CVE ve KEV: Güvenlik açığı artış rakamları neden tüm hikayeyi anlatmaz

Her yıl siber güvenlik dünyası her zamankinden daha fazla güvenlik açığı yayımlıyor. CVE veritabanı etkileyici bir hızla büyümeye devam ediyor ve güvenlik açığı tarayıcıları dünya genelindeki panellerde titizlikle binlerce bulgu işaretliyor.

Aynı zamanda, çok daha küçük bir liste olan Known Exploited Vulnerabilities (KEV) kataloğu çok daha yavaş büyüyor.

Bu, güvenlik ekipleri ve karar vericiler için önemli bir soru ortaya çıkarıyor:

CVE'ler her yıl sayıca patlama yaşıyorsa, KEV neden aynı eğriyi izlemiyor? Ve daha da önemlisi: kuruluşlar gerçekte hangisine odaklanmalı?

Bu grafik, CVE veritabanı ile Known Exploited Vulnerabilities (KEV) kataloğunun 2021 ile 2025 arasındaki birbirinden ayrışan büyüme eğrilerini göstermektedir. CVE hacmi, açıklama ölçeği ve otomasyon nedeniyle hızla büyürken, KEV, vahşi ortamda aktif olarak istismar edilen, özenle seçilmiş bir güvenlik açığı kümesi olarak yavaş büyümektedir. Bu fark, riske dayalı önceliklendirmenin neden ham güvenlik açığı sayılarından daha önemli olduğunu vurgulamaktadır.

CVE büyümesi tehlikeyi değil, açıklamayı yansıtır

The Common Vulnerabilities and Exposures (CVE) sistemi hiçbir zaman gerçek dünya riskini ölçmek için tasarlanmadı. Amacı şeffaflıktır. Bir güvenlik açığı sorumlu bir şekilde açıklanıp doğrulanır doğrulanmaz, saldırganların ona hiç ilgi gösterip göstermediğine bakılmaksızın bir CVE tanımlayıcısı alabilir.

Bu tasarım tercihi, dik büyüme eğrisini açıklar. Son yıllarda yeni yayımlanan CVE'lerin sayısı 2021'de yaklaşık 20.000'den 2024'te 31.000'in üzerine çıktı ve 2025, 33.000'den fazla CVE yayımlanmasıyla bu ivmeyi sürdürüyor. Bu, küresel güvenlik açığı ortamının artık her gün yaklaşık doksan yeni CVE ile genişlediği anlamına gelir; bunların çoğu, saldırganların hiç ilgi gösterip göstermeyeceği bilinmeden çok önce açıklanır.

2025'teki süregelen büyüme, büyük ölçüde güvenlik açığı keşfinde daha fazla otomasyon, artan sayıda CVE Numbering Authorities (CNAs) ve tedarik zinciri ile bulut tabanlı yazılımlara yönelik artan görünürlük tarafından yönlendiriliyor; gerçekten yeni saldırı tekniklerindeki ani bir artıştan ziyade.

CVE ekosistemi, CVE Program (https://nvd.nist.gov/general/cve-process) tarafından koordine edilir ve yanlış olabilecek her şeyi kataloglama konusunda mükemmel bir iş çıkarır. Ancak bu bütünlüğün bir bedeli vardır: önceliklendirme olmadan hacim.

Kuruluşlar için bu genellikle uzun güvenlik açığı birikimleri, bitmek bilmeyen yama döngüleri ve asla istismar edilmeyebilecek "kritik" bulgularla dolu panellere dönüşür.

KEV yavaş büyür çünkü saldırganlar seçicidir

The Known Exploited Vulnerabilities (KEV) kataloğu çok farklı bir nedenle vardır. CISA (https://www.cisa.gov/) tarafından sürdürülen KEV, yalnızca vahşi ortamda aktif olarak istismar edilen ve güvenilir kanıtlarla desteklenen güvenlik açıklarını içerir.

Known Exploited Vulnerabilities kataloğunun büyümesi çok farklı bir hikaye anlatır. 2021'de tanıtılmasından bu yana KEV, yaklaşık 300 girişten 2024 sonuna kadar yaklaşık 1.200'e genişledi. 2025'te katalog, yaklaşık 1.350 bilinen istismar edilen güvenlik açığına daha da büyüdü. Aynı dönemde yayımlanan on binlerce CVE ile karşılaştırıldığında, KEV toplam güvenlik açığı ortamının yüzde ikinin çok altını temsil etmeye devam ediyor, ancak gerçek dünya saldırı faaliyetinin orantısız derecede büyük bir payını yakalıyor.

Bu yavaş büyüme bir zayıflık değildir. Siber suçla ilgili temel bir gerçeği yansıtır: saldırganlar her güvenlik açığının peşinden koşmaz. Güvenilir, ölçeklenebilir ve kârlı olana odaklanırlar. Bir istismar işe yaradığında, bazen yıllarca yeniden kullanılma eğilimindedir.

Başka bir deyişle, KEV açıklama hacmini değil, saldırgan davranışını yansıtır.

Eşit büyümenin neden bir uyarı işareti olacağı

KEV, CVE ile aynı hızda büyüseydi, bu aslında bir soruna işaret ederdi. Bu, ya her güvenlik açığının anında silaha dönüştürüldüğü (ki durum böyle değil) ya da KEV'in filtreleme gücünü kaybettiği anlamına gelirdi.

CVE "Ne var?" sorusunu yanıtlar

KEV ise çok daha acil olan "Şu anda kuruluşlara karşı ne kullanılıyor?" sorusunu yanıtlar

Bu ayrımı anlamak, modern güvenlik açığı yönetimi için çok önemlidir.

Bizim görüşümüz: teorik güvenlik açıkları gerçek riske eşit değildir

Guardian360 olarak, kuruluşların teorik riskin peşinde çok fazla zaman harcadığına inanıyoruz.

Geleneksel güvenlik açığı yönetimi genellikle tüm CVE'leri eşit olarak ele alır ve büyük ölçüde CVSS puanlarına ve ham sayılara dayanır. Bu yaklaşım kağıt üzerinde kapsamlı görünür, ancak uygulamada yama yorgunluğuna, kaynakların verimsiz kullanımına ve yanlış bir kontrol hissine yol açar.

Hiçbir zaman istismar edilmeyen yüksek önem dereceli bir CVE, saldırganların aktif olarak kötüye kullandığı orta puanlı bir güvenlik açığıyla aynı riski taşımaz. Yine de birçok araç hâlâ ilkini ikincisine göre önceliklendirir.

İşte bu yüzden, kuruluşların odaklarını "Kaç güvenlik açığımız var?" sorusundan "Hangi güvenlik açıkları gerçekten işimizi tehdit ediyor?" sorusuna kaydırmaları gerektiğine güçlü bir şekilde inanıyoruz.

Guardian360 Lighthouse riske dayalı önceliklendirmeyi nasıl destekler

The Guardian360 Lighthouse platformu tam olarak bu ilke etrafında kurulmuştur. Lighthouse, iş ortaklarını ve müşterileri bitmek bilmeyen güvenlik açığı listeleriyle boğmak yerine, bir riske dayalı tarama ve önceliklendirme modeline doğru evriliyor.

Şunları birleştirerek:

teknik güvenlik açığı verileri (CVE),
istismar istihbaratı (KEV gibi),
ve iş bağlamı (varlık alaka düzeyi, maruziyet ve etki),

Lighthouse, iş ortaklarının giderme çabalarını en önemli olduğu yere odaklamalarına yardımcı olur. Bu, giderek daha fazla kontrol listesi uyumluluğu yerine riske dayalı karar vermeyi vurgulayan ISO 27001 ve NIS2 gibi modern çerçevelerle doğal olarak uyumludur.

Amaç daha az tarama değil, daha akıllı sonuçlardır.

Büyüme eğrilerini doğru okumak

CVE ile KEV büyüme eğrileri arasındaki görsel fark net bir hikaye anlatır. Bir çizgi, açıklama ve şeffaflık tarafından yönlendirilerek dik bir şekilde yükselir. Diğeri, gerçek dünyadaki doğrulanmış kötüye kullanım tarafından yönlendirilerek yavaşça tırmanır.

Bu boşluk "çözülecek" bir şey değildir. Kullanılacak bir şeydir.

Çünkü siber riski azaltmak, yanlış gidebilecek her şeyi düzeltmekle ilgili değildir; yanlış giden şeyi ele almakla ilgilidir.

Son düşünce

CVE bize görünürlük verir.

KEV bize odak verir.

Ve Guardian360 Lighthouse gibi riske dayalı platformlar, bu boşluğu kapatmak için vardır; böylece kuruluşlar gürültüye tepki vermek için daha az, gerçek ve ölçülebilir riski azaltmak için daha fazla zaman harcayabilir.