Selamlar,
Oracle'ın tek seferde 1.295 yama çıkardığı bir dünyada "önce hangi açığı kapatalım?" sorusu mavi takımların en kritik kararı. Yıllardır tek ölçüt CVSS'ti; ama CVSS ciddiyeti ölçer, sömürülme olasılığını değil. İşte burada EPSS (Exploit Prediction Scoring System) devreye giriyor. Bu rehberde EPSS nedir, CVSS'ten farkı ne ve pratikte nasıl kullanılır, ele alıyorum.
Konuda anlatılacaklar
- EPSS nedir?
- CVSS ile farkı
- API ile sorgulama
- KEV ile birleştirme
- Pratik önceliklendirme akışı
1. EPSS nedir?
EPSS, FIRST tarafından geliştirilen, bir CVE'nin önümüzdeki 30 gün içinde vahşi doğada sömürülme olasılığını 0-1 arası bir skorla tahmin eden bir modeldir. 0.96 skor, yüksek sömürülme olasılığı; 0.01 ise düşük anlamına gelir. Model günlük güncellenir.
2. CVSS ile farkı
- CVSS: "Bu açık sömürülürse ne kadar kötü olur?" (ciddiyet, statik)
- EPSS: "Bu açık yakın zamanda sömürülür mü?" (olasılık, dinamik)
3. API ile sorgulama
EPSS API'si ücretsiz ve kimlik doğrulamasız:
Kod:
# Tek CVE
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-0257" | python3 -m json.tool
# Birden fazla CVE
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-0257,CVE-2026-111497"
# EPSS'i 0.9 üstü olanları listele
curl -s "https://api.first.org/data/v1/epss?epss-gt=0.9&limit=50"Kod:
import requests
cves = ["CVE-2026-0257","CVE-2026-111497","CVE-2025-64446"]
r = requests.get("https://api.first.org/data/v1/epss",
params={"cve": ",".join(cves)})
data = sorted(r.json()["data"],
key=lambda d: float(d["epss"]), reverse=True)
for d in data:
print(f"{d['cve']} EPSS={float(d['epss']):.4f} pct={d['percentile']}")4. KEV ile birleştirme
CISA'nın Known Exploited Vulnerabilities (KEV) kataloğu, zaten aktif sömürülen açıkların listesidir. Bir CVE KEV'deyse, EPSS tahminine gerek kalmadan en yüksek önceliktir; çünkü olasılık değil, gerçekleşmiş sömürüdür.
Kod:
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | python3 -c "import sys,json;print(len(json.load(sys.stdin)['vulnerabilities']),'KEV kaydi')"5. Pratik önceliklendirme akışı
- KEV'de mi? Evetse -> hemen yama (en yüksek öncelik).
- EPSS yüksek mi (örn. > 0.5)? Evetse -> acil sıraya al.
- CVSS kritik + internete dönük mü? Evetse -> yüksek öncelik.
- Varlık kritikliği ile ağırlıklandır; kritik sistemleri öne al.
- Düşük EPSS + düşük maruziyet -> normal bakım döngüsüne bırak.
Sonuç
CVSS tek başına "neyi önce yamalamalı" sorusunu yanıtlamaz. KEV (gerçekleşen sömürü) + EPSS (sömürü olasılığı) + varlık kritikliği üçlüsü, kısıtlı kaynakları en çok sömürülecek açıklara yöneltir. Siz yama önceliklendirmede EPSS/KEV kullanıyor musunuz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar
- https://www.first.org/epss/
- https://api.first.org/
- https://www.cisa.gov/known-exploited-vul...es-catalog
