2026'da yayımlanan CVE sayısı 100 bini aştı: VulnCheck'e göre artışın ana nedeni AI ile zafiyet avcılığı
The Register'ın aktardığına göre bu yıl yayımlanan CVE sayısı 13 Kasım'da 100 bini geçti; bu, 2025 toplamının iki katından fazla. VulnCheck, sahada istismar edilenlerin oranının yüzde 1,4 civarında kaldığını, ancak yayımlanma ile istismar arasındaki sürenin kısaldığını söylüyor.
2026 yılında yayımlanan CVE (Common Vulnerabilities and Exposures) sayısı 13 Kasım Cuma günü 100 bini aştı. The Register'ın haberine göre bu rakam 2025'in tamamında yayımlanan sayının iki katından fazla. Zafiyet istihbaratı şirketi VulnCheck, yayına konuşulduğu sırada sayacın 100.222'yi gösterdiğini aktardı.
VulnCheck'te koordineli zafiyet bildiriminden sorumlu direktör Josh Bressers, artışın büyük bölümünü AI ile yapılan zafiyet avcılığına bağlıyor. Habere göre yalnızca Microsoft, salı günü toplam sayıya 1.094 açık ekledi; bir önceki ay bu sayı 1.474'tü. Sitemizde daha önce yedi ayda 442 CVE'ye ulaşan AI destekli bildirim programının bakımcılara bindirdiği yükü yazmıştık.
İstismar oranı aynı, süre kısalıyor
Habere göre sahada istismar edilen açıkların oranı büyük ölçüde değişmedi: bu yıl yayımlanan CVE'lerin yaklaşık yüzde 1,4'ü (1.363 açık) VulnCheck'in Known Exploited Vulnerabilities kataloğuna girdi. Bressers, oran sabit kalsa da toplam büyüdükçe mutlak sayının da büyüdüğüne dikkat çekiyor.
Asıl değişim hızda. The Register'ın aktardığı rakamlar şöyle:
- VulnCheck'e göre CVE'nin yayımlanmasından istismara kadar geçen medyan süre 2025'te 120 gündü; 2026'nın ilk yarısında 80 güne indi. Şirket, yılın ikinci yarısında sürenin daha da kısaldığını söylüyor.
- CrowdStrike'ın Ocak–Haziran gözlemlerine göre, herkese açık PoC koduyla yapılan istismarın yüzde 88'i kodun yayımlanmasından sonraki 48 saat içinde gerçekleşti.
Bressers, Copeland soğutma kontrolcülerindeki 14 açığı örnek gösterdi: şirket, CVE'ler yayımlandıktan dakikalar sonra honeypot'larında deneme gördüğünü söylüyor.
"Güvenlik değil, veri sorunu"
Bressers'a göre sektörün karşısındaki sorun artık tek tek açıklar değil, hangisinin kurumu gerçekten etkilediğini ayıklamak. The Register, CISA'nın haziran ayında yayımladığı ve sabit süreli patch politikalarının yerini alan talimatı hatırlatıyor: talimat, önceliği yalnızca CVSS puanına göre değil, varlığın internete açık olup olmadığına, açığın aktif istismar edilip edilmediğine ve exploit'in otomatikleştirilip otomatikleştirilemeyeceğine göre belirlemeyi istiyor.
Haberde açık kaynak tarafındaki yük de yer alıyor: Bressers, tek tek geliştiricilerin zafiyet raporlarına boğulduğunu, vakıfların ise paketlerini günde milyonlarca kez indiren AI agent trafiği altında zorlandığını söylüyor.
Ne yapılmalı?
- Patch önceliğini yalnızca CVSS puanına bağlamayın; internete açık varlıklar ve aktif istismar edilen açıklar (CISA KEV, üreticinin "sahada istismar" notu) listenin başına gelsin.
- Varlık envanterinizi güncel tutun: hangi ürünün hangi sürümünün nerede çalıştığını bilmeden 100 bin kayıt içinden sizi etkileyeni ayıramazsınız.
- İnternete açık sistemlerde patch süresini gün değil saat ölçeğinde planlayın; hemen patch geçilemeyen sistemler için erişimi kısıtlamak gibi geçici önlemleri önceden tanımlayın.
- Açık kaynak bağımlılıklarınızda bakımcının tek kişi olduğu kritik paketleri belirleyin; güncelleme gecikmesi riskini ayrıca izleyin.
