Bir WordPress açığının yanında gördüğünüz 6,4 ya da 9,8 gibi sayı, CVSS (Common Vulnerability Scoring System, Ortak Açık Puanlama Sistemi) puanıdır. Puan 0 ile 10 arasındadır ve açığın kendi özelliklerini ölçer: uzaktan kullanılabiliyor mu, saldırganın hesabı olması gerekiyor mu, başarılı olursa ne kadar zarar verir. Sitenize özel riski ölçmez. NVD bunu açıkça yazar: CVSS bir şiddet ölçüsüdür, risk ölçüsü değildir.
Son 12 ayda (20 Ekim 2026 itibarıyla) WordPress için yayımlanan 6.630 kaydın ortanca puanı 6,4. Yani tipik bir WordPress kaydı “orta” sınıfa düşüyor. Bu yazıda puanın arkasındaki vektörü harf harf okuyacağız ve aynı puanı alan iki açığın sizin siteniz için neden çok farklı anlamlar taşıyabileceğini göstereceğiz.
Puan sınıfları
FIRST’ün CVSS 3.1 belirtimi ve NVD aynı aralıkları kullanır:
| Sınıf | Puan aralığı |
|---|---|
| Düşük | 0,1 – 3,9 |
| Orta | 4,0 – 6,9 |
| Yüksek | 7,0 – 8,9 |
| Kritik | 9,0 – 10,0 |
Verimizde kayıtların yaklaşık üçte ikisi orta, dörtte biri yüksek sınıfta. Kritik kayıtlar %7 civarında kalıyor; düşük puanlı kayıt ise %3’ün altında. Sitedeki kritik açıklar sayfası yalnız 9,0 ve üstünü listeler.
Vektör, puanın gerçek açıklaması
Her puanın yanında bir vektör dizesi bulunur: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H gibi. Puan bu sekiz değerden hesaplanır. Puanı değil vektörü okumayı alışkanlık edinirseniz, kaydı açmadan bile açığın sizin sitenizde işe yarayıp yaramayacağını çoğu zaman anlarsınız.
AV, saldırı yolu
Ağ (N), bitişik ağ (A), yerel (L) ya da fiziksel (P). WordPress kayıtlarının neredeyse tamamı AV:N, yani internet üzerinden kullanılabilir. Bu alan WordPress’te ayırt edici değildir; geçip ötekilere bakın.
AC, saldırı koşulları
Düşük (L) ya da yüksek (H). Belirtime göre yüksek, saldırının başarısının saldırganın denetiminde olmayan koşullara bağlı olduğunu anlatır: hedef hakkında önceden bilgi toplamak, belirli bir ayarın açık olması gibi. Verimizde 600’ü aşkın kayıtta AC:H var. Bir eklentinin isteğe bağlı bir özelliği açıkken çalışan açıklar sık sık bu gruba girer.
PR, gereken yetki
WordPress için en önemli harf budur. Yok (N), düşük (L) ya da yüksek (H). PR:N, sitede hesabı olmayan birinin açığı kullanabileceğini söyler. PR:L çoğu kayıtta abone ya da katkıcı gibi düşük yetkili bir hesap anlamına gelir. PR:H ise yönetici ya da editör ister.
PR:L tek başına hangi rolün yeterli olduğunu söylemez. Wordfence’in yazdığı kayıtlarda bu bilgi metindedir: “authenticated attackers, with Contributor-level access and above” gibi. Sitede her satırda gösterdiğimiz “Abone hesabı”, “Katkıcı hesabı” etiketleri bu cümleden gelir. WordPress’in varsayılan rollerinde abone yalnız kendi profilini yönetebilir, katkıcı yazı taslağı yazabilir ama yayımlayamaz. Sitenizde üyelik kapalıysa ve yazı yazan tek kişi sizseniz, PR:L bir kayıt sizin için PR:N bir kayıttan çok daha uzak bir tehlikedir.
UI, kullanıcı etkileşimi
Yok (N) ya da gerekli (R). UI:R, saldırının işlemesi için sitedeki bir kullanıcının bir bağlantıya tıklaması ya da bir sayfayı açması gerektiğini söyler. Siteler arası istek sahteciliği (CSRF) kayıtlarının neredeyse hepsi UI:R’dir; verimizdeki 325 CSRF kaydının 310’u böyle ve bu kayıtların ortanca puanı 4,3. Yansıtılan XSS kayıtları da UI:R taşır.
Bir ayrıntı: PR:N ama UI:R olan bir kayıt, “giriş gerekmiyor” sınıfına girer, çünkü saldırganın hesabı olması gerekmez. Ama yine de sizin ya da bir yöneticinizin bir bağlantıya tıklaması gerekir. Sitede “Giriş gerekmiyor” etiketi gördüğünüzde satırdaki “bağlantıya tıklaması gerekiyor” cümlesine de bakın.
S, kapsam
Değişmez (U) ya da değişir (C). Belirtime göre kapsam değişikliği, açığın etkisinin açığı taşıyan bileşenin güvenlik sınırının ötesine geçtiği durumdur ve puanı yükseltir. Kalıcı XSS kayıtlarında sık görülür: açık eklentide, ama kod ziyaretçinin tarayıcısında çalışır. WordPress kayıtlarında çok sık gördüğünüz 6,4 puanı, tam olarak AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N vektörünün sonucudur: düşük yetkili bir hesap, kapsam değişikliği, sınırlı gizlilik ve bütünlük etkisi. Katkıcı düzeyi kalıcı XSS kayıtlarının tipik tablosu budur.
C, I, A, etki
Gizlilik (C), bütünlük (I), erişilebilirlik (A); her biri yok, düşük ya da yüksek. Üçü birden yüksekse (C:H/I:H/A:H) belirtimin tarif ettiği en ağır sonuç söz konusudur: saldırgan bilgiyi okuyabilir, değiştirebilir ve hizmeti durdurabilir. WordPress’te bu genellikle yönetici hesabı ele geçirme ya da sunucuda kod çalıştırma demektir.
9,8 nasıl çıkar
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H vektörü 9,8 eder. Ağdan, kolay koşullarla, hesap gerektirmeden, kimsenin tıklamasına gerek kalmadan, üç etkinin üçü de yüksek. Son 12 ayda 300’den fazla WordPress kaydı tam olarak 9,8 aldı; giriş gerektirmeyen dosya yükleme, yetki yükseltme ve kimlik doğrulama atlatma kayıtları bu puanda toplanıyor. Kritik kayıtların %95’ten fazlası giriş gerektirmiyor.
Tam 10 alan kayıt ise yalnız 17. Fark kapsamdan gelir: 10 için kapsamın da değişmesi gerekir.
Aynı 6,4, iki farklı site
İki kaydı düşünün. İkisi de 6,4, ikisi de kalıcı XSS, ikisi de katkıcı düzeyinde hesap istiyor. Birinci site tek yazarlı bir kişisel blog; tek hesap sizin yönetici hesabınız. İkinci site, yazarları dışarıdan alan ve onlara katkıcı rolü veren bir haber sitesi. Puan aynı, ama birinci sitede açığı kullanabilecek kimse yok, ikincide ise her katkıcı potansiyel bir giriş noktası.
CVSS’in temel puanı bu farkı bilemez, çünkü belirtim kurum ya da ortama özel etkenleri bilerek dışarıda bırakır. FIRST bu yüzden temel puanın yanında ortam (environmental) ölçütleri tanımlar. NVD ise yalnız temel puanı verir, ortam ölçütlerini sizin hesaplamanız için bir hesap makinesi sunar.
WordPress kayıtlarında puanı kim veriyor
Bu yazının belki de en az bilinen kısmı bu. NVD her CVE için kendi puanını hesaplayabilir, ama WordPress kayıtlarının büyük çoğunluğunda gördüğünüz puan NVD’nin değil, kaydı açan kuruluşundur. Verimizdeki kayıtların yaklaşık üçte ikisini Wordfence, dörtte birinden fazlasını WPScan açmış; puanlar da çoğunlukla bu şirketlerin puanı. Kayıt NVD’de “ikincil” (Secondary) kaynaklı puanla görünür.
Bunun iki sonucu var. Birincisi, farklı kuruluşlar benzer açıklara biraz farklı puan verebilir; iki kaydın puanını karşılaştırırken kimin puanladığına bakmak işe yarar. İkincisi, NVD kendi değerlendirmesinde eksik bilgi olduğunda en kötü durumu varsayar ve hiç ayrıntı içermeyen bir açığı 10 olarak puanlayabilir. WordPress kayıtlarında bu durum nadirdir, çünkü kayıtları açan şirketler genellikle vektörü eksiksiz verir.
Puanı nasıl kullanmalı
Önerdiğimiz okuma sırası şu:
- Ürün sizde kurulu mu, hangi sürüm? Puan ne olursa olsun, kurulu sürüm etkilenen aralıkta değilse kayıt sizi ilgilendirmez. Eklentiler sayfasındaki durum sütunu bu soruya WordPress.org verisiyle cevap verir.
- PR ne diyor? Hesabı olmayan biri mi, abone mi, katkıcı mı? Sitenizdeki kullanıcı yapısıyla karşılaştırın.
- UI ne diyor? Bir yöneticinin tıklaması gerekiyorsa, saldırı hedefli bir oltalama gerektirir.
- Etki üçlüsü. C:H/I:H/A:H gördüğünüzde güncellemeyi bekletmeyin.
- En son puan. Sınıf etiketi, aynı gün çıkan onlarca kaydı sıralamak için iyi bir başlangıçtır, son karar değildir.
Puanın yanında bir de “kavram kanıtı var” ya da “saldırıda kullanılıyor” etiketi görürseniz, sıralamayı bu etiket belirlemeli. Bu bilgi CVSS’ten değil, CISA’nın kayıtlara eklediği ayrı bir değerlendirmeden gelir.
Sitede puan nereden geliyor
Gösterdiğimiz puan, NVD kaydındaki CVSS 3.1 değeridir; varsa 3.1, yoksa 3.0, o da yoksa 4.0 kullanılır. Rol etiketini önce kayıt metnindeki rol ifadesinden, yoksa vektördeki PR harfinden çıkarırız. Ayrıntılar veri ve yöntem sayfasında. Hangi açık türünün tipik olarak hangi puanı aldığını görmek için açık türleri tablosundaki ortanca puan sütununa bakabilirsiniz: dosya yükleme açıklarında ortanca 8,8, CSRF’te 4,3.