Zero-day nedir, güncellemeler neden ertelenmemeli? Yama yönetimine sade bir bakış

"Güncelle" bildirimi çoğu zaman en uygunsuz anda gelir. Bilgisayarın yeniden başlaması gerekir, bir şeylerin bozulmasından korkulur ve düğmeye "daha sonra" diye basılır. Ama güncellemeleri ertelemek, güvenlik açısından yapılabilecek en riskli alışkanlıklardan biridir.

Bazı temel kavramlar

Güvenlik açığı (vulnerability): Bir yazılımda, saldırganın amaçlanmayan bir şey yapmasına izin veren hata. Yetkisiz veri okumak, kod çalıştırmak ya da sistemi çökertmek gibi.

İstismar (exploit): Bu açığı kullanmak için yazılmış kod ya da yöntem.

CVE: Bilinen güvenlik açıklarına verilen standart kimlik numarası: CVE-2026-12345 gibi. Aynı açık hakkında farklı kaynaklarda okunan haberlerin aynı şeyden bahsedip bahsetmediğini bu numara gösterir.

CVSS: Açığın ciddiyetini 0 ile 10 arasında puanlayan sistem. 9 ve üzeri "kritik" kabul edilir. Ama puan tek başına yeterli değildir; o açığın sizin ortamınızda istismar edilip edilemeyeceği de önemlidir.

Zero-day (sıfırıncı gün): Yazılım üreticisinin henüz haberdar olmadığı ya da henüz bir yama yayımlamadığı, ama saldırganların zaten istismar ettiği açık. Adı, üreticinin bu açığı düzeltmek için "sıfır gün" süresi olduğu anlamından gelir.

Asıl tehlike yamadan sonra başlar

Zero-day açıkları haber manşetlerine çıkar, ama genellikle sınırlı ve hedefli saldırılarda kullanılır. Çoğu kullanıcı ve işletme için daha büyük tehlike, yaması çoktan yayımlanmış ama uygulanmamış açıklardır.

Bir yama yayımlandığında şunlar olur:

1. Güvenlik araştırmacıları ve saldırganlar, yamanın neyi değiştirdiğine bakarak açığın yerini hızla bulabilir.
2. Birkaç gün, bazen birkaç saat içinde, açığı istismar eden kod kamuya açık hâle gelebilir.
3. Otomatik tarayıcılar internetteki bütün sistemleri bu açık için taramaya başlar.

Yani bir yama yayınlandıktan sonra, güncellenmemiş her sistem bilinen ve istismar edilmesi kolay bir hedef hâline gelir. ABD'nin siber güvenlik ajansı CISA'nın "aktif olarak istismar edilen açıklar" listesi (KEV), bu durumu çok net gösteriyor: Listedeki açıkların büyük kısmı için yamalar aylardır, hatta yıllardır mevcut.

Kişisel cihazlarda

• Otomatik güncellemeleri açın: İşletim sistemi, tarayıcı, telefon ve uygulamalar için.
• Tarayıcıyı yeniden başlatın. Tarayıcılar güncellemeyi arka planda indirir ama yeniden başlatılana kadar uygulamaz. Haftalarca kapatılmayan bir tarayıcı, güncel görünse de eski sürümle çalışıyor olabilir. Chrome'da sağ üstteki "Güncelle" düğmesi bunu gösterir.
• Desteği bitmiş yazılım ve cihazlardan kurtulun. Güvenlik güncellemesi almayan eski bir telefon, işletim sistemi ya da modem için bulunan açıklar bir daha kapatılmaz.

Sunucularda: Düzenli ve kontrollü

Sunucularda güncellemeler daha dikkatli yönetilmelidir, ama bu "hiç yapılmasın" anlamına gelmez.

1. Güvenlik güncellemelerini otomatikleştirin

Çoğu dağıtım, yalnızca güvenlik güncellemelerini otomatik uygulayan araçlar sunar:

# RHEL / AlmaLinux / Rocky
dnf install dnf-automatic
# /etc/dnf/automatic.conf → upgrade_type = security, apply_updates = yes
systemctl enable --now dnf-automatic.timer

# Debian / Ubuntu
apt install unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

Güvenlik güncellemeleri genellikle küçük ve geriye dönük uyumludur. Bozulma riski, güncellenmemiş kalmanın riskinden çok daha düşüktür.

2. Çekirdek güncellemeleri yeniden başlatma ister

Linux çekirdeği güncellendiğinde, yeni çekirdek ancak sunucu yeniden başlatıldığında devreye girer. Güncelleme yüklendi ama sunucu aylardır yeniden başlatılmadıysa, eski ve açıklı çekirdek çalışmaya devam eder:

needs-restarting -r          # RHEL ailesi
cat /var/run/reboot-required # Debian ailesi (dosya varsa yeniden başlatma gerekir)

Benzer şekilde, güncellenen kütüphaneleri kullanan servislerin de yeniden başlatılması gerekir. needs-restarting -s ya da Debian'da needrestart aracı hangi servislerin eski kütüphaneleri kullandığını gösterir.

3. Uygulama katmanını unutmayın

İşletim sistemi güncel olsa bile, üzerinde çalışan WordPress, eklentiler, Composer ve npm paketleri, panel yazılımları ve veritabanı sunucusu ayrı ayrı güncellenmelidir. Web sitelerinin ele geçirilmesinin en yaygın sebebi, işletim sistemi değil, güncellenmemiş bir eklenti ya da kütüphanedir.

composer audit
npm audit --omit=dev
wp plugin list --update=available

4. Kritik açıklarda hızlı davranın

İnternete açık bir bileşende, örneğin bir VPN cihazında, güvenlik duvarında, web sunucusunda ya da yaygın bir CMS eklentisinde, aktif olarak istismar edilen bir açık duyurulduğunda, normal bakım takviminizi beklemeyin. Bu durumlarda gecikmenin her günü risk demektir. Yama hemen uygulanamıyorsa, üreticinin önerdiği geçici önlemleri (bir özelliği kapatmak, erişimi kısıtlamak) uygulayın.

5. Güncellemeyi güvenli hâle getirin

Güncelleme korkusunun ilacı, güncellemeyi ertelemek değil, geri dönülebilir hâle getirmektir:

• Büyük güncellemelerden önce yedek ya da anlık görüntü (snapshot) alın.
• Mümkünse önce bir test ortamında deneyin.
• Değişiklikleri trafiğin düşük olduğu saatlerde yapın.
• Bir şey bozulursa nasıl geri döneceğinizi önceden bilin.

Haberleri takip etmek

Kullandığınız temel yazılımların güvenlik duyurularına abone olun: işletim sisteminizin güvenlik listesi, kullandığınız CMS'in güvenlik blogu, web sunucusu ve panel yazılımının duyuruları. Böylece kritik bir açığı haberlerden değil, doğrudan kaynağından ve zamanında öğrenirsiniz.

Özetle: Zero-day açıklarına karşı yapabileceğiniz şey sınırlıdır. Ama yaması yayınlanmış açıklara karşı yapabileceğiniz çok şey vardır ve bunların hepsi tek bir alışkanlıkla başlar: Güncellemeleri ertelememek.