NIST odağı seçiyor, ancak asıl kimin risk altında olduğunu unutuyor

NIST'in yeni NVD yaklaşımı, CVE selini yönetmek için mantıklı bir adımdır. Ancak devlet yazılımlarına öncelik vererek, özel sektör ihtiyaç duyduğu bilgiden yoksun kalma riskiyle karşı karşıya kalıyor.

%263 2020'den 2025'e CVE GÖNDERİM ARTIŞI

42.000 2025'TE ZENGİNLEŞTİRİLEN CVE'LER, YİNE DE YETERLİ DEĞİL

%1 TÜM CVE'LERİN VAHŞİ DOĞADA FİİLEN İSTİSMAR EDİLEN ORANI

Bunun çoktan gerçekleşmiş olması gerekirdi. Yıllarca süren, giderek kabaran bir güvenlik açığı ifşaları dalgasının, 2020 ile 2025 arasında CVE gönderimlerinde yüzde 263'lük bir yükselişin ardından, National Institute of Standards and Technology nihayet kararlı bir adım attı. 15 Nisan 2026'dan itibaren NIST, yalnızca belirli önceliklendirme kriterlerini karşılayan CVE'leri zenginleştirecek: CISA'nın Known Exploited Vulnerabilities (KEV) kataloğunda listelenen güvenlik açıkları, ABD federal hükümeti içinde kullanılan yazılımlar ve Executive Order 14028 kapsamında kritik olarak belirlenmiş sistemler. Diğer tüm gönderimler yine de National Vulnerability Database (NVD) içinde görünecek, ancak “Not Scheduled” olarak etiketlenecek. Bu, bürokratik dille şu anlama gelir: umudunuzu boşa harcamayın.

Bir güvenlik profesyoneli olarak bu gerekçeyi anlıyorum. Sektörümüz uzun süredir benim “sinyal-gürültü aşırı yükü” olarak adlandırdığım şeyden mustarip: analiz edilecek bir veri çığı, ki bunun büyük çoğunluğunun gerçekten koruduğumuz sistemlerle doğrudan bir ilgisi yoktur. VulnCheck'in araştırması, geçen yıl kataloglanan 40.000'den fazla yeni yayımlanmış güvenlik açığından yalnızca yüzde 1'inin, yalnızca 422 CVE'nin, gerçek ortamda aktif olarak istismar edildiğini gösterdi. Bu nedenle gerçekten önemli olana odaklanmak tamamen savunulabilir bir tutumdur.

“Güvenlik açıkları yayımlanıyor, ancak önceliklendirilmiyor. Bu, savunucuların işini kolaylaştırmıyor.”

Yine de bir şeyler yanlış. Hem de oldukça temelden.

Bağlamsız şeffaflık paradoksu

NIST, tüm CVE'leri yayımlamaya devam etmeyi seçti, ancak artık bunları rutin olarak CVSS puanları, etkilenen yazılım yapılandırmaları veya ek bağlamla zenginleştirmeyecek. Sonuç, tuhaf bir ara nokta: güvenlik açıkları ifşa ediliyor, ancak güvenlik ekiplerinin bunlarla ne yapacaklarını bilmeleri için gereken rehberlik olmadan. Bu, en içi boş haliyle şeffaflıktır.

Bir doktorun bir hastaya bir şeylerin yanlış olduğunu söylediğini, ancak durumun ne kadar ciddi olduğunu, hangi organın etkilendiğini veya tedavi planının nasıl göründüğünü söylemeyi reddettiğini hayal edin. “Daha fazla bilgi almak isterseniz bize e-posta atabilirsiniz.” Yama önceliklendirmesi için birincil, yetkili kaynağı olarak NVD'ye güvenen binlerce kuruluş için bu tam olarak böyle hissettiriyor.

Kendi güvenlik operasyon merkezi veya pahalı tehdit istihbaratı abonelikleri olmayan küçük ve orta ölçekli işletmeler en ağır darbeyi alıyor. Ücretsiz bir çıpa olarak NVD'ye bağımlıydılar. O çıpa artık koptu.

Önce devlet, peki ya geri kalan herkes?

İkinci sorun, devlet kurumlarının dijital gerçekliği ile işletmelerin ve özel bireylerin dijital gerçekliği arasındaki temel bir farka dokunuyor. NIST'in öncelikleri ulusal güvenlik açısından mantıklıdır: önce kritik devlet altyapısını korursunuz. Ancak bir sağlık hizmeti sağlayıcısının, bir üretim şirketinin veya küçük bir işletmenin yazılım ortamları, ABD federal hükümetinin BT ortamına pek benzemez.

Microsoft 365, Google Workspace, yaygın olarak kullanılan CRM platformları, üretimdeki endüstriyel kontrol sistemleri; bunların birçoğu Executive Order 14028'de tanımlandığı şekliyle “kritik yazılım” tanımına girmez. KOBİ'ler tarafından kullanılan yaygın olarak dağıtılmış bir bulut uygulamasındaki bir güvenlik açığı, saldırganlar zaten aktif olarak onu istismar ederken, aylarca “Not Scheduled” kategorisinde dokunulmadan kalabilir.

NopSec'in CTO'su Michelangelo Sidagni bunu isabetli bir şekilde ifade etti: NIST, önceliklendirmeyi fiilen CISA'ya devrediyor, ancak CISA'nın KEV kataloğu bilinçli olarak temkinli. Karşılaştırmalı analiz, KEV'in şu anda 1.559 güvenlik açığı listelediğini, VulnDB'nin ise bilinen istismarı olan 7.000'den fazlasını izlediğini gösteriyor. Dolayısıyla binlerce tehlikeli açık, hem KEV'in hem de yeni NVD zenginleştirme sürecinin dışında kalıyor. Bir saldırgan için bu ayrım önemsizdir.

Tek bir doğruluk kaynağının sonu

Daha geniş bağlam endişeyi derinleştiriyor. NVD'nin üzerine inşa edildiği asıl temel olan MITRE tarafından yürütülen CVE Programı, geçen yıl federal fon sözleşmesinin sona ermek üzere olduğu sırada çöküşten kıl payı kurtuldu. CISA son anda devreye girdi, ancak bu altyapının kırılganlığı gün yüzüne çıktı. Bu arada AB, henüz erken aşamalarında olsa da kendi European Vulnerability Database'ini (EUVD) geliştiriyor. Ve AI destekli güvenlik açığı keşfindeki patlayıcı büyüme, FIRST 2026'da rekor düzeyde 50.000 yeni CVE öngörüyor, işleri hatırı sayılır ölçüde daha da kötüleştirmeyi vaat ediyor.

Güvenlik açığı bilgileri için tek, güvenilir, kamuya açık bir doğruluk kaynağı çağı kesin olarak sona erdi. Bunu henüz kavrayamamış kuruluşlar şimdi bu gerçekle doğrudan yüzleşiyor.

Ne olması gerekiyor?

NIST'e yöneltilen eleştiri haklı, ancak gerçekçi olmak gerekirse kurumun pek seçeneği yoktu. Gönderimler her çeyrekte yeni rekorlar kırarken ve analitik kapasite bu tempoyu tutturmaktan temelden aciz kalırken, bir rota değişikliği kaçınılmazdı. Yön, gerçek riske dayalı önceliklendirme, ilke olarak doğru olanıdır.

Ancak uygulamanın rötuşa ihtiyacı var. Birincisi: önceliklendirme kriterleri devlet bağlamına çok dar bir şekilde odaklanmış durumda. Ticari yazılımlar arasındaki yaygınlığı da hesaba katan daha geniş bir “yüksek etki” tanımı, özel sektörün gerçekliğini daha iyi yansıtırdı. İkincisi: “zenginleştirme istiyorsanız bize e-posta atın” modeli ölçeklenemez ve eşitsizlik yaratır. Daha büyük kuruluşlar durumlarını nasıl ve nerede savunacaklarını bilir; daha küçük olanlar bilmez.

Üçüncüsü ve belki de en acil olanı: sektör, birincil savunma hattı olarak tek bir kamuya açık veritabanına güvenmeyi bırakmalıdır. Kaynakları çeşitlendirmek, ticari tehdit istihbaratı, sektöre özgü ISAC'lar, açık kaynaklı alternatifler, bir lüks değil bir zorunluluktur. Bunu zaten bilen güvenlik profesyonelleri bu geçişte yollarını bulacaklar. Geri kalanlar ise az önce bir uyandırma çağrısı aldı.

Alakasız verilerin seli her zaman sorunun kendisiydi. NIST bunu artık resmen kabul etti. Soru şu: seçtikleri çözüm doğru insanları mı, yoksa yalnızca doğru devlet sözleşmelerine sahip olanları mı koruyor?

KAYNAKLAR

1. NIST, NVD Updates NVD Operations to Address Record CVE Growth (15 Nisan 2026)
2. Help Net Security, NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward (16 Nisan 2026)
3. CyberScoop, NIST narrows scope of CVE analysis to keep up with rising tide of vulnerabilities (17 Nisan 2026)
4. Socket.dev, NIST Officially Stops Enriching Most CVEs as Vulnerability Volume Surges (Nisan 2026)
5. Infosecurity Magazine, NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities (Nisan 2026)
6. SecureWorld, The NVD Course Correction: Navigating NIST’s Strategic Pivot for 2026 (Nisan 2026)
7. Dark Reading, NIST Revamps CVE Framework to Focus on High-Impact Vulnerabilities (Nisan 2026)
8. The Hacker News, NIST Limits CVE Enrichment After 263% Surge in Vulnerability Submissions (Nisan 2026)