Güncellemeler
R50 başlangıç kabul edilmek üzere, yalnız tamamlanan ve kanıtı doğrulanan motor geliştirmeleri. Her satırdaki tarih, değişikliğin doğrulandığı gündür — bu sitenin o değişikliği yayımladığı gün değildir.
Bu defter neyi sayar, neyi saymaz
Buradaki kayıtlar motorun kendi sürüm geçmişidir: tespit kuralları, veri eşleştirmesi, rapor dili ve testler. Kaynak tek bir kanıtlı tarihçe dosyasıdır; satırlar elle yazılmaz. R50 bu defterin başlangıcıdır ve R50’nin tarihi kaynakların motora alındığı günün kaydıdır — ilk ürün çıkışı ya da bir yayın günü değildir. R50 öncesi için tahmini tarih üretilmez.
Her kayıt dört şey taşır: tarih, sürüm ve başlık, kullanıcıya etkisi ve o değişikliğin kapsam sınırı. En yeni kayıt üsttedir. Tarih, geliştirmenin yerel testlerle doğrulanıp kayda geçtiği gündür; canlı yayının ayrıca doğrulanması gerekir ve bu iki tarih aynı olmak zorunda değildir.
Satır üretmeyen günler
- Hiç değişiklik olmayan günler.
- Yalnız araştırma yapılan günler.
- Yalnız test koşulan günler.
- Planlanan, pilot kabulü bekleyen veya başarısız olan işler.
- Tek başına bir güvenlik duyurusu ya da CVE haberi.
Bu sayfa bir sayaç da değildir: motorun kontrol, katman ve operasyonel özellik envanterleri ayrı birimlerdir, birbirine eklenmez ve bu defter yeni bir kontrol toplamı üretmez. Kapsam sayıları için Yetenekler ve Skor Modeli sayfalarına bakın.
Sınır
Bir kaydın burada olması, o özelliğin sizin sitenizde çalıştığını veya sizin sitenizin denetlendiğini göstermez. Defter motorun geçmişidir; bir site raporu veya yayın onayı değildir.
SON KAYDEDİLEN KOŞUM
Son doğrulanmış araştırma ve test durumu
Aşağıdaki değerler motorun kendi durum çıktısından, 23 Ekim 2026 koşumunda kaydedildiği hâliyle alınmıştır. Araştırma zamanı ile test zamanı ayrı alanlardır; biri diğerinin yerine konmaz. Yayımlanan araştırma kaydı elle başlatılmış bir koşumdan gelir: bu bölüm planlı 12.00 koşumunun çıktı kanıtı değildir.
Araştırma kaydı
Son kayıt: . Zorunlu 21 kaynaktan 16’sı kontrol edildi. Beş zorunlu kaynağa — NVD, CISA KEV, PortSwigger Research, HackerOne kamuya açık raporları ve Exploit-DB — bu koşumda erişilemedi; erişilemediği kayda geçti ve bu kaynaklar için güncel kapsam iddia edilmedi.
Bu kayıt elle başlatılan bir koşumdan gelir (tetikleyici: elle istek) ve 16–23 Ekim 2026 inceleme penceresini kapsar; planlı 12.00 koşumunun çıktı kanıtı değildir. Erişilemeyen kaynak “açık yok” sonucu üretmez; eksik kapsam olarak görünür kalır.
Bakım testleri
Bitiş: . Bu koşum rapor üretimi, güvenlik eşleştirmesi, bakım kaydı ve çalışma politikası testlerini kapsıyordu.
Bu koşumun kendisi araştırma yapmadı ve kamuya açık tarihçeyi değiştirmedi. Başarılı test tek başına yeni bir ürün özelliği ya da yeni bir tarihçe satırı doğurmaz.
Çalışma kipi
Düzen yerel bilgisayarda çalışır; kurulmuş bir sunucu yoktur. Zamanlamanın etkin olması, çalışmanın yapıldığının kanıtı sayılmaz.
Kaçırılan çalışma başarılı sayılmaz; eksik gün tarihçeye satır olarak eklenmez.
Bu sayfa statiktir ve canlı bir durum göstergesi değildir: değerler yalnız o koşumun anına aittir. Motor kendi içinde 48 saatten eski araştırma veya test sonucunu güncel saymaz ve “bayat” olarak işaretler; kaynak dosyaları değişmişse test sonucu “kaynak değişti” olur. Güncel durum yalnız yerel kurulumda komut çalıştırılarak okunur.
Doğrulanmış değişiklikler
En yeni kayıt üstte. Üç durum etiketi kullanılır: BAŞLANGIÇ defterin açıldığı kayıttır; GEÇMİŞ KAYIT, kaynak verinin “historical” olarak sınıflandırdığı ve kanıtı arşivlenmiş kayıtlardır — sürüm numarası güncel aileden olsa bile bu sınıflandırma kaynaktan gelir, sayfa kendiliğinden bir kuşak yorumu eklemez; DOĞRULANDI güncel motor testleriyle doğrulanmış geliştirmelerdir. Her kaydın kanıtı yerel olarak saklanır; kanıt dosyalarının yolları ve özetleri kamuya açılmaz.
Rapor doğruluğu ve PDF bağımlılığı güvenlik güncellemesi
Native rapor üretimini durduran dil dönüşümü düzeltildi. Dizin listeleme ve canonical kontrollerinde yanlış bulgular azaltıldı; eksik ölçüm bilinmiyor olarak korunuyor. PDF bağımlılığı üreticinin üç duyuru için yayımladığı yamaya güncellendi. Regresyonlar ve native Word/PDF doğrulaması geçti. Tarih yerel doğrulama günüdür; canlı yayın veya site onayı değildir.
Bu kayıt motorun kendi doğrulama koşumundan gelir. Düzeltmeler motorun kendi kaynağına aittir; müşteri sunucusuna yama uygulanmaz ve bu kayıtta canlı siteye dağıtım yapılmadı.
Güncel güvenlik bağlamı ve anlaşılır puan rehberi
CVE adaylarına isteğe bağlı KEV/EPSS bağlamı, beş Python bağımlılık yaması ve native raporlara puan aralığı/anlamı/sonraki adım rehberi eklendi. Zaman içi karşılaştırma, test/üretim bağlamı ve eksik ölçüm açıklamaları ortak motor testleriyle doğrulandı. Canlı siteye dağıtım yapılmadı.
KEV bir açığın dünyada istismar edildiğinin kaydı, EPSS 30 günlük bir olasılık tahminidir. İkisi de isteğe bağlı bağlamdır, varsayılan olarak kapalıdır, CVSS’in ya da raporun çekirdek puanının yerine geçmez ve çekirdek puana eklenmez. Bağımlılık yamaları WebTrustEngine’in kendi çalışma ortamına aittir; müşteri sunucusuna yama uygulanmaz. Bu kayıtta canlı siteye dağıtım yapılmadı.
Sunucusuz tercih bileşenleri ve rapor regresyon doğrulaması
Çerez/okuma tercihleri paketi, yerel ısı haritası ve portföy görünümü, Jira CSV ve sağlanan model yanıtlarının marka/atıf analizi eklendi. Ek rapor regresyonları düzeltildi; günlük test kapsamı ve native Word/PDF doğrulaması tamamlandı. Canlı kurulum yapılmadı.
Bileşenler yereldir; canlı ziyaretçi verisi toplamaz ve barındırılan bir hizmet sunmaz. Jira CSV bir dışa aktarmadır, canlı API bağlantısı değildir. Marka/atıf analizi yalnız size verilen model yanıtlarını inceler; modelin kendisine bağlanmaz. Bu kayıtta canlı kurulum yapılmadı.
İçerik politikaları ve kanıtlı yeniden ölçüm
Statik içerik politikaları, ekip sahipliği, düzeltme/regresyon takibi, CI bütçeleri, yerel site portföyü ve toplu müşteri analitiği/ısı hücresi içe aktarımı eklendi. Canlı veri toplama veya barındırılmış hizmet değildir.
İçe aktarma canlı veri toplama değildir ve barındırılan bir hizmet sunmaz; toplu veriyle çalışır. Müşteri sitelerine kurulum yapılmış sayılmaz.
Motor içinden bakım takibi ve araştırma teyidi
Yerel bakım testleri için kanıtlı komutlar ve özellik sicili eklendi. Kamuya açık güvenlik araştırmaları günlük kaynak kapsamına alındı; teyit edilmemiş veya geri çekilmiş iddiaların tamamlanmış iş sayılması engellendi. Sunucu ve dark web bağlantısı kurulmadı.
Sunucu kurulmadı ve dark web bağlantısı kurulmadı. Kaynak listesine ekleme, o kaynağın her gün eksiksiz tarandığı anlamına gelmez.
Güncel güvenlik duyuruları ve sürekli bakım
NVD/OSV sürüm eşleştirmesi, kaynak yaşı ve eksik kapsam raporu eklendi. Kritik PHP duyuruları ve koşullu üretici notları ayrı gösteriliyor. Günlük araştırma kayıtları yinelenmeyen bir yol haritasına bağlandı; yalnız kanıtlı değişiklikler tarihçeye alınıyor.
Sürüm eşleşmesi aday bulgudur; hedefte istismar edilebilir bir açığın kanıtı değildir. PHP çalışma ortamı, WordPress çekirdeği ve eklenti/tema ayrı katmanlardır; eklenti/tema sağlayıcı bağlantısı tamamlanmamıştır — sağlayıcı tarafında hesap ve anahtar gereksinimi açık iştir. Sıfır gün veya tüm açıkları bulma garantisi verilmez.
Görev temelli kullanılabilirlik güvencesi
Yerel sentetik görev kanıtları, regresyon karşılaştırması, isteğe bağlı SafeFix görev denetimi ve süreli risk kabulü eklendi. Sentetik görev sonucu gerçek kullanıcı araştırması yerine geçmez.
Sentetik görev sonucu gerçek kullanıcı araştırmasının yerine geçmez. Otomatik kontroller insan erişilebilirlik değerlendirmesini veya bir sertifikayı karşılamaz.
Tarayıcı kanıtı ve ürün güvencesi
Tarayıcı gözlemleri, çevrimdışı saha verisi aktarımı, imzalı karar kayıtları ve kontrollü rapor yayımlama mekanizmaları genişletildi.
Saha verisi içe aktarılır; motor kendi canlı saha ölçümünü üretmez. İmzalı karar kaydı bir iç kayıt disiplinidir, bağımsız bir sertifika değildir.
Kanıta bağlı katalog ve karar raporu
Katalog kayıtları yürütme ve kanıt türlerine ayrıldı. Ölçülemeyen sonuçların bilinmiyor olarak korunması ve rapor sayılarının kaynaklarına bağlanması kayda geçti.
Katalog satırı bir özellik ya da geçer not değildir. Ölçülmemiş olmak sıfır puan demek değildir.
R50 başlangıç kaydı
Tarihsel R50 kaynakları arşivlendi; aktif motor ve eski kaynak katmanları ayrıldı. Bu tarih ilk ürün çıkışını değil, kaynakların içe alınmasını gösterir.
Bu tarih kaynakların içe alınmasını gösterir; ilk ürün çıkışı veya bir canlı yayın günü değildir. Öncesi için tahmini kayıt üretilmez.
Günlük araştırma ve bakım nasıl yürür
Araştırma ve bakım çalışması her gün Türkiye saatiyle 12.00 için planlanmıştır. Mevcut düzen yereldir: bilgisayar ve Codex açık olmalıdır. Kurulmuş bir sunucu yoktur ve 7/24 çalışan bir bulut hizmeti kurulmadı. Kesintisiz izleme de yapılmaz: bilgisayar kapalıysa o günkü çalışma yapılmaz ve kaçırılan çalışma başarılı sayılmaz. Acil bir duyuru 12.00’den sonra çıkarsa bir sonraki yerel çalışmada ele alınır; bu gerçek zamanlı bir alarm hizmeti değildir.
Bu bakımın konusu motorun kendisidir: tespit kuralları, ürün ve sürüm eşleştirmesi, veri adaptörleri, rapor açıklamaları ve testler. Müşteri sitelerinin her gün taranması değildir; müşteri sunucularına otomatik yama uygulanmaz ve müşteri ortamına kurulum yapılmaz. Bu düzen WebTrustEngine’in kendi yerel otomasyonudur.
Hangi kaynak katmanlarına bakılır
- Üretici ve duyuru verisi — PHP, WordPress ve diğer üreticiler, NVD, OSV, GitHub Advisories: ürün kimliği, etkilenen ve yamalı sürüm, düzeltme koşulları.
- Koordinasyon ve istismar bilgisi — CERT/CC ve CISA KEV: bağımsız teyit ve gözlenen aktif istismara göre öncelik.
- Birinci el araştırma — araştırma ekiplerinin kendi teknik yayınları: yeni hata sınıfları ve eksik yama örnekleri.
- Kamuya açıklanmış bulgular — yalnız açıklanmış raporlar; özel veya karartılmış rapor incelenmiş sayılmaz.
- Kamuya açık istismar referansı — PoC varlığı ve ürün/sürüm ilişkisi; PoC çalıştırılmaz ve varlığı aktif saldırı kanıtı değildir.
- Olasılığa göre öncelik — EPSS: tarihli bir tahmin sinyali.
Son kayıtlı koşumda bu katmanların hepsi başarıyla kontrol edilemedi. NVD ve CISA KEV’e erişilemedi; KEV’in yalnız zorunlu olmayan resmî aynası okunabildi (aynanın döndürdüğü katalog yayımı 21 Ekim 2026’dır) ve kanonik kaynağın başarısızlığı başarı olarak etiketlenmedi. Birinci el araştırma katmanında PortSwigger Research okunamadı; Cisco Talos dizini yalnız beş gün önceye ait önbellekli hâliyle görüldü ve 23 Ekim’e kadarki tazeliği doğrulanmadı. Kamuya açıklanmış bulgular ile kamuya açık istismar referansı katmanlarında hiçbir başarılı kontrol yapılamadı. Hangi kaynağın hangi koşumda okunabildiği kayda geçer ve erişilemeyen kaynak için kapsam iddia edilmez.
Dark web veya kapalı tehdit akışı kapsam dışıdır: kurulmuş bir sağlayıcı, üyelik veya adaptör yoktur ve böyle bir özellik iddia edilmez. Bir kaynağın listede olması da o kaynağın bütün içeriğinin her gün tarandığı anlamına gelmez; her koşumda gerçek erişim sonucu kaydedilir.
Bir eşleşme ne anlatır, ne anlatmaz
Sürüm eşleşmesi bir aday bulgudur: hedefte o açığın istismar edilebilir olduğunun kanıtı değildir. Çalışan sürüm, dağıtıcının geri taşıdığı yama ve yapılandırma koşulları ayrıca doğrulanır. KEV bir açığın dünyada istismar edildiğinin kaydıdır; EPSS 30 günlük bir olasılık tahminidir. İkisi de isteğe bağlı bağlamdır, CVSS’in ya da raporun çekirdek puanının yerine geçmez ve çekirdek puana eklenmez.
Katmanlar ayrı okunur: PHP çalışma ortamı, WordPress çekirdeği ve eklenti/tema farklı kapsamlardır. Bir PHP duyurusu WordPress güncellemesiyle kapanmayabilir; doğru katmanın yaması gerekir. Kimliği veya sürümü doğrulanamayan bileşen için kesin eşleştirme üretilmez; eksik girdi açık iş olarak kaydedilir.
Bu sorgular nereye gider
Çevrimdışı tarama ağ kullanmaz: sürüm sorgusunun yenilenmesi varsayılan olarak kapalıdır. KEV/EPSS öncelik bağlamı ayrı bir seçenektir ve o da varsayılan olarak kapalıdır. Operatör birini açıkça etkinleştirdiğinde istek hedef siteye değil veri kaynağına gider: bileşen adı ve sürümü OSV’ye, tam CPE kimliği NVD’ye, yalnız kamuya açık CVE kimlikleri ise FIRST EPSS’e. CISA KEV tarafında hiçbir şey gönderilmez: kamuya açık katalog indirilir ve eşleştirme yerelde yapılır. Müşteri kaynak dosyası, hedef adresi veya parola gönderilmez.
İstekler sert bir bütçeden düşer: varsayılan 20 istek ve 120 saniye, en çok 200 CVE, EPSS için en çok 50 kimliklik gruplar. Sınır dışı kalan kimlikler sorgulanmadı olarak kalır; sorgu, yanıt, kaynak adresi ve alınma zamanı kaydedilir.
Vaat edilmeyenler
Tüm açıkların bulunması, bilinmeyen altyapının kapsanması, sıfır gün garantisi, bütün WordPress eklenti ve temalarının kapsanması, kesintisiz izleme ve otomatik yama: bunların hiçbiri bu üründe yoktur.
Güvenlik sınırının tamamı için Güvenlik Sınırı, puan aralıklarının anlamı için Skor Modeli sayfasına bakın.
ON SORU
Güncellemeler ve günlük bakım hakkında
S: Yeni bir PHP açığı WordPress güncellemesiyle kapanır mı?
C: Her zaman değil. Duyurunun etkilediği katman — PHP çalışma ortamı, WordPress çekirdeği veya bir eklenti — ayrı değerlendirilir; doğru katmanın yaması gerekir.
S: Bütün altyapıların bütün açıkları bulunur mu?
C: Hayır. Kapsam, kimliği ve sürümü doğrulanabilen bileşenler ile veri sağlayıcısının kapsamıyla sınırlıdır. Gizlenen sürümler, özel yazılımlar ve henüz bilinmeyen açıklar için tam kapsama garantisi yoktur.
S: WordPress eklenti ve temaları da kapsanıyor mu?
C: Envanter alınabilir, ancak güncel sağlayıcı bağlantısının tamamlanmadığı kapsamlar doğrulanmamış olarak kalır. Çekirdek sürüm eşleştirmesi ayrı çalışır.
S: Bir eşleşme kesin istismar edilebilir açık mıdır?
C: Hayır. Çalışan sürüm, dağıtıcının geri taşıdığı yama ve yapılandırma koşulları ayrıca doğrulanır.
S: Kaynak servisine erişilemezse ne olur?
C: Kesinti veya eski veri açıkça kaydedilir. Bilgi alınamaması “açık yok” sonucu üretmez.
S: Her gün yeni bir özellik mi eklenir?
C: Hayır. Günlük bakım yeni bir ürün özelliği doğurmayabilir. Bu sayfa yalnız tamamlanan ve doğrulanan değişiklikleri tutar.
S: Bilgisayar kapalıyken çalışır mı?
C: Mevcut yerel düzen çalışmaz. Sunucu ve bulut yürütmesi şu an kapsam dışındadır; kaçırılan çalışma başarılı sayılmaz.
S: Müşteri sitesine otomatik yama yüklenir mi?
C: Hayır. Bu bakım görevi WebTrustEngine’in tespit kurallarını ve motorunu geliştirir; müşteri ortamına otomatik yama yüklemez.
S: Tarihçedeki gün canlı yayın günü mü?
C: Aksi ayrıca belirtilmedikçe ürün değişikliğinin doğrulandığı gündür. Canlı yayının ayrıca doğrulanması gerekir.
S: Yanlış veya geri çekilen bir duyuru nasıl ele alınır?
C: Kaynak tekrar incelenir; etkilenen kural ve açıklama düzeltilir. Eski kanıt silinmez ve geçmiş sessizce değiştirilmez.
Daha geniş soru seti için SSS sayfasına bakın.
Bir değişikliğin sizin sitenizde ne anlama geldiğini görmek için kanıtlı bir durum fotoğrafı gerekir.
İnceleme talebini hazırla