GitHub Advisory Database üzerinde yaşanan rekor güvenlik açığı bildirim artışı, inceleme sürelerini uzatarak yazılım dünyasında yeni riskler oluşturuyor.
Ne oldu?
Mayıs 2026'da GitHub Advisory Database (GitHub Danışma Veritabanı), aylık ortalamasının beş katından fazla olan 1.560 adet doğrulanmış güvenlik danışmanlığı raporu yayımlayarak tarihinin en yüksek seviyesine ulaştı. Bu rekor artış geçici bir dalgalanma olmayıp, Mart ile Mayıs ayları arasında aylık bazda 6.000'den fazla danışmanlık kararı (güncelleme, yeni yayın ve inceleme) alınmasıyla veritabanı operasyonlarında kalıcı bir ölçek büyümesine işaret etti. Aynı dönemde platform genelindeki özel güvenlik açığı raporları haftalık yaklaşık 550 seviyesinden 3.000'in üzerine, depo danışmanlıkları ise haftalık 650'den 5.000'in üzerine çıktı. Ayrıca GitHub'ın CVE Yetkili Makamı (CNA) olarak aldığı CVE talepleri, Mayıs ayında bir önceki yılın aynı dönemine kıyasla neredeyse 10 kat artarak 4.000 sınırına yaklaştı.
Neden önemli?
Bu eşi benzeri görülmemiş rapor artışı ve bildirilen güvenlik açıklarının karmaşıklığı, GitHub'ın iç inceleme ve doğrulama sürelerinin uzamasına neden oldu. Nisan ortasından bu yana güvenlik açığı bildirimlerinin doğrulanıp yayımlanma süresi birkaç haftaya kadar uzadı ve bu durum yazılımların güvenlik açıklarına maruz kalma pencerelerini potansiyel olarak genişletiyor. GitHub, veri doğruluğundan taviz verip süreci hızlandırmak yerine her raporu insan eliyle doğrulamaya devam ediyor; çünkü doğrulama adımlarının atlanması, ekosistemde ciddi operasyonel riskler yaratabilecek çok sayıda hatalı pozitif (false positive) uyarıya yol açabilir.
Gelen raporların karmaşıklığı küratörlerin iş yükünü artıran en büyük etkenlerden biridir. Güvenlik açığının hangi paket yöneticisinde (npm, PyPI veya Maven) yer aldığının netleştirilmesi, sürüm aralıklarının kaynak kod analizleriyle yeniden oluşturulması ve birden fazla ekosistemi etkileyen projelerin bağımsız olarak doğrulanması gibi işlemler ciddi zaman gerektiriyor. Bu karmaşık vakaların artması, inceleme kuyruğunda birikmeye yol açarak zincirleme bir yavaşlama etkisi yaratıyor.
Kim veya ne etkileniyor?
Bu gecikmelerden en başta Dependabot kullanıcıları etkileniyor; mevcut uyarılar normal çalışsa da, yeni keşfedilen açıklar için uyarıların oluşturulması daha uzun sürebiliyor. Açık kaynaklı yazılım geliştiren topluluklar, API ve veri beslemelerini kullanan üçüncü taraf güvenlik araçları ile bu ekosisteme bağımlı olan tüm şirketler geciken yayın süreleri nedeniyle risk altında kalıyor. Proje yöneticileri ve güvenlik araştırmacıları da gönderdikleri güvenlik bildirimlerinin küresel veritabanına işlenmesi sürecinde daha uzun bekleme süreleriyle karşı karşıya kalıyor.
Ne yapılmalı?
GitHub, küratörlerine yapay zeka destekli araştırma araçları sunarak ve veri altyapısını modernize ederek süreci hızlandırmaya çalışsa da, asıl çözüm topluluğun iş birliğinde yatıyor. Güvenlik araştırmacıları ve maintainer'lar, raporlarında paket isimlerini tam olarak kayıt defterindeki (registry) haliyle belirtmeli, etkilenen sürüm aralıklarını net olarak yazmalı ve eksiksiz CVSS vektörleri ile CWE sınıflandırmalarını eklemelidir. Ayrıca, yayınlama niyeti kesin olmayan durumlar için gereksiz CVE talebinde bulunulmamalı ve çelişkili verileri önlemek adına paydaşlar arasında koordinasyon artırılmalıdır. Geliştiriciler, veritabanındaki hataları düzeltmek için doğrudan Advisory Database'e çekme istekleri (PR) göndererek verilerin kalitesini ve hızını artırmaya katkı sağlayabilir.
**Kaynaklar:**
- GitHub Blog
- GitHub Topluluk Tartışmaları
- GitHub Güvenlik Dokümantasyonu