Yazılım açıklarının yalnızca binde beşi gerçek saldırılarda kullanılıyor

Microsoft Güvenlik ekibi, 1999 yılından Eylül 2026'ya kadar yayımlanan yaklaşık 383 bin yazılım zafiyeti (CVE) üzerinde kapsamlı bir veri analizi yayımladı. Rapora göre, açıklanan güvenlik açıklarının yalnızca yaklaşık 2 bini, yani yaklaşık yüzde 0,5'i gerçek dünya saldırılarında istismar edildi. Bu oran, yayımlanan her 200 açıktan birinden daha azının saldırganlar tarafından fiilen kullanıldığını ve tehdit aktörlerinin rastgele değil, belirli hedeflere odaklandığını gösterdi.

Araştırma, saldırganların sisteme tam erişim ve kontrol sağlayan açıklara orantısız biçimde yöneldiğini ortaya koydu. Gerçek saldırılarda kullanılan açıkların yüzde 78'ini uzaktan kod çalıştırma, yetki yükseltme ve kimlik doğrulama atlatma türündeki zafiyetler oluşturdu. Yayınlanan tüm CVE'lerin yüzde 20'sini oluşturan sunucu taraflı uzaktan kod çalıştırma açıkları, aktif saldırılarda kullanılan zafiyetlerin yüzde 37'sine karşılık geldi. Siteler arası betik çalıştırma (XSS) ve hizmet dışı bırakma (DoS) gibi açıkların gerçek saldırılardaki payı ise genel katalogdaki oranlarına kıyasla ciddi oranda geriledi.

Yama uygulama sürelerinin sunucularda ve ağ cihazlarında aylarca sürebildiğine değinen analiz, saldırganların açıkları silah haline getirme hızının yapay zeka araçlarıyla giderek arttığını aktardı. 2026 verileri, bir CVE yayınlandıktan sonra bilinen istismar kataloglarına giriş süresinin ortalama 20 güne, ortanca değerin ise 3 güne kadar düştüğünü ortaya koydu. Microsoft, güvenlik ekiplerinin salt CVSS puanlarına odaklanmak yerine internete açık kritik sistemleri ve saldırı yollarını önceliklendirmesi gerektiğini belirtti.