İçeriğe atla
Bilgi Merkezi/Makale
Makale

Exploit Nedir? Zero-day, Exploit Kit ve Korunma Yolları

Exploit, bir yazılım zafiyetini kullanarak sisteme izinsiz erişim sağlayan kod ya da yöntemdir. Türleri, zero-day, saldırı zinciri ve korunma yolları.

Oğuzhan Gerçek··4 dk okuma
Exploit Nedir? Zero-day, Exploit Kit ve Korunma Yolları

Kısa cevap: Exploit (istismar kodu), bir yazılım ya da donanımdaki zafiyeti (vulnerability) kullanarak o sistemde normalde yapılamayacak bir şeyi yapan kod, veri ya da komut dizisidir: yetkisiz erişim, yetki yükseltme, uzaktan kod çalıştırma, hizmeti çökertme. Zafiyet kapı aralığıdır, exploit o aralıktan giren araç. Yaması çıkmadan önce sahada kullanılan exploitlere zero-day denir; Google'ın sayımına göre 2025'te 90 zero-day sahada istismar edildi. Korunmanın büyük kısmı iki şeye dayanıyor: yamaların zamanında uygulanması ve exploit çalışsa bile zararı sınırlayan katmanlar (en az ayrıcalık, segmentasyon, EDR).

Exploit nedir?

Her exploitin arkasında bir zafiyet vardır: bellek yönetimi hatası, doğrulanmayan girdi, yanlış yapılandırılmış yetki, varsayılan parola. Exploit bu hatayı tetikleyen özel girdidir; bir web formuna yazılan SQL parçası, bir PDF'in içine gömülmüş kod, bir ağ paketindeki bozuk başlık ya da yalnızca doğru sırayla gönderilen birkaç istek olabilir. Zafiyetler kamuya açık olduğunda CVE numarasıyla anılır; exploitin varlığı ise zafiyetin tehlike derecesini belirleyen asıl şeydir, çünkü teorik bir açık ile kopyala yapıştır kullanılabilen bir saldırı aracı aynı risk değildir.

Exploit tek başına nadiren hedeftir. Saldırı zincirinde yeri genellikle ilk adım ya da ortadaki yetki yükseltme adımıdır; sonrasında zararlı yazılım yüklenir, kalıcılık sağlanır, ağda yanal hareket edilir ve çoğu olayda iş fidye yazılımıyla biter.

Exploit türleri

  • Uzaktan (remote) exploit: Ağ üzerinden, sisteme önceden erişim olmadan çalışır; en tehlikeli sınıf. İnternete açık VPN cihazı, güvenlik duvarı, e-posta sunucusu ve web uygulaması tipik hedefler.
  • Yerel (local) exploit: Sistemde zaten bir hesabı olan saldırganın yetkisini yükseltmesi için kullanılır.
  • İstemci tarafı (client-side) exploit: Kullanıcının açtığı belge, tıkladığı bağlantı ya da ziyaret ettiği sayfa üzerinden tarayıcıyı ya da ofis yazılımını hedefler; oltalama ile birlikte gelir.
  • Web exploitleri: SQL enjeksiyonu, XSS ve benzeri uygulama katmanı açıklarını kullanır.
  • Zero-day exploit: Yama henüz yayımlanmadan sahada kullanılan exploit. Google Threat Intelligence Group'un Mart 2026 raporuna göre 2025'te 90 zero-day sahada istismar edildi (2024'te 78); bunların 43'ü, yani yüzde 48'i kurumsal yazılım ve cihazlardaydı ve bu kurumsal zero-day'lerin yaklaşık yarısı güvenlik ve ağ cihazlarını hedefledi.
  • N-day exploit: Yaması çıkmış ama uygulanmamış zafiyetleri hedefler. Saldırıların büyük kısmı burada gerçekleşir, çünkü yama ile uygulama arasındaki süre saldırgan için en verimli pencere. Ekim 2026'daki PHP2Shell açıkları için hazırladığımız kontrol listesi bu pencereyi kapatmanın adımlarını veriyor.

Exploit kit ve kavram kanıtı (PoC)

Exploit kit, tarayıcı ve eklenti açıklarını otomatik deneyen, ele geçirilmiş web sitelerine yerleştirilen saldırı paketidir; ziyaretçinin sistemini tarar, uygun exploiti seçer ve yük (payload) indirir. Kavram kanıtı (proof of concept, PoC) ise bir zafiyetin istismar edilebildiğini gösteren örnek kod; araştırmacılar yayımlar, savunma ekipleri test için kullanır, saldırganlar da silah hâline getirir. Bir zafiyet için PoC yayımlandığında yama uygulama süresi günlerden saatlere iner.

Exploit nasıl tespit edilir?

  • Zafiyet taraması: Sistemlerde bilinen CVE'lerin varlığı düzenli taranır; hangi zafiyetin sahada istismar edildiği CISA'nın Known Exploited Vulnerabilities kataloğu gibi listelerle önceliklendirilir. Yöntemi zafiyet taraması sayfasında anlattık.
  • Sızma testi: Zafiyetin gerçekten istismar edilebilir olup olmadığını kontrollü biçimde dener; ayrıntısı sızma testi yazısında.
  • Uç nokta tespiti (EDR): Exploit çalıştığında ortaya çıkan davranışı (beklenmedik süreç, bellek enjeksiyonu, yetki değişikliği) yakalar; EDR ve XDR yazısında.
  • Log ve SIEM: İnternete açık cihazlardaki başarısız ve olağan dışı istekler, SIEM kurallarıyla izlenir.

Exploitlerden nasıl korunulur?

  1. Yama yönetimi: En etkili tek önlem. İnternete açık sistemler için yama penceresi günlerle, sahada istismar edilen zafiyetler için saatlerle ölçülmeli; düzeni yama yönetimi yazısında anlattık.
  2. Saldırı yüzeyini küçültmek: Gerekmeyen servisler kapatılır, yönetim arayüzleri internete açılmaz, internete açık cihazların envanteri tutulur.
  3. En az ayrıcalık: Exploit çalışsa bile ele geçirdiği hesabın yetkisi sınırlı olmalı; yönetici hakları PAM ile ayrı tutulur.
  4. Ağ bölümleme: Tek bir sunucunun düşmesi bütün ağın düşmesi anlamına gelmemeli; yöntemi ağ güvenliği yazısında.
  5. Uygulama katmanı korumaları: İnternete açık uygulamaların önünde WAF, istemci tarafında güncel tarayıcı ve ofis yazılımı, makro ve betik kısıtları.
  6. EDR ve izleme: Önleme başarısız olduğunda tespit ve müdahale süresi zararın boyutunu belirler.
  7. Yedek ve kurtarma: Exploit zinciri fidye yazılımıyla bittiğinde tek çıkış değiştirilemez yedek ve denenmiş kurtarma planıdır.

Sık sorulan sorular

Exploit ne demek? Bir zafiyeti kullanarak sistemde yetkisiz bir şey yaptıran kod, veri ya da yöntem. Zafiyet açık, exploit o açıktan giren araç.

Zafiyet (vulnerability) ile exploit arasındaki fark nedir? Zafiyet yazılımdaki hata ya da zayıflık; exploit o hatayı gerçekten kullanan kod. Her zafiyetin exploiti yoktur; exploiti olan zafiyet acil yama gerektirir.

Zero-day ne demek? Yaması henüz yayımlanmadan sahada istismar edilen zafiyet ve ona yazılmış exploit. Google'ın sayımına göre 2025'te 90 tane vardı.

Exploit kit nedir? Tarayıcı ve eklenti açıklarını otomatik deneyip zararlı yazılım indiren, ele geçirilmiş sitelere yerleştirilen saldırı paketi.

Antivirüs exploitleri yakalar mı? Bilinen exploit imzalarını yakalayabilir; zero-day ve bellek içi teknikler için davranış tabanlı EDR gerekir. Asıl koruma yama ve en az ayrıcalık.

Exploit kullanmak suç mu? Türkiye'de bilişim sistemine izinsiz girmek ve orada kalmak Türk Ceza Kanunu'nun 243 ve devamı maddelerinde suçtur; sızma testi yalnızca yazılı yetkilendirme ve kapsam sözleşmesiyle yapılır.

Kaynaklar