CVE (Common Vulnerabilities and Exposures), yayımlanmış her güvenlik açığına verilen ortak kimlik numarasıdır. CVE-2026-63030 gibi bir numara gördüğünüzde, dünyanın her yerinde aynı açıktan söz edildiğini bilirsiniz. CVE Programı’nın tanımıyla CVE Listesi’nde her açık için tek bir kayıt bulunur. Bu yazıda bir WordPress kaydını yukarıdan aşağı okuyacağız: numara, kaydı açan kuruluş, NVD durumu, ürün satırı ve en çok karıştırılan kısım olan sürüm ifadesi.
Numaradaki yıl
CVE numarasının ortasındaki yıl, numaranın ayrıldığı (rezerve edildiği) yılı gösterir; açığın bulunduğu ya da yayımlandığı yılı değil. Bunu en net WordPress verisinde görüyoruz: son 12 ayda yayımlanan kayıtların arasında CVE-2016 ve CVE-2019 ile başlayan numaralar var. Örneğin 2026 Haziran’ında CVE-2016 önekli birkaç eklenti kaydı aynı gün yayımlandı. Bunlar yıllar önce bilinen ama numara almamış ya da numarası sonradan yayımlanmış eski açıklardır.
Pratik sonucu şu: numaranın yılına bakıp “eski bir açık, beni ilgilendirmez” demeyin. Asıl bakılacak şey etkilenen sürümdür. Eski bir eklenti sürümünü hâlâ kullanan bir site, 2016 numaralı bir kayıttan bugün etkilenebilir.
Kaydın yaşam döngüsü
CVE Programı süreci altı adımda anlatır: biri açığı bulur, bir program ortağına bildirir, ortak bir CVE numarası atar, numara “rezerve” durumuna geçer, ortak ayrıntıları gönderir ve asgari bilgiler tamamlandığında kayıt yayımlanır. Rezerve durumdaki bir numara, açık henüz kamuya açıklanmadan koordinasyon için kullanılır. Gönderilen ayrıntılar arasında etkilenen ürün, etkilenen ya da düzeltilmiş sürümler, açık türü ve en az bir herkese açık kaynak bulunur.
Bu sıralama bir şeyi açıklar: bir eklenti geliştiricisi düzeltmeyi yayımladıktan birkaç gün, hatta birkaç hafta sonra kayıt görünebilir. Güncelleme notunda “güvenlik düzeltmesi” yazıyorsa, CVE kaydını beklemeden güncellemek mantıklıdır.
Kaydı kim açıyor
Numara atama yetkisi olan kuruluşlara CNA (CVE Numbering Authority) denir. CVE Programı’nın sayfasına göre şu anda 43 ülkeden 559 CNA var; dördü Türkiye’den. CNA olmak için ücret ya da sözleşme gerekmez, her CNA kendi kapsamındaki ürünler için numara verir.
WordPress dünyasında tablo çok yoğun. Son 12 aydaki 6.630 WordPress kaydının yaklaşık üçte ikisini Wordfence, dörtte birinden fazlasını WPScan açmış; Patchstack ve VulnCheck daha küçük paylarla izliyor. Eklenti geliştiricilerinin kendi açtığı kayıt sayısı çok düşük. Bu yüzden bir WordPress kaydının dili, kimin açtığına göre tanınır hâle gelir:
- Wordfence kayıtları “The X plugin for WordPress is vulnerable to …” diye başlar ve rolü açıkça yazar: “authenticated attackers, with Subscriber-level access and above”.
- WPScan kayıtları “The X WordPress plugin before 2.4.6 does not sanitise …” kalıbını kullanır ve çoğu zaman düzeltilmiş sürümü verir.
- Patchstack kayıtları kısadır: “… vulnerability in Y allows …. This issue affects Y: from n/a through 1.2.3.”
Sitedeki her satırın altında kaydın NVD sayfasına ve kaydı açan kuruluşun kendi uyarı sayfasına bağlantı veriyoruz. Ayrıntılı açıklama, hangi parametrenin etkilendiği gibi teknik bilgiler genellikle kuruluşun sayfasındadır.
NVD’de “Deferred” yazıyorsa
NVD, CVE kayıtlarını alıp kendi ek bilgileriyle (puan, zayıflık türü, ürün eşlemesi) zenginleştirebilir. NVD’nin durum tablosuna göre “Deferred” (web arayüzünde “Not Scheduled”), kaydın şu an NVD zenginleştirmesi için sıraya alınmadığını; NVD’nin kapsamı dışında olabileceğini ya da kaynak nedeniyle önceliklendirilmediğini söyler.
WordPress kayıtlarında bu istisna değil, kural. Bu çalışmayı hazırlarken çektiğimiz 365 günlük veride kayıtların yaklaşık %99’u Deferred durumundaydı; NVD’nin tamamladığı (“Analyzed”) kayıt sayısı birkaç düzineyi geçmiyordu. Bu kötü bir şey değildir: kaydı açan CNA zaten puanı, CWE numarasını ve sürüm bilgisini vermiştir. Ama şunu bilmeniz gerekir: gördüğünüz bilgiler NVD’nin bağımsız doğrulamasından geçmemiş olabilir. Puanın kimden geldiğini CVSS puanı yazımızda ayrıca anlattık.
Ürün satırı
Yeni biçimli kayıtlarda “affected” (etkilenen) bölümü vardır: satıcı adı, ürün adı ve bazen WordPress.org paket adı. Patchstack kayıtları paket adını ve “https://wordpress.org/plugins” koleksiyonunu yazar; bu, eklentiyi kesin olarak tanımlar. Wordfence ve WPScan kayıtlarında çoğu zaman yalnız ürün adı bulunur; paket adını kayıttaki bağlantılardan (örneğin plugins.trac.wordpress.org adresindeki klasör adından) çıkarmak gerekir.
Aynı adı taşıyan farklı ürünler olabildiği için ad tek başına güvenilir değildir. “Booking” ya da “Contact Form” gibi genel adlarda kayıttaki satıcı adına da bakın. Biz eşlemeyi önce paket adından, sonra bağlantılardan, en son addan yapıyoruz; sırası veri ve yöntem sayfasında.
Sürüm satırı, en sık yanlış okunan kısım
İki farklı ifade, iki farklı anlam taşır:
| İfade | Anlamı | Düzeltme bilgisi |
|---|---|---|
| “up to, and including, 2.4.5” / “through 2.4.5” / “<= 2.4.5” | 2.4.5 dahil önceki her sürüm etkileniyor | Düzeltmenin hangi sürümde geldiği yazmaz |
| “before 2.4.6” / “< 2.4.6” | 2.4.6’dan önceki sürümler etkileniyor | 2.4.6 düzeltilmiş sürümdür |
“Up to and including 2.4.5” gördüğünüzde, 2.4.6’nın düzeltme olduğunu varsaymak cazip gelir ama kayıt bunu söylemez. Bazen geliştirici bir sonraki sürümde düzeltir, bazen birkaç sürüm sonra, bazen hiç. Verimizde son 12 ayın kayıtlarının yaklaşık dörtte üçünde “etkilenen son sürüm” yazıyor; düzeltilmiş sürüm numarası açıkça yazan kayıt dörtte birden biraz fazla ve bunların büyük bölümü WPScan’den geliyor.
Bu yüzden ürün sayfalarında iki bilgiyi birlikte kullanıyoruz: kayıttaki sürüm satırı ve WordPress.org’daki güncel sürüm. Güncel sürüm, etkilenen son sürümden yeniyse “güncel sürüm etkilenmiyor görünüyor” yazıyoruz. “Görünüyor” sözcüğü bilinçli: geliştirici sorunu düzeltmeden sürüm numarasını artırmış olabilir. Güncel sürüm hâlâ etkilenen aralıktaysa eklentiler listesinde kırmızı “güncel sürüm etkileniyor” etiketi görünür.
Bir örnek kaydı birlikte okuyalım
1 Ekim 2026’da yayımlanan CVE-2026-92537, yaygın bir bülten eklentisi için Wordfence’in açtığı bir kayıt. Kayıttaki bilgiler sırasıyla şöyle okunuyor:
- Numara ve tarih. 2026 önekli, 2026’da yayımlanmış; bu kayıtta yıl ile yayın tarihi örtüşüyor.
- Kaydı açan. Wordfence. Açıklama “The … plugin for WordPress is vulnerable to …” kalıbıyla başlıyor.
- Zayıflık türü. CWE-522, yetersiz korunan kimlik bilgisi. Bizim gruplamamızda kimlik doğrulama ailesine girer.
- Puan. 5,3, orta. Vektör hesap gerektirmediğini, ama etkinin sınırlı olduğunu söylüyor.
- Sürüm satırı. “All versions up to, and including, 9.3.9.” Yani 9.3.9 dahil önceki sürümler etkileniyor; düzeltmenin hangi sürümde geldiği bu cümlede yok.
- Kaynaklar. Kayıt, eklentinin WordPress.org kod deposundaki dosyalara ve bir değişiklik kümesine (changeset) bağlantı veriyor. Değişiklik kümesi bağlantısı 9.3.9 ile 9.4.0 etiketleri arasındaki farkı gösteriyor; düzeltmenin 9.4.0’da geldiğini buradan anlıyoruz.
Bu örnek, sürüm satırının neden tek başına yetmediğini gösteriyor: düzeltme bilgisi bazen açıklamada değil, kaydın kaynak bağlantılarında saklıdır. Veri betiğimiz de bu yüzden, açıklamada düzeltme sürümü yoksa değişiklik kümesi bağlantısındaki yeni sürüm etiketine bakar.
Kaydı okurken sorulacak beş soru
- Ürün sitemde kurulu mu? Aynı adlı başka bir ürün olabilir mi?
- Kurulu sürümüm etkilenen aralıkta mı? Kayıt “before” mı diyor, “through” mu?
- Saldırganın hangi rolde olması gerekiyor? Sitemde o rolde kullanıcı var mı?
- Kaydı açan kuruluşun sayfasında ek koşul var mı (bir ayarın açık olması, belirli bir eklentiyle birlikte kullanılması)?
- Kayıt yeni mi, yoksa yıllar önceki bir açığın geç yayımlanmış numarası mı?
Bu beş sorunun cevabı, puanın kendisinden daha çok şey söyler. Son 30 günün kayıtlarını bu gözle taramak için son açıklar sayfasındaki süzgeçleri kullanabilirsiniz.