İçeriğe atla
Bilgi Merkezi/Makale
Makale

Yama Yönetimi (Patch Management) Nedir? Güncellemeden Farkı

Yama yönetimi sürecini, CVSS, CISA KEV ve EPSS ile önceliklendirmeyi, Patch Tuesday'i ve yama, güncelleme ve sürüm yükseltme farkını anlattık.

Oğuzhan Gerçek··6 dk okuma
Yama Yönetimi (Patch Management) Nedir? Güncellemeden Farkı

Kısa cevap: Yama yönetimi (patch management), kurumdaki yazılım ve firmware için yamaları, güncellemeleri ve sürüm yükseltmelerini belirleme, önceliklendirme, edinme, kurma ve kurulduğunu doğrulama sürecidir. Yama belirli bir açığı ya da hatayı kapatan düzeltmedir; güncelleme bu düzeltmeleri de kapsayan daha geniş bir terimdir; sürüm yükseltme ise yazılımı yeni işlevler ve olası uyumsuzluklar getiren yeni bir sürüme taşır. İyi bir süreç envanterle başlar, açıkları istismar riskine göre sıralar, yamayı kademeli dağıtır ve sonucu ölçer.

Yama yönetimi nedir?

NIST'in yama rehberi SP 800-40 Rev. 4 (Nisan 2022), yama yönetimini kurum genelinde yamaları, güncellemeleri ve sürüm yükseltmelerini belirleme, önceliklendirme, edinme, kurma ve kurulduğunu doğrulama süreci olarak tanımlıyor. Rehberin alt başlığı yaklaşımı özetliyor: teknoloji için önleyici bakım. NIST'e göre yama, işin olağan bir maliyeti sayılmalı ve sıkı biçimde takip edilmeli.

Türkiye'de bankalar için resmî bir tanım da var: BDDK'nın bilgi sistemleri yönetmeliği yamayı, programlarda tespit edilen güvenlik açıklarını ya da hatalı bir işlevi düzeltmek için hazırlanan program eklentisi olarak tanımlıyor (md. 3). İşletim sistemlerinin yamalanması ve sürüm yaşam döngüsü, sözlüğümüzdeki yönetilen işletim sistemleri maddesinde birlikte anlatılıyor.

Yama, güncelleme ve sürüm yükseltme farkı

Üç terim çoğu zaman birbirinin yerine kullanılıyor:

  • Yama (patch): Belirli bir açığı ya da hatayı kapatan düzeltme. Sürüm hattı değişmez; Semantic Versioning şemasında 1.4.2'nin son hanesi (PATCH) yalnızca geriye dönük uyumlu hata düzeltmelerinde artar.
  • Güncelleme (update): Şemsiye terim. Microsoft'un yazılım güncellemesi terminolojisi güvenlik güncellemesini, tanım güncellemesini ve service pack'i aynı çatı altında sayıyor; Windows'un aylık kalite güncellemeleri de güvenlik ve güvenlik dışı düzeltmeleri birlikte taşıyor.
  • Sürüm yükseltme (upgrade): Yazılımı yeni bir sürüme taşır. SemVer'de yeni işlev MINOR, geriye uyumsuz değişiklik MAJOR haneyi artırır; Windows'ta yeni işlev getiren özellik güncellemeleri yılda bir yayımlanıyor.

Fark en çok destek bittiğinde hissedilir. Windows 10 22H2'nin desteği 14 Ekim 2025'te sona erdi. Sonrasında bu sürüme güvenlik güncellemesi, yıllık abonelikle sunulan ESU programıyla geliyor; kurumlar bunu en fazla üç yıl alabiliyor. Kalıcı çözüm sürüm yükseltmek ya da sistemi değiştirmek. BDDK yönetmeliği de üretici desteği bitip güncellenemeyen ve telafi edici kontrollerle makul güvenliğe kavuşturulamayan sistem, yazılım ve cihazların kullanımdan kaldırılmasını istiyor (md. 16/2). Destek sonu planlamasını işletim sistemi ve platform yaşam döngüsü sayfamızda ele alıyoruz.

Yama yönetimi neden önemli?

Verizon'un 2026 Veri İhlali Araştırmaları Raporu'nda (DBIR) zafiyet istismarı, %31 ile ihlallerde en sık görülen ilk erişim yolu oldu; bir yıl önce bu oran %20'ydi. Aynı rapora göre CISA'nın bilinen istismar edilen açıklar kataloğundaki (KEV) açıkların yalnızca %26'sı 2025'te tamamen kapatıldı; tamamen kapatmaya kadar geçen ortanca süre 32 günden 43 güne çıktı.

NIST yamanın işletimi kesebileceğini kabul ediyor, ama ödünleşimi açık koyuyor: yamanın yol açtığı kesintiler büyük ölçüde kontrol edilebilir, saldırı olaylarının yol açtıkları ise büyük ölçüde kontrol edilemez.

Yama yönetimi süreci adım adım

NIST süreci bir yaşam döngüsü olarak anlatıyor. Pratikte adımlar şöyle sıralanır:

  1. Envanter: NIST güncel bir yazılım envanterinin kurulup sürekli korunmasını istiyor ve varlıkları son kullanıcı dizüstüleri, sunucular ya da IoT cihazları gibi benzer özellikteki bakım gruplarına (maintenance group) ayırmayı öneriyor. Endpoint tarafını endpoint güvenliği yazımızda anlattık.
  2. Önceliklendirme: Hangi açığın önce kapatılacağına istismar riski karar verir (bir sonraki bölüm).
  3. Test: NIST yamanın dağıtımdan önce test edilebileceğini yazıyor; BDDK ise bankalardan yamaların uygulama öncesinde test edilmesini açıkça istiyor (md. 16/1-ç).
  4. Kademeli dağıtım: NIST rutin yamalarda aşamalı dağıtımı öneriyor; yama önce küçük bir varlık grubuna gider ve bu varlıklar sorunu erken gösteren canary işlevi görür. Microsoft'un dağıtım halkaları (Preview, Limited, Broad) da aynı mantıkla çalışıyor.
  5. Geri dönüş: Yama işletimi bozarsa kaldırıp önceki sürüme dönmek gerekebilir. BDDK, sorun çıkması hâlinde izlenecek yöntemin önceden tanımlanmasını istiyor (md. 16/1-f).
  6. Doğrulama ve izleme: NIST'e göre yamanın kurulduğu ve etkili olduğu doğrulanmalı, sonra yerinde kaldığı izlenmeli; ölçek büyüdükçe bu iş otomasyon ister.

Önceliklendirme: CVSS, CISA KEV ve EPSS

Her açığı aynı hızla kapatmak mümkün değil; sırayı üç kaynak birlikte belirler:

  • CVSS: Açığın önem derecesini 0 ile 10 arasında puanlar; ölçeği sızma testi yazımızda anlattık. FIRST, temel (Base) puanın tehdit (Threat) ve çevresel (Environmental) ölçütlerle zenginleştirilmesini istiyor; aynı açık her kurumda aynı riski taşımaz.
  • CISA KEV: ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın kataloğu, CVE numarası olan, istismar edildiğine dair güvenilir kanıt bulunan ve net bir düzeltmesi olan açıkları listeliyor. CISA kurumlara kataloğu önceliklendirmede girdi olarak kullanmalarını öneriyor; NIST'e göre ABD federal kurumları kataloğa yeni eklenen açıkları iki hafta içinde kapatmak zorunda.
  • EPSS: FIRST'ün modeli, yayımlanmış bir CVE'nin önümüzdeki 30 gün içinde istismar edilme olasılığını her gün tahmin ediyor. FIRST'e göre EPSS yalnızca tehdit bileşenine bakar ve asla risk puanı olarak kullanılmamalı.

Kart verisi işleyen kurumlar için takvim belli: PCI SSC'ye göre PCI DSS 6.3.3, kritik açıkların yamalarının yayımlanmasından itibaren bir ay içinde kurulmasını istiyor. Kurum ise dış kaynakların verdiği risk derecesini kabul etmek zorunda değil (6.3.1). Açıkların bulunmasını zafiyet taraması sayfamızda anlattık.

Microsoft Patch Tuesday ve acil yamalar

Microsoft aylık güvenlik güncellemesini her ayın ikinci salı günü, genellikle Pasifik saatiyle 10.00'da yayımlıyor; bu yayına Patch Tuesday ya da Update Tuesday deniyor. Paketler birikimli; son paket önceki güvenlik düzeltmelerini de içeriyor. Bekleyemeyecek açıklar için takvim dışı (out-of-band) güncellemeler çıkıyor.

NIST rutin takvimin yanında üç senaryo daha tanımlıyor: kriz anında acil yama, yama çıkmadan önce açığı geçici olarak azaltan acil önlem ve kolayca yamalanamayan varlıkların yalıtılması. İnternete açık bir web uygulamasında geçici önlemlerden biri WAF ile sanal yama olabilir.

Yama yönetimi nasıl ölçülür?

NIST'in önerdiği temel ölçü, bakım planındaki son tarihe kadar yamalanan varlıkların yüzdesi; yanında ortalama ve ortanca yamalama süresi. Ölçüler varlığın önemine (düşük, orta, yüksek) göre ayrı tutulur; kritik bir sunucuyla bir test makinesinin hedefi aynı olmaz. KEV'deki açıklar için kurumun kendi ortanca kapatma süresi, Verizon'un ölçtüğü 43 günle karşılaştırılabilir. BDDK da uygulanan ya da uygulanmamasına karar verilen yamalar hakkında bilgi güvenliği sorumlusuna düzenli rapor verilmesini ve uygulanamayan yamaların kapatmaya çalıştığı açıklar için telafi edici kontroller kurulmasını istiyor (md. 16/1-e ve 16/1-g).

Sık sorulan sorular

Patch management nedir? Türkçesi yama yönetimi olan bu süreç, yazılım ve firmware yamalarını belirlemeyi, önceliklendirmeyi, kurmayı ve kurulduğunu doğrulamayı kapsar.

Yama ile güncelleme arasındaki fark nedir? Yama belirli bir açığı ya da hatayı kapatan düzeltmedir. Güncelleme daha geniş bir terimdir; güvenlik yamalarını, hata düzeltmelerini ve tanım güncellemelerini kapsar.

Patch Tuesday nedir? Microsoft'un aylık güvenlik güncellemelerini yayımladığı gündür, yani her ayın ikinci salısı.

Kritik yamalar ne kadar sürede uygulanmalı? Tek bir kural yok. PCI DSS kritik açıkların yamalarını bir ay içinde istiyor; ABD federal kurumları istismar edildiği bilinen yeni açıkları iki hafta içinde kapatmak zorunda.

Yama yönetimi ile zafiyet yönetimi aynı şey mi? Hayır. Zafiyet yönetimi açıkları bulmayı, önceliklendirmeyi ve risk kararını kapsar. Yama bu açıkları kapatma yollarından biridir; yapılandırma değişikliği, segmentasyon ve sürüm yükseltme de riski azaltır.

Kaynaklar