Zero-day (sıfır-gün) nedir? CVE, CVSS, KEV, N-day ve zero-day yaşam döngüsü

Zero-day nedir?

Zero-day (Türkçede sıfır-gün); bir yazılım, donanım, üretici yazılımı
(firmware) ya da protokol içinde bulunan ve üretici tarafından henüz
bilinmeyen ya da bilindiği hâlde henüz yamalanmamış güvenlik zafiyetidir.
Terim üç farklı anlamda kullanılır:

• Zero-day zafiyet: Üreticinin farkında olmadığı ya da yamalayamadığı
  teknik açık.
• Zero-day exploit: Bu açıktan yararlanan istismar kodu.
• Zero-day attack: İstismarı gerçek bir hedefte kullanan
  saldırı.

Bir zafiyet, üretici tarafından bilinip yama yayımlandığı anda artık
zero-day değildir; N-day (bilinen zafiyet) hâline gelir. Ancak yamayı
uygulamayan kurumlar için N-day zafiyet, pratikte zero-day kadar
tehlikelidir.

Neden “sıfır gün”?

Ad, üreticinin zafiyeti tanımak ve yama üretmek için “sıfır gün” elinde
bulunmasından gelir. Klasik güvenlik döngüsünde bir açık önce üreticiye
bildirilir, üretici yama üretir ve kamuya açıklama yapılır. Zero-day’de
bu döngü tersine döner: saldırgan açığı üreticiden önce keşfeder ve
bilgiyi kendi kullanır ya da yer altı pazarında satar.

CVE ile zafiyet nasıl kaydedilir?

CVE (Common Vulnerabilities and Exposures), MITRE tarafından
yönetilen ve bir zafiyete verilen benzersiz tanımlayıcıdır. Örnek biçimi
CVE-2026-83548 şeklindedir; ilk parça standart, yıl ve numaradan oluşur.
CVE atama yetkisi, MITRE’nin akrediti ettiği CNA (CVE Numbering Authority)
kurumlarındadır; büyük üreticiler (Microsoft, Google, Apple, Cisco,
SonicWall), araştırma ekipleri (Trend Micro ZDI) ve MITRE’nin kendisi
başlıca CNA’lardır.

CVE kaydı; zafiyetin kısa açıklamasını, etkilenen ürün ve sürümleri,
referans bağlantılarını ve ayrılmış (RESERVED) veya yayımlanmış (PUBLISHED)
durumunu barındırır. NIST’in NVD (National Vulnerability Database)
sistemi CVE kayıtlarını CVSS puanı, CPE (etkilenen ürün adlandırması)
ve CWE (zafiyet sınıfı) etiketleri ile zenginleştirir.

CVSS puanı nasıl okunur?

CVSS (Common Vulnerability Scoring System), bir zafiyetin
ciddiyetini 0-10 arasında puanlayan endüstri standardıdır. FIRST tarafından
yönetilir; günümüzde 3.1 ve 4.0 sürümleri yaygın kullanılır.

Taban puan (Base) şu alt puanlardan türetilir:

• Saldırı vektörü (AV): Ağ, komşu ağ, yerel ya da fiziksel.
• Saldırı karmaşıklığı (AC): Düşük ya da yüksek.
• Ayrıcalık gereksinimi (PR): Yok, düşük ya da yüksek.
• Kullanıcı etkileşimi (UI): Gerekli ya da gereksiz.
• Kapsam (S): Değişmiş ya da değişmemiş.
• Etki (C/I/A): Gizlilik, bütünlük, kullanılabilirlik.

Yüksek taban puanlı bir zero-day (örneğin CVSS 10.0), kimliği
doğrulanmamış, kullanıcı etkileşimi olmadan ağ üzerinden istismar
edilebilen ve tam etkiye ulaşan bir zafiyeti tanımlar. Ancak yalnızca
CVSS’ye bakmak yeterli değildir: aktif istismar durumu ve kurum içi
maruziyet, önceliklendirme kararında en az CVSS kadar önemlidir.

KEV kataloğu

Known Exploited Vulnerabilities (KEV) kataloğu, ABD Siber Güvenlik
ve Altyapı Güvenliği Ajansı CISA tarafından yönetilir. Kataloğa yalnızca
vahşi doğada aktif olarak istismar edildiği güvenilir kaynaklarla
doğrulanmış zafiyetler eklenir. Her giriş için üretici çözümü ya da
azaltma yolu ile birlikte ABD federal sivil kurumlar için “yama son
tarihi” belirlenir.

Katalog, dünya genelinde yama önceliklendirmesi için fiili bir standart
hâline gelmiştir. Türk kurumlar için doğrudan bir yasal bağlayıcılığı
olmamakla birlikte, “CISA KEV’e girdi” ifadesi Türkiye’de de “hemen”
anlamına gelmektedir.

Zero-day, N-day ve half-day ayrımı

Zero-day yaşam döngüsü

1. Keşif: Araştırmacı ya da saldırgan tarafından zafiyet
   bulunur.
2. İstismar geliştirme: Zafiyeti güvenilir biçimde kullanabilecek
   kod hazırlanır.
3. Silahlaştırma: İstismar, hedef sisteme özgü yükleyici (loader)
   ve komuta ve kontrol (C2) altyapısıyla birleştirilir.
4. Kullanım: Zafiyet gerçek hedeflerde kullanılmaya başlar. Bu
   aşama, teknik detay kamuya açılmadan aylarca sürebilir.
5. Tespit: Bir güvenlik ekibi (üretici, güvenlik araştırmacısı,
   CERT ya da hedef kurum) olağan dışı davranışı fark eder.
6. Sorumlu açıklama: Üreticiye bildirim yapılır; üretici doğrulama
   ve yama süreçlerine başlar.
7. Yama: Üretici yamayı yayımlar; zafiyet artık N-day hâline
   gelir.
8. Kamuya açıklama: Teknik detaylar araştırma ekibi ve üretici
   tarafından paylaşılır.
9. Toplu istismar: Yamayı uygulamayan sistemlere yönelik toplu
   tarama ve otomatik istismar başlar.

Zero-day’i kim kullanır?

• Devlet destekli tehdit aktörleri: İstihbarat toplama ve stratejik
  operasyonlar için zero-day’lere ciddi kaynak ayırırlar. Google Threat
  Intelligence Group ve Mandiant raporlarına göre kamuya açık zero-day
  istismarlarının önemli bir bölümü nation-state aktörlere
  atfedilmektedir.
• Ticari gözetim yazılımı sağlayıcıları: NSO Group Pegasus,
  Intellexa Predator gibi ticari casus yazılım sağlayıcıları, hedefli
  gözetim için zero-day istismar zincirleri kullanmaktadır.
• Fidye yazılımı çeteleri: Cl0p’un MOVEit ve GoAnywhere
  kampanyaları, zero-day zafiyetlerin fidye yazılımı ekonomisinde ilk erişim
  noktası olarak kullanıldığının belirgin örnekleridir.
• Üst düzey siber suç aktörleri: Bankacılık, kripto para ve
  kurumsal casusluk odaklı gruplar sınırlı kaynaklı da olsa zero-day
  kullanabilir.

Yakın tarihli öne çıkan zero-day’ler

• MOVEit Transfer (2023): Cl0p grubunun CVE-2023-34362 açığıyla
  dünya genelinde yüzlerce kurumun verisini sızdırması.
• Ivanti Connect Secure (2024): UNC5221 grubunun tedarik zinciri
  ve uzak erişim VPN cihazlarını hedef alan zincir zero-day
  kampanyası.
• Fortinet FortiManager (2024, CVE-2024-47575): Aktif istismarda
  tespit edilen kimlik doğrulama açığı, sonrasında Volt Typhoon dahil
  gruplarla ilişkilendirildi.
• Citrix NetScaler ADC / Gateway (2023-2024): “CitrixBleed” ve
  CVE-2026-8452 gibi bir dizi zero-day, fidye yazılımı çetelerinin ilk
  erişim aracı hâline geldi.
• PaperCut NG/MF (2026, CVE-2026-81578, CVE-2026-82078): Baskı
  yönetim yazılımındaki zincir zero-day CISA KEV’e eklendi.
• SonicWall SMA1000 (2026, CVE-2026-83548, CVE-2026-83549): Uzak
  erişim VPN cihazında CVSS 10.0 SSRF ile komut enjeksiyonu zinciri, aktif
  istismarda ve CISA KEV kataloğunda.

Sorumlu açıklama (coordinated disclosure) süreci

Güvenlik araştırmacısı bir zero-day keşfettiğinde, kamuya açıklamadan
önce üreticiye bildirim yapması etik pratik olarak kabul edilir. Süreç
tipik olarak şu adımları içerir:

1. Araştırmacı üreticiye teknik rapor ve kavram kanıtı (proof-of-concept)
   gönderir.
2. Üretici zafiyeti doğrular ve düzeltme çalışması başlatır.
3. Yama tarihi, kamuya açıklama tarihi ve CVE atamaları taraflar arasında
   koordine edilir.
4. Yama yayımlanır, aynı gün ya da kısa süre sonra teknik ayrıntılar
   paylaşılır.

Süreçte anlaşmazlık yaşanırsa (üretici cevap vermez, yamayı ertelerse)
araştırmacı 90-120 günlük bir süre sonunda açığı kamuya duyurabilir;
Google Project Zero bu pratiği kurumsallaştıran ekiplerden biridir.

Zero-day pazarı ve bug bounty

Zero-day zafiyetleri iki paralel pazarda alınıp satılmaktadır:

• Yasal / bug bounty pazarı: Üreticiler (Microsoft, Google, Apple,
  Meta, Intel, SonicWall) ve platformlar (HackerOne, Bugcrowd, Intigriti,
  YesWeHack) araştırmacıya bulguları için ödeme yapar. Türkiye’de
  BTK’nın Bug Bounty programları ve SSB’nin savunma sanayii bug bounty
  girişimleri örnek gösterilebilir.
• Gri / ticari istihbarat pazarı: Zerodium gibi aracılar,
  belirli ürün ve platformlar için altı ila yedi haneli tutarlarda
  zero-day istismar zinciri satın almaktadır. Alıcılar arasında istihbarat
  kurumları ve ticari gözetim yazılımı sağlayıcıları yer alır.
• Yer altı pazarı: Karanlık ağ forumlarında satılan zero-day’ler
  genellikle daha düşük fiyatlı ve daha az güvenilirdir; fidye yazılımı ve
  üst düzey siber suç aktörleri müşteri profilini oluşturur.

Bir zero-day’in fiyatı; ürünün pazar payı, istismarın güvenilirliği,
kullanıcı etkileşimi ihtiyacı, ayrıcalık gereksinimi ve platformun
sıkılaştırma seviyesi ile orantılıdır. iOS ve Android uzaktan sıfır
tıklama (zero-click) istismar zincirleri en yüksek fiyatlı ürünlerdir.

Kurumsal savunma katmanları

Zero-day’ler tümüyle önlenemez; ancak etkileri şu katmanlar ile
sınırlandırılabilir:

1. Saldırı yüzeyi yönetimi: Halka açık uygulamaların ve varlıkların
   sürekli envanteri; gereksiz servislerin kapatılması.
2. En az ayrıcalık ve ağ segmentasyonu: İstismar başarılı olsa
   bile yanal hareketi sınırlayan mimari.
3. Güçlü uç nokta izleme:
   EDR ve
   XDR ile davranışsal
   tespit; bilinmeyen zafiyetler bilinen davranışlarla kendini gösterir.
4. Yama yönetimi: Yayımlanan yamaların risk odaklı
   önceliklendirme ile hızlı uygulanması. CISA KEV kataloğundaki zafiyetler
   en yüksek öncelikte.
5. Kimlik ve MFA: Sızma olsa bile kimlik omurgasının direnç
   göstermesi; ayrıcalıklı erişim yönetimi (PAM).
6. Tehdit istihbaratı: Erken uyarı için
   siber
   tehdit istihbaratı aboneliği ve sektörel bilgi paylaşım
   platformları.
7. Olay müdahale planı: Zero-day tespitinde ilk 24 saatte kimin
   ne yapacağının yazılı ve tatbikatı yapılmış olması.
8. Yedekleme ve iş sürekliliği: Fidye yazılımı senaryosunda
   kurtarma için ayrılmış, çevrimdışı yedekler.

Türkiye mevzuat çerçevesi

7545
sayılı Siber Güvenlik Kanunu, kritik altyapı işletmecileri ve kamu
kurumları için tespit edilen zafiyet ve siber olayların
Siber
Güvenlik Başkanlığına ve
USOM‘a bildirilmesini
zorunlu kılmıştır. Bir zero-day’in kurumu etkileyip etkilemediği
belirlendiği anda bildirim süreci başlatılır. Cumhurbaşkanlığı Dijital
Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi (BİGR); kamu
kurumları için yama yönetimi, saldırı yüzeyi denetimi ve olay müdahale
planı gibi zero-day’lere karşı temel kontrolleri tanımlar.

Sıkça sorulan sorular

Kaynaklar ve doğrulama notu

• MITRE — CVE Program yönetim çerçevesi ve CNA rolleri.
• NIST — National Vulnerability Database (NVD) ve CVSS 3.1 / 4.0 rehberleri.
• FIRST — CVSS 4.0 specification ve calculator.
• CISA — Known Exploited Vulnerabilities (KEV) katalogu ve BOD 22-01 direktifi.
• Google Threat Intelligence Group — 0-days Exploited in-the-Wild yıllık raporları.
• Mandiant — Zero-Day Vulnerability Exploitation raporları.
• Trend Micro Zero Day Initiative (ZDI) — kamu duyuruları.
• Google Project Zero — 90-günlük açıklama pratiği ve yıllık istatistikler.
• Resmî Gazete, 19 Mart 2025, Sayı 32846 — 7545 sayılı Siber Güvenlik Kanunu.
• Cumhurbaşkanlığı Dijital Dönüşüm Ofisi — Bilgi ve İletişim Güvenliği Rehberi.

İçerikte yer alan zero-day örnekleri kamuya açık üretici bültenleri, CISA KEV katalogu, Google Threat Intelligence Group ve Mandiant raporlarına dayanmaktadır. CVE ve CVSS çerçeveleri sırasıyla MITRE ve FIRST’in resmî belgelerinden aktarılmıştır. Envanter Medya, istismar kodu ya da sistem aşma talimatı paylaşmamaktadır.

Son güncelleme: 5 Eylül 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.