Güvenlik açığı, istismar edilebilecek bir zayıflıktır. Bu bir yazılım hatası, yanlış yapılandırma, tasarım kusuru veya insan alışkanlığı olabilir. Ortak Güvenlik Açıkları ve Açıklamaları veritabanı, bilinen yazılım kusurlarını benzersiz tanımlayıcılarla izler. Log4Shell olarak bilinen CVE-2021-44228, yaygın olarak kullanılan bir günlük kaydı kütüphanesindeki bir güvenlik açığıydı. Milyonlarca sunucuda uzaktan kod yürütülmesine olanak sağladı. Saldırganlar, açıklanmasından saatler sonra bu açığı istismar etti. Yamalar hızla geldi. Birçok sistem aylarca yamasız kaldı.

Tüm güvenlik açıkları yazılım hatası değildir. Varsayılan kimlik bilgilerine sahip bir sunucu savunmasızdır. Herkese açık olarak ayarlanmış bir bulut depolama alanı savunmasızdır. Şifreleri tekrar kullanan bir çalışan savunmasızdır. Bölümlendirme yapılmamış bir ağ savunmasızdır. Tanım geniştir çünkü saldırı yüzeyi geniştir. Güvenlik açıkları, Ortak Güvenlik Açığı Puanlama Sistemi (CVSS) kullanılarak puanlanır. CVSS, istismar edilebilirlik ve etkiye bağlı olarak ciddiyeti 0 ile 10 arasında derecelendirir. 10 kritik, 3 ise düşüktür. Puan, yamalama önceliğini belirlemeye yardımcı olur. Ancak puan her şeyi anlatmaz. Yalıtılmış bir sistemdeki kritik bir güvenlik açığı, internete açık bir sunucudaki orta düzey bir güvenlik açığından daha az önemlidir. Önceliği bağlam belirler. Güvenlik açığı denklemin sadece yarısıdır. Diğer yarısı ise herhangi birinin ona erişip erişemeyeceğidir.

Güvenlik açığı kaynakları

• Yazılım hataları — istismara olanak sağlayan kodlama hataları
• Yanlış yapılandırmalar — güvenliği zayıflatan ayarlar
• Tasarım hataları — mimari zayıflıklar
• İnsan faktörleri — zayıf şifreler, kötü alışkanlıklar
• Tedarik zinciri — üçüncü taraf bileşenlerdeki güvenlik açıkları

Açık bırakılmış bir kapı güvenlik açığıdır. Bir tehdit, kapı kolunu denemeye çalışan biridir. Risk ise içeri girdiklerinde olacaklardır.