MITRE, 1 Haziran 2024 ile 1 Haziran 2025 tarihleri arasında raporlanan 39.080 güvenlik açığını analiz ederek yıllık listesini yayımladı. 2025’in En Tehlikeli 25 Yazılım Zayıflığı listesi, siber güvenlik stratejileri için önemli bir yol haritası sunuyor.
Çapraz Site Betiği Açığı Listenin Zirvesindeki Yerini Koruyor
Liste, yazılımların kodunda, mimarisinde veya tasarımında bulunabilen ve saldırganlar tarafından sistemi tamamen ele geçirmek, veri çalmak veya uygulamaları çalışmaz hale getirmek için kullanılabilen hataları sıralıyor. 2025 listesinin ilk sırasında, geçen yıl olduğu gibi Çapraz Site Betiği (Cross-Site Scripting – CWE-79) açığı yer alıyor. Bu açık, saldırganların kötü amaçlı betik kodlarını web sayfalarına enjekte etmesine olanak tanıyor. Kullanıcılar bu sayfaları ziyaret ettiğinde, kod otomatik olarak çalışıyor ve oturum bilgileri çalınabiliyor. MITRE, bu açığın bulunması ve sömürülmesinin nispeten kolay olduğunu vurguluyor.
İkinci sıraya yükselen SQL Enjeksiyonu (CWE-89) açığı da web uygulamaları için büyük bir tehdit oluşturmaya devam ediyor. Saldırganlar bu yöntemle veritabanlarına yetkisiz erişim sağlayarak hassas bilgileri silebiliyor, değiştirebiliyor veya çalabiliyor.
Listede bu yıl en dikkat çekici yükselişi, Eksik Yetkilendirme (Missing Authorization – CWE-862) açığı gösterdi. Bu açık, beş basamak birden yükselerek dördüncü sıraya yerleşti. Benzer şekilde, Kritik Fonksiyonlar İçin Eksik Kimlik Doğrulama (CWE-306) açığı da dört basamak ilerleyerek 21. sıraya geldi. Bu hareketlilik, saldırganların artık doğrudan sisteme sızma yöntemlerinden çok, yetki ve kimlik doğrulama mekanizmalarındaki hatalara odaklandığını işaret ediyor.
| Sıra | CWE Kod | Başlık | Puan | KEV CVE | Değişim |
|---|---|---|---|---|---|
| 1 | CWE-79 | Cross-site Scripting | 60.38 | 7 | 0 |
| 2 | CWE-89 | SQL Injection | 28.72 | 4 | +1 |
| 3 | CWE-352 | Cross-Site Request Forgery | 13.64 | 0 | +1 |
| 4 | CWE-862 | Missing Authorization | 13.28 | 0 | +5 |
| 5 | CWE-787 | Out-of-bounds Write | 12.68 | 12 | -3 |
| 6 | CWE-22 | Path Traversal | 8.99 | 10 | -1 |
| 7 | CWE-416 | Use After Free | 8.47 | 14 | +1 |
| 8 | CWE-125 | Out-of-bounds Read | 7.88 | 3 | -2 |
| 9 | CWE-78 | OS Command Injection | 7.85 | 20 | -2 |
| 10 | CWE-94 | Code Injection | 7.57 | 7 | +1 |
| 11 | CWE-120 | Classic Buffer Overflow | 6.96 | 0 | N/A |
| 12 | CWE-434 | Unrestricted File Upload | 6.87 | 4 | -2 |
| 13 | CWE-476 | NULL Pointer Dereference | 6.41 | 0 | +8 |
| 14 | CWE-121 | Stack-based Buffer Overflow | 5.75 | 4 | N/A |
| 15 | CWE-502 | Deserialization of Untrusted Data | 5.23 | 11 | +1 |
| 16 | CWE-122 | Heap-based Buffer Overflow | 5.21 | 6 | N/A |
| 17 | CWE-863 | Incorrect Authorization | 4.14 | 4 | +1 |
| 18 | CWE-20 | Improper Input Validation | 4.09 | 2 | -6 |
| 19 | CWE-284 | Improper Access Control | 4.07 | 1 | N/A |
| 20 | CWE-200 | Exposure of Sensitive Information | 4.01 | 1 | -3 |
| 21 | CWE-306 | Missing Authentication | 3.47 | 11 | +4 |
| 22 | CWE-918 | SSRF | 3.36 | 0 | -3 |
| 23 | CWE-77 | Command Injection | 3.15 | 2 | -10 |
| 24 | CWE-639 | Authorization Bypass via User-Controlled Key | 2.62 | 0 | +6 |
| 25 | CWE-770 | Resource Allocation Without Limits | 2.54 | 0 | +1 |
Tabloda görüldüğü gibi, Null Pointer’ın Yanlış Kullanımı (CWE-476) sekiz basamaklık sıçramayla listedeki en büyük yükselişi kaydetti. Bu durum, programlama hatalarının da saldırganlar için verimli bir hedef haline geldiğini gösteriyor.
Bu yılki listede en çok konuşulan gelişme, uzun süredir listede olmayan Tampon Taşması (Buffer Overflow) açıklarının geri dönüşü oldu. Klasik Tampon Taşması (CWE-120), Yığın Tabanlı Tampon Taşması (CWE-121) ve Öbek Tabanlı Tampon Taşması (CWE-122) olmak üzere üç farklı varyasyon, ilk 25’e yeni girdi. Bu açıklar, genellikle düşük seviyeli programlama dillerinde ortaya çıkıyor ve saldırganlara doğrudan sistem üzerinde kod yürütme imkânı veriyor.
Listeye yeni giren diğer önemli zayıflıklar arasında Uygunsuz Erişim Kontrolü (CWE-284), Kullanıcı Kontrollü Anahtar ile Yetki Atlama (CWE-639) ve Sınırsız Kaynak Tahsisi (CWE-770) yer alıyor. Bu açıkların tamamı, sistemlerin güvenlik duvarlarını aşmak için kullanılabiliyor.
CISA, geliştirici ekipleri ve ürün sorumlularını bu listeyi incelemeye ve “Tasarımda Güvenlik” (Secure by Design) prensiplerini benimsemeye çağırıyor. Güvenlik ekiplerinin ise bu listeyi, uygulama güvenliği testleri ve açık yönetimi süreçlerine dahil etmesi öneriliyor. Geçtiğimiz yıllarda CISA, mevcut önlemlere rağmen yazılımlarda kalmaya devam eden yaygın açıkları vurgulayan çok sayıda “Tasarımda Güvenlik” uyarısı yayımladı.
MITRE Başkan Yardımcısı Yosry Barsoum’un fon kesintisi uyarısının ardından, ABD hükümeti CVE ve CWE programlarının devamlılığını sağlamak için MITRE’ye 11 aylık ek fon sağladı. Bu adım, küresel siber güvenlik çabaları için bu programların ne kadar hayati olduğunu gösteriyor.
Kuruluşların, yazılım geliştirme yaşam döngüsünün başından itibaren bu zayıflıkları göz önünde bulundurması gerekiyor. Düzenli güvenlik testleri, güncellemeler ve farkındalık eğitimleri, siber tehditlere karşı en etkili savunma yöntemlerini oluşturuyor.
