«Kritik, 10 üzerinden 9,8» açık: bu puan benim için ne anlama geliyor

Bir önem derecesi puanı gerçekte neyi ölçer

Tüm bildirimler, aynı kamuya açık tabloyla hesaplanan 10 üzerinden bir not gösterir. Bu not sizin mağazanızı değerlendirmez: açığı, teknik ölçütlerden yola çıkarak soyut olarak değerlendirir. PrestaShop’un resmi ps_checkout modülü hakkında Ekim 2025’te yayınlanan bir bildirim bu ayrışmayı iyi gösteriyor. Puan 9,1’di ve ayrıntısı şöyle okunuyor: ağ vektörü, düşük saldırı karmaşıklığı, ayrıcalık gerekmiyor, kullanıcı etkileşimi gerekmiyor. Günlük dile çevirisi: internetten erişilebilir, karmaşık bir manevra gerektirmeden, hesap gerekmeden ve kimsenin bir şeye tıklamaya yönlendirilmesine gerek kalmadan.

Bu dört koşul saldırgan lehine ne kadar uygunsa not o kadar yükselir. Ölçeğin tepesi de vardır: PrestaShop’un 3 Haziran 2026 tarihli resmi bildirimi, ps_facetedsearch yönlendirmeli arama modülü için 10,0 puan taşıyor. Açık uzaktan, hesapsız ve kimlik doğrulaması olmadan, tek bir istekle istismar edilebiliyor ve sunucunun tümüyle ele geçirilmesi mümkün. 10,0 hiçbir engel olmadığı anlamına gelir: ne ön koşul, ne şans.

İkisinin arasında kalan bildirimlerin çoğunda rakamdan çok ayrıntıyı okumak gerekir. 28 Nisan 2026’da düzeltilen bir PrestaShop yönetim paneli açığı, 9,3 puanla kritik sınıflandırılıyor. 2026 baharında düzeltilen iki WordPress eklentisinin her biri 9,8 taşıyor. Bu üç sayı birbirine yakındır ve hiç de aynı pratik durumları anlatmaz.

Puanın söylemedikleri

Üç şey ve bunlar tam olarak akşamınızı belirleyen şeylerdir.

Sizi ilgilendirip ilgilendirmediğini söylemez. Kurmadığınız bir eklentideki 9,8 sizi hiç ilgilendirmez. 2025’te kaydedilen yaklaşık 1.966 yüksek önem dereceli açığın büyük çoğunluğu mağazanızdaki hiçbir bileşene dokunmaz. Puan herkes için aynıdır; maruziyet değil.

Açığın istismar edilip edilmediğini söylemez. Bir WordPress form eklentisindeki 9,8 puanlı kritik açık 18 Mart 2026’da düzeltildi. Etkin istismar 13 Nisan 2026’da başladı. Puan ilk gün de bir ay sonra da aynıydı: durum tamamen değişirken puan yerinde durur.

Size neye mal olacağını söylemez. Mayıs 2026’da bir PrestaShop kargo modülü hakkında yayınlanan bildirim 8,6 puan taşıyor, yani öncekilerden düşük. Açığın ifşa ettikleri: taşıyıcının API kimlik bilgileri, gönderici hesap numaraları ve müşterilerin kişisel verileri — adlar, posta adresleri, telefonlar. Daha düşük bir puanın sizin için daha ağır sonuçları olabilir, çünkü not teknik etkiyi ölçer, kişisel veri ihlalini ele alma yükümlülüğünüzü değil.

Tek başına mı, yoksa başka bir açıkla zincirlenmiş mi

Bazı açıklar tek başına az ağırlık taşır, birleştiğinde ciddileşir. 17 Temmuz 2026 tarihli acil WordPress güncellemesi bunun tam örneğidir. İki açık düzeltildi, iki farklı sınıflandırma: WordPress.org 6.8 sürümünden beri var olan, kolaylaştırılmış bir SQL enjeksiyonu olan ilkini kritik; 6.9’da eklenen, toplu REST API üzerinde bir rota karışıklığı olan ikincisini yüksek önem derecesinde sınıflandırıyor. Ayrı ayrı ele alındığında aynı etiketi taşımıyorlar. Zincirlendiklerinde ise 6.9.x ve 7.0.x kurulumlarında kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veriyorlar; zorunlu otomatik güncellemelerin etkinleştirilmesinin nedeni budur.

Aynı ikinci açık için Tenable 9,8 CVSS puanı yayınlıyor, WordPress.org ise «yüksek» ifadesini kullanıyor. Bu bir çelişki değildir ve ikisinden birinin hatası da değildir. Bir not, onu veren tarafın varsayımlarına bağlıdır: açığın hangi bağlamda değerlendirildiği, hangi ön koşulların kabul edildiği ve özellikle değerlendiricinin başka bir açıkla zincirlenme olasılığını hesaba katıp katmadığı. İki kaynak ayrıştığında pratik okuma basittir: süreyi belirlemek için yüksek olanı esas alın, farkın nedenini yalnızca vaktiniz varsa araştırın.

Zincirlenme meselesi, güncellemeleri yalnızca görünen rakama göre sıralamamak gerektiğini de açıklar. Kısmi erişim veren, orta düzeyde puanlanmış bir açık, ikinci basamağı henüz yayınlanmamış bir zincirin ilk basamağı olabilir.