Siber Güvenlik Uzmanları CVE Programının Güncel İhtiyaçları Karşılamakta Yetersiz Kaldığını İddia Ediyor
Küresel siber güvenlik ekosistemi son yıllarda önemli bir dönüşüm geçiriyor. Kurumlar, artan siber tehditler karşısında daha hızlı karar alma ve tepki verme ihtiyacı duyuyor. Güvenlik uzmanları, mevcut Ortak Güvenlik Açığı Bildirimi (CVE) programının bu hızla gelişen tehdit ortamına ayak uyduramadığını belirtiyor. Sistemin yaşadığı işlem gecikmeleri ve bürokratik engeller nedeniyle etkinliğini yitirdiği yönünde eleştiriler artıyor. Bu durum, siber güvenlik dünyasının yeni ve daha çevik açıklık yönetimi çözümlerine olan ihtiyacını daha belirgin hale getiriyor.
Açık Kaynak Güvenlik Açıklarında Yaşanan Gecikmeler Sorunu Derinleştiriyor
Sonatype araştırma ekibi açık kaynak güvenlik açıklarında ciddi izleme sorunları tespit etti. Araştırma ekibi yıl içinde açıklanan 1.552 açık kaynağın yüzde 64’ünün NVD tarafından derecelendirilmediğini bildirdi. Açık kaynak ekosistemindeki şirketler bu durumun operasyonel akışı zorladığını düşünüyor. Araştırmada açıklanan veriler derecelendirme sürecinin artık gecikmelerle anıldığını gösteriyor. Birçok güvenlik açığı skora yaklaşık altı haftada ulaştı. Bazı kayıtlar neredeyse bir yıla yaklaşan süreçlerden sonra değerlendirildi.
Güvenlik araştırmacıları geç gelen derecelendirmenin tehdidi büyüttüğünü belirtiyor. Açık kaynak projeleri hızla geliştiği için saldırganlar gecikmelerden yararlanıyor. Araştırmacılar PoC kodlarının saatler içinde yayılabildiğini hatırlatıyor. Bu nedenle resmi değerlendirme geciktiğinde risk artıyor.
Sonatype ekibi derecelendirilen kayıtların doğruluğunu da inceledi. İnceleme sonucunda puanlamaların çoğunun hatalı olduğu tespit edildi. Ekip sonuçların sadece beşte birinde doğru değerlendirmenin bulunduğunu belirtti. Bazı kayıtlar olduğundan daha yüksek bazı kayıtlar daha düşük değerlendirildi. Araştırmada 19.945 yanlış pozitif 156.474 yanlış negatif tespit edildi. Bu durum güvenlik ekiplerinin zaman kaybetmesine neden oldu. Yanlış veriler gerçek tehditlerin görünürlüğünü azalttı.
Araştırma ekibi kategorisi değişen CVE’lerin çoğunun daha düşük seviyeye indirildiğini açıkladı. Uzmanlar mevcut sistemin güncel yazılım geliştirme süreçleriyle uyumsuz hale geldiğini ifade ediyor. Açık kaynak projelerindeki hızlı değişim geleneksel derecelendirme modelini zorluyor.
Sonatype kurucu ortağı Brian Fox mevcut sistemin çağın koşullarını karşılamadığını söyledi. Fox yazılım geliştirme süreçlerinin bileşen temelli hale geldiğini aktardı. Fox AI ekosisteminin de bu süreci daha karmaşık hale getirdiğini belirtti. Fox güvenlik zekâsının artık anlık değerlendirme yapması gerektiğini savundu. Fox CVE sisteminin ortak bir dil sunduğunu kabul etti. Fox yine de dinamik olmayan yapıların karar süreçlerini zayıflattığını anlattı.
Fox tehdit analizinin ekosistem farklarını dikkate alan yapılarla gelişmesi gerektiğini söyledi. Fox kurumların çalışma ortamlarına göre gerçek zamanlı değerlendirme beklediğini belirtti.
NVD veri akışı birçok kurumun günlük kararlarında kritik rol oynuyor. 2024 yılında veri akışındaki kesinti küresel ölçekte endişe yarattı. NVD şubat ile mayıs arasında yeni kayıtları değerlendirmedi. Süreç sözleşme yenileme dönemine denk geldi. Araştırmacılar mayıs ayına gelindiğinde yeni kayıtların yüzde 93’ünün hâlâ beklediğini aktardı. Sistem bilinen tehditlerin yarısını bile değerlendiremedi.
Sonatype ekibi bu sürecin hâlâ eski hızına dönmediğini belirtiyor. Araştırmacılar NVD ve Mitre tarafından son dönemde bazı iyileştirmeler yapıldığını kabul ediyor. Araştırma ekibi yeni sözleşme döneminin kritik önem taşıdığını aktarıyor. Mart 2026’da süresi dolacak sözleşmenin yeni döneme yön vereceği düşünülüyor.
Araştırma ekibi kuruluşların sistemi yeniden değerlendirmesi gerektiğini söylüyor. Ekip yeni dönemde daha güncel daha hızlı daha esnek modellerin gündeme gelmesi gerektiğini belirtiyor. Uzmanlar karar vericilerin mevcut yapıyı sorgulamasının doğru olacağını ifade ediyor. Ekosistemin hızına uyacak yeni adımların atılması gerektiği düşünülüyor.
