MODERNİZASYONUN FAYDALARI
Eski Yazılımda Güvenlik Risklerini Önceliklendirme
Destek dışı bileşenleri, güncelleme engellerini ve erişim sınırlarını görünür kılın. Önce hangi riskin ele alınacağına karar verin.
Son güncelleme:
KISA CEVAP
Güncellenemeyen bileşenler ve belirsiz erişim yetkileri güvenlik sorunlarına müdahaleyi zorlaştırabilir. Modernizasyonu; güncelleme yolu, sorumlusu belli kontroller ve önceliklendirilmiş giderim işleri üzerinden planlayın.
Neden önemli?
Verizon 2025 DBIR'da hata ve yetki kötüye kullanımı sınıfları dışındaki ihlallerin bilinen ilk erişim yollarında zafiyet istismarı %20, kimlik bilgisi kötüye kullanımı %22 ve kimlik avı %16'dır. Zafiyet istismarının payı önceki rapora göre %34 artmıştır.
Kaynak: 2025 Data Breach Investigations Report — Executive Summary · Verizon · Yayın tarihi: · Erişim tarihi: Şekil 1'in örneklemi 9.891 ihlaldir; rapor dönemi 1 Kasım 2023–31 Ekim 2024. %34 göreli artıştır, yüzde puan değildir. Bütün işletmelerin ihlal olasılığını ölçmez.
CISA, kritik altyapı ve ulusal kritik işlevlerde desteği bitmiş yazılım kullanımını tehlikeli bir uygulama sayıyor; internete açık teknolojilerde riski özellikle vurguluyor.
Kaynak: Bad Practices · Cybersecurity and Infrastructure Security Agency (CISA) · Yayın tarihi: · Erişim tarihi: · Son kontrol: Resmî güvenlik kılavuzudur; sayısal risk veya modernizasyon başarı ölçümü değildir. CISA tüm kuruluşları bu uygulamaları ele almaya çağırır.
W3Techs’in 13 Ekim 2026 tablosunda, sunucu dili bilinen sitelerin %69,7’si PHP kullanıyor. PHP kullanan sitelerde sürüm 8’in payı %64,7, sürüm 7’nin %27,4, sürüm 5’in %7,8.
Kaynak: Usage Statistics and Market Share of PHP for Websites · W3Techs · Yayın tarihi: · Erişim tarihi: Günlük gözlemdir; kullanım oranı ve sürüm paylarının paydaları farklıdır. Güvenlik bağlamı, php-7-4 ve php-5-6 EOL kayıtlarıyla birlikte okunur: PHP Group desteği sona ermiştir (https://www.php.net/eol.php). Ticari destek veya belirli bir sitede açık bulunduğu ölçülmez.
Red Hat’in ikinci uygulama modernizasyonu raporunda, modernizasyon yapmakta olan kurumların %58’i güvenlik, %53’ü ölçeklenebilirlik, %52’si güvenilirlik faydası gördüğünü bildiriyor.
Kaynak: The state of application modernization, second edition · Red Hat · Yayın tarihi: · Erişim tarihi: Red Hat sponsorlu öz bildirime dayalı anket; Ekim–Kasım 2023’te ABD, Birleşik Krallık ve İngilizce konuşan Asya-Pasifik’ten 1.000 BT katılımcısı. Oranlar modernizasyon yapan alt gruba aittir; nedensellik veya bizim hizmetimizin sonucu değildir.
Bir bileşen güncellenemediğinde ne oluyor?
Eski bir bağımlılık güncellemeyi engelleyebilir; ortak hesaplar da bir işlemi kimin yaptığını belirsiz bırakabilir. Güvenlik çalışmasını bu somut sorunlardan başlatmak, ilk müdahalenin kapsamını netleştirir.
Güncelleme, yetki ve işlem kayıtlarında neler değişir?
- Güncellenebilir bileşenler: Sürüm ve bağımlılık engellerini gidererek uygulama için sürdürülebilir bir güncelleme yolu oluşturmak.
- İşe göre yetki: Kullanıcının rolüne uygun veri ve işlem erişimi tanımlamak.
- İzlenebilir işlemler: Önemli değişikliklerde kim, ne zaman, ne yaptı sorusunu yanıtlayan kayıtlar tutmak.
Önce hangi güvenlik sorunu incelenir?
Güncellenemeyen bir bileşeni veya yetkisi belirsiz bir işlemi seçin. Etkilenen kullanıcıları, veriyi ve mevcut kontrolü sağlık raporu kapsamında inceleyip giderim adımını belirleyelim.
Her bulgu yeniden yazım gerektirmez. Uygulanabilir yama, doğru erişim ayarı veya ayrılmış bir bileşen yeterliyse kapsam o müdahaleyle sınırlanabilir.
Bir sorguyu düzeltmek neleri değiştirir?
PHP sipariş araması deneyinde aynı altı işlev ve erişim kontrolünü üç uygulamaya verdik. Yalnız sorguyu parametreli hale getirmek, başka müşterinin siparişine erişimi tek başına engellemedi.
| Uygulama | Geçen kontrol | Ne değişti? |
|---|---|---|
| Girdiyi sorgu metnine ekleme | 2 / 6 | Hatalı sorgu ve yetkisiz kayıt dönüşü görüldü. |
| Parametreli sorgu | 5 / 6 | Girdi sorgu yapısını değiştiremedi; müşteri sınırı eksik kaldı. |
| Parametreli, müşteri kapsamlı sorgu | 6 / 6 | Bu altı kontrol beklenen kayıtlarla sonuçlandı. |
Ekrandaki kullanıcı metni deneyinde ise HTML olarak yorumlanan girdiyle düz metin gösterimini karşılaştırdık. Sonuçlar, düzeltilecek kod ve kontrolün neden birlikte ele alınması gerektiğini gösteriyor.
Ölçüm yaklaşımı
PHP deneyi, aynı sentetik sipariş verisinde normal arama, bulunmayan kayıt, kesme işareti, iki sorgu enjeksiyonu girdisi ve müşteriler arası erişimi kontrol eder. Altı işlev ve erişim kontrolünün girdileri ile dönen kayıtları yayımlandı. Ön yüz deneyi de altı ayrı metin/HTML girdisini inceler. Bunlar müşteri sistemine yapılan testler veya bütün sistemi kapsayan güvenlik onayı değildir. Sektör kaynakları bu deneylerin sonucu değildir; ölçüm ilkelerini inceleyin.
Laboratuvardan kanıtlar
Geçen işlev ve erişim kontrolü
↑ 3×Yüksek daha iyi · 1 tek ölçüm
Ölçüm yöntemi →Kendi durumunuzu inceleyin
Sık sorulan sorular
Desteği bitmiş yazılım kesin olarak ele geçirilmiş midir?
Hayır. Destek durumu ile gerçekleşmiş bir ihlal farklı bilgilerdir. Ürün ve sürümün destek kaydını incelemek, belirli bir sistemde açık bulunduğunu veya bir saldırının gerçekleştiğini göstermez.
Tarama sonucu temizse güvenlik işi tamamlanmış olur mu?
Hayır. Sonuç yalnız taranan kapsam, kullanılan araç, sürüm ve tarama tarihi için anlam taşır. Erişim yetkileri, kayıt tutma ve yedekten dönüş gibi kontroller ayrıca ele alınmalıdır.
Önce ve sonra bulgu sayıları nasıl karşılaştırılmalı?
Tarama kapsamı, araç sürümü ve bulgu sınıfları kaydedilmelidir. Kapsam ya da yöntemdeki değişiklik açıklanmadan yalnız toplam sayıların azalması iyileşme olarak sunulmamalıdır.
Güvenlik testi hangi ortamda yapılır?
Test ortamını ve kapsamını birlikte belirleriz. Canlı sisteme erişim gerektiren kontroller için izin, zaman aralığı ve durdurma koşulları önceden kararlaştırılır; uygun kontroller önce ayrı bir test ortamında denenir.
Bu sayfa bir uyumluluk belgesi veya güvenlik onayı sağlar mı?
Hayır. Yayımlanan deneyler, belirli girdi ve erişim kontrollerinin sonuçlarını gösterir. Bir kontrol listesi, yasal uygunluk kararı, sertifika veya sistemin tümünü kapsayan güvenlik onayı yerine geçmez.