Güvenlik güncellemeleri ve bildirimler

Zefily, sitelerinizde ve sunucularınızda çalışanları, yayımcılarının yayımladığı duyuru ve sürümlerle karşılaştırır. Bulunan her güncelleme ya da güvenlik düzeltmesi Güncellemeler sayfasında listelenir: site ya da sunucu, konusu, sahip olduğunuz sürüm, onu düzelten sürüm, önem derecesi ve duyuru. Güvenlik düzeltmeleri önce gelir. Bir bulgu, nedeni ortadan kalkana kadar sayfada kalır: güncelleme uygulanınca, paket kaldırılınca ya da düzeltme çıkınca Zefily duyuruyu kapatınca.

Neler kontrol edilir#

• WordPress siteleri: çekirdek sürümü en yeni WordPress güvenlik sürümüyle, her eklenti ve tema da kurulu sürümünün bilinen güvenlik açıklarıyla karşılaştırılır. Çekirdek, eklenti ve tema için bekleyen güncellemeler de listelenir. Kontrol, sitenin son WordPress kontrolünü okur (WordPress sayfası); yenilemek için orada bir kontrol çalıştırın.
• Tek tıkla uygulamalar ve uygulama yığınları: Zefily, kurduğu bir uygulama için (örneğin Supabase ya da Uptime Kuma) güvenlik düzeltmesi duyurduğunda, o uygulamadan kurulmuş her site siz güncelleyene kadar listelenir. Bir uygulamanın yeni ana sürümü (örneğin Nextcloud 36) bir güvenlik bildirimi değil, bir güncellemedir.
• Kilit dosyaları ve konteyner imajları: bir sitenin kilit dosyasındaki (Composer, npm, pip, Bundler, Go) ve konteyner imajındaki paketler, bunlar için bildirilen açıklıklarla. CVSS puanı 7.0 ve üstü olan bulgular duyurulur; daha düşükler sayfada kalır.
• Sunucular: işletim sistemi için bekleyen güvenlik güncellemeleri, diğer paket güncellemeleri ve bilinen açıklığı olan işletim sistemi paketleri. Sunucu bulguları günlük sunucu kontrolü ve CVE taraması (Güvenlik sekmesi) ile duyurulur; Güncellemeler sayfası da bunları listeler.

Bilgi nereden gelir#

Her kaynak şu türlerden biridir. Panel ve ajan yalnızca belgelenmiş beslemeleri ve veritabanlarını okur:

Zefily bir bulguyu kaynağına sahip olduğunuz sürümle eşleştirir; sürümünüzü etkilemeyen bir duyuru listelenmez. Zefily'nin okuyamadığı bir duyuru sessizce atlanmaz, ekibe bildirilir.

Tek tıkla uygulamaların ve yığınların kurulu sürümü#

Bir uygulamanın güvenlik düzeltmesi, sitede yalnızca site düzeltilmiş sürümden düşük bir sürüm çalıştırıyorsa listelenir. Sitenin kurulu sürümü, uygulamanın belgelediği yoldan okunur. Uygulama sürümünü okumanın belgelenmiş bir yolu yoksa Güncellemeler sayfası sürüm okunamıyor yazar; bulgu, site güncellenene ve Zefily duyuruyu kapatana kadar kalır. Zefily bir sürümü asla tahmin etmez.

Kilit dosyası paketleri ve konteyner imajları için düzelten sürüm, OSV'nin açıklık kaydından gelir: kurulu sürümü içeren etkilenen aralığın fixed olayı (https://github.com/ossf/osv-schema/blob/main/docs/schema.md; kaynak https://google.github.io/osv.dev/api/). yalnızca SEMVER aralıklarından ve npm, Composer (Packagist) ve Go paketleri için gösterilir; diğer aralık ve ekosistemlerde bilinmez kalır.

Kime ve nasıl bildirilir#

Kuruluşun sahipleri ve yöneticileri her yeni bulgu için bir kez bilgilendirilir:

• Panelde (zil ve Güncellemeler sayfası): her zaman. Site ya da sunucu var olduğu sürece kapatılamaz.
• E-postayla: güvenlik düzeltmeleri için, varsayılan olarak açık.
• Dış kanallarınıza (webhook, Slack, Discord, Telegram, PagerDuty, Opsgenie): update.security olayı, varsayılan olarak açık. Oluşturduğunuz bir webhook uç noktası da bunu alır.

Diğer güncellemeler (yeni bir WordPress eklentisi, bir paket güncellemesi) panelde bir kez bildirilir. E-posta ya da dış olay göndermez.

Güvenlik düzeltmeleri de unutulmaz: açık bir güvenlik bulgusu olduğu sürece haftada bir, hâlâ açık olanları listeleyen tek bir hatırlatma olarak tekrarlanır. Uygulanan ya da Zefily'nin artık bildirmediği bulgu kapanır ve tekrarlanmaz.

E-posta ve dış bildirimleri kapatmak#

Güvenlik bildirimlerini e-postayla ve dış kanallara kapatabilirsiniz; ancak sorumluluğu kendiniz kabul ettikten sonra. Ayarlar → Webhook bölümüne gidin, E-posta ve dış kanallar için kapat seçeneğini seçin, açıklamayı okuyun, kabul ettiğinizi işaretleyin ve parolanızı onaylayın. Zefily adınızı ve saati kaydeder; değişiklik etkinlik günlüğündedir. Bundan sonra:

• Panel içi bildirimler ve Güncellemeler sayfası her bulguyu göstermeye devam eder;
• güvenlik e-postası gönderilmez ve kanallarınıza update.security olayı gitmez. Kapatma kabul edilene kadar bir uç nokta bu olayı bırakamaz;
• düzeltmeleri uygulamak yine sizin sorumluluğunuzdadır.

Güvenlik bildirimlerini yeniden aç seçeneği bunu istediğiniz zaman geri alır; kabul edilecek bir şey yoktur. Başka bir sahip ya da yönetici aynı durumu aynı sayfada görür.

Bilmeniz gerekenler#

• WordPress güncellemeleri WordPress sayfasından uygulanır. Her güncelleme önce anlık yedek alır ve site bozulursa siteyi geri yükler. Bir uygulama, siteden güncellenir (Şimdi dağıt, uygulama yığını için Güncelle).
• Kontrol günde iki kez çalışır, güvenlik izlemesinden sonra. Hemen yanıt için WordPress sayfasında bir kontrol çalıştırın.
• Bir uygulamanın bulgusu, düzeltme çıkana ve Zefily duyuruyu kapatana kadar kalır; sitenizdeki uygulama sürümü Zefily'ye her zaman bilinmez.