yüzden “poc” etiketini “birisi bu eklenti için hazır bir saldırı kodu yayımladı” diye değil, “bu açığın nasıl kullanılacağı biliniyor” diye okumak daha doğru.
CERT/CC ayrıca bu alanın geleceği tahmin etmediğini, yalnız mevcut durumu kaydettiğini vurgular. Bugün “none” olan bir kayıt yarın “active” olabilir.
WordPress kayıtlarında oranlar
20 Ekim 2026’ya kadarki bir yılda NVD’ye düşen 6.630 WordPress kaydında CISA değerlendirmesinin dağılımı şöyle:
| İstismar durumu | Kayıt |
|---|---|
| Yok (none) | yaklaşık 5.950 |
| Kavram kanıtı (poc) | 673 |
| Aktif (active) | 2 |
Kayıtların yaklaşık onda birinde kavram kanıtı işareti var. Bu kayıtların çoğu orta puanlı; kritik puanlı olanlar 60 civarında. En sık türler, CERT/CC’nin tanımıyla örtüşecek biçimde, XSS ve SQL enjeksiyonu.
Aktif istismar işareti taşıyan iki kayıt ise eklentilere değil, WordPress çekirdeğine ait. İkisi de Temmuz 2026’da yayımlandı ve düzeltmeleri 6.9.5 ve 7.0.2 sürümlerinde geldi; biri 9,8 puan aldı. WordPress çekirdeği sayfasında ikisini de görebilirsiniz.
Bu, eklentilerde aktif istismar olmadığı anlamına gelmez. Değer, değerlendirmenin yapıldığı andaki durumu gösterir; CISA’nın o an güvenilir bir kamuya açık bildirim görmediğini söyler, saldırı olmadığını değil. Etiketi gördüğünüzde ciddiye alın; görmediğinizde “kimse kullanmıyor” diye okumayın.
Otomatikleştirilebilir alanı
CERT/CC tanımına göre “Automatable: yes”, saldırganın keşif, silahlandırma, iletme ve istismar adımlarını güvenilir biçimde otomatikleştirebildiği anlamına gelir. Uzaktan kod çalıştırma ya da komut enjeksiyonu açıklarında beklenen cevap “yes”tir. Bir şey bilinmiyorsa güvenli varsayım da “yes”tir.
WordPress kayıtlarının yaklaşık %31’i “yes” işaretli ve bunların neredeyse tamamı giriş gerektirmeyen kayıtlar. Bu mantıklı: hesap gerektirmeyen bir açık, internetteki WordPress sitelerini tarayan bir araçla toplu biçimde denenebilir. Ürün sayfalarımızda “saldırı otomatikleştirilebilir olarak işaretlenmiş” cümlesini yalnız hem “yes” hem de “giriş gerekmiyor” olan kayıtlarda gösteriyoruz.
Üçüncü alan ve CISA’nın ikinci bakışı
Üçüncü karar noktası olan teknik etki, açığın başarıyla kullanılması hâlinde saldırganın sistem üzerinde kısmi mi yoksa tam mı denetim kazandığını söyler. Sitemizde bu alanı ayrıca göstermiyoruz, çünkü WordPress’te tam denetim neredeyse her zaman yönetici hesabı ya da sunucuda kod çalıştırma demektir ve bu bilgi CVSS’in etki üçlüsünde zaten görünür.
Vulnrichment açıklamasında ilginç bir ayrıntı var: CISA, teknik etkisi “total” olan, “automatable” işaretlenen ya da istismar durumu “poc” veya “active” olan kayıtları ayrıca inceler. Kaydı açan kuruluş CWE numarası ya da CVSS puanı vermemişse ve yeterli kanıt varsa, CISA bu alanları kendi bölümünde doldurur. Yani bu üç etiket, CISA’nın kendi önceliklendirmesinin de giriş kapısıdır.
İki örnek
Ağustos 2026’da aynı gün yayımlanan iki eklenti kaydı, etiketlerin birlikte nasıl okunacağını gösteriyor. Biri bir yedekleme eklentisindeki dizin aşımı açığı (CVE-2026-19725), diğeri bir JWT ile giriş eklentisindeki kimlik doğrulama açığı (CVE-2026-19714). İkisi de 9,1 puan almış, ikisi de giriş gerektirmiyor, ikisi de CISA değerlendirmesinde hem “poc” hem “automatable: yes” işaretli. İkisinde de kayıt düzeltilmiş sürümü açıkça yazıyor.
Bu üçlü bir araya geldiğinde okuma şudur: açığın nasıl kullanılacağı biliniyor, saldırgan hesap açmak zorunda değil ve işlem toplu olarak yapılabiliyor. Böyle bir kaydı gördüğünüzde güncellemeyi o gün yapın. Düzeltilmiş sürüm numarası kayıtta yazdığı için de iş kolay: Eklentiler ekranındaki sürümü kayıttaki sürümle karşılaştırmanız yeterli.
Bu etiketlerle öncelik sırası
Sitenizde kurulu eklentiler için aynı gün birkaç kayıt çıktığında, şu sırayı öneriyoruz:
- Saldırıda kullanılıyor. Puan ne olursa olsun ilk sırada. Güncelleme varsa hemen kurun; yoksa ürünü devre dışı bırakın.
- Giriş gerekmiyor ve otomatikleştirilebilir. Toplu taramalara açık. Kritik ya da yüksek puanlıysa aynı gün ilgilenin.
- Kavram kanıtı var ve giriş gerekmiyor. Kullanım yöntemi biliniyor; saldırgan için iş kolay.
- Abone düzeyi ve sitenizde üyelik açık. Pratikte 2. ve 3. maddeye yakın.
- Geri kalanlar. Puan sırasıyla, bir sonraki bakım gününde.
Bu sıralamanın CVSS’ten farkı şu: CVSS 9,8 alan ama yönetici gerektiren bir açık, 6,5 alan ama giriş gerektirmeyen ve kavram kanıtı olan bir açıktan sonra gelebilir. Puanın kendisini nasıl okuyacağınızı CVSS yazımızda, rol etiketlerinin anlamını kullanıcı rolleri yazımızda anlattık.
Sitede nerede görünür
Her kayıt satırında, CISA değerlendirmesi “active” ise siyah “Saldırıda kullanılıyor”, “poc” ise gri “Kavram kanıtı var” etiketi çıkar. Kritik açıklar sayfasının başında aktif istismar işaretli kayıtları ayrıca listeliyoruz. Bu değerlendirmeler kayıtla birlikte NVD’den gelir ve veri her gece yenilendiği için etiketler de güncellenir.