CVE nedir?
CVE (Common Vulnerabilities and Exposures), herkese açık biçimde bilinen güvenlik açıklarına verilen benzersiz kimlik numarasıdır. CVE-YIL-NUMARA biçiminde yazılır ve aynı açıktan söz eden farklı araçların, üreticilerin ve yöneticilerin aynı şeyi konuştuğundan emin olmasını sağlar.
CVE bir açığın kendisi değil, ona verilen bir etikettir. Kayıtta kısa bir açıklama ve kaynak bağlantıları bulunur; ayrıntılı teknik analiz, etki puanı ve düzeltme bilgisi ise başka veri tabanlarında ve üretici duyurularında yer alır.
Neden önemlidir?
Bir yazılımda açık bulunduğunda üretici, güvenlik tarayıcıları, dağıtım paketleyicileri ve kurumların izleme araçları farklı adlar kullanırsa karışıklık kaçınılmaz olur. CVE numarası bu karmaşayı ortadan kaldırır. Bir bülten, yama notu veya tarama raporunda gördüğünüz numarayı arayarak ilgili açığın etkilediği sürümleri ve çözümü bulabilirsiniz.
Aynı zamanda CVE, yama yönetiminin dilidir. Sunucunuzdaki paketleri denetleyen araçlar, kurulu sürümleri CVE listeleriyle eşleştirir ve hangi açıkların kapatılması gerektiğini raporlar.
Sunucu ve hosting ortamında
Bir sunucuda CVE numaraları günlük işleyişin içinde karşınıza çıkar: işletim sistemi güvenlik bültenlerinde, paket güncelleme notlarında, PHP, Apache, Nginx, OpenSSH ve veritabanı sürüm duyurularında ve kontrol paneli (cPanel, Plesk, DirectAdmin) güvenlik güncellemelerinde.
- Dağıtımınızın güvenlik bültenlerinden hangi CVE’lerin yamalandığını görebilirsiniz.
- Zafiyet tarayıcıları, kurulu paketleri CVE kayıtlarıyla eşleştirerek rapor üretir.
- Paylaşımlı hosting kullanıyorsanız yamaları sağlayıcınız uygular; VPS veya fiziksel sunucuda bu sorumluluk sizdedir.