Güvenlik Maruziyeti Araştırması 2026: Japonya, G7, Vietnam ve Malezya'da 268,000 Sitede PHP, HSTS ve CVE Maruziyeti
- 10 bölgede (Japonya, ABD ve genel TLD'ler, Birleşik Krallık, Almanya, Fransa, İtalya, Kanada, Vietnam, Malezya ve küresel en popüler siteler listesi) 268,485 siteye her biri için tek bir sıradan sayfa yüklemesiyle istek gönderdik; 121,903 site yanıt verdi. Yalnızca her sunucunun yanıtında kendisi hakkında söylediklerini kaydettik.
- Japonya, ölçtüğümüz 8 güvenlik önleminin tamamında en düşük benimseme oranına sahip (HTTPS zorunluluğu, HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, önde WAF/CDN). CSP 7.8%, HSTS 18.1% düzeyinde; HTTPS'i zorunlu kılmayan Japon sitelerinin oranı 11.3%, diğer bölgelerde ise 1.5–4.1%.
- Desteği sona ermiş (end-of-life) PHP her yerde yaygın. PHP sürümünü açıklayan siteler arasında artık güvenlik düzeltmesi almayan bir sürümde olanların payı 29.8% (Almanya) ile 64.2% (Vietnam) arasında değişiyor. Japonya 52.3% düzeyinde ve PHP sürümünü açıklayan Japon siteleri içinde hâlâ PHP 5.x gösterenlerin payı 24.0%; bu, tüm bölgeler arasındaki en yüksek pay.
- Çoğu bölgede PHP sürümünü açıklayan sitelerin yaklaşık onda altısı hâlâ 2026'nın kritik PHP güvenlik açıklarının (CVSS 9.8) düzeltilmiş sürümlerinden daha eski bir sürüm gösteriyor. İstisna Almanya (34.3%). Japonya 59.5%, Japonya'nın üst sıralardaki sitelerinde ise 64.1%.
- Uzaktan kod çalıştırmaya (RCE) veya bellek bozulması istismarlarına yol açabilen güvenlik açığı sınıflarında, RCE sınıfı CVE'lerde Japonya'nın maruziyeti Birleşik Krallık, ABD ve Almanya'nınkinin kabaca iki katı (3.5%; karşılaştırmada 1.5%, 1.7%, 1.8%). Bellek bozulması CVE'lerinde Japonya (8.1%) Birleşik Krallık'ın (3.1%) çok üzerinde, ancak Almanya (7.6%) ve Fransa (8.2%) ile aynı düzeyde; İtalya (10.1%) ve Vietnam (16.2%) daha yüksek.
Bu makale İngilizce olarak sitescouter.net adresinde, Japonca olarak sitescouter.net adresinde de yayımlanmıştır. Bu, İngilizce sürümden çevrilen Site Scouter Türkçe sürümüdür.
Kapsam ve yöntem
| Öğe | Ayrıntı |
|---|---|
| Dönem | 22–24 Ekim 2026 |
| Bölgeler | Japonya, ABD ve genel TLD'ler, Birleşik Krallık, Almanya, Fransa, İtalya, Kanada, Vietnam, Malezya, küresel en popüler siteler |
| İstek gönderilen / yanıt veren siteler | 268,485 / 121,903 (Japonya: 160,390 / 35,998) |
| Yapılan işlem | Site başına bir DNS sorgusu, bir TLS el sıkışması ve bir HTTP GET. Port taraması, güvenlik açığı yoklaması, oturum açma denemesi veya istismar trafiği yok. Siteyi bir tarayıcıda bir kez açmakla aynı temas. |
| Kaydedilenler | Server ve X-Powered-By başlıkları, CMS generator etiketleri, TLS sürümü, sertifika, güvenlik başlıkları, çerez öznitelikleri, DNSBL kaydı, WAF/CDN varlığı |
| CVE eşleştirme | ABD NIST National Vulnerability Database'deki PHP, Apache httpd, nginx, WordPress, Drupal, Joomla, OpenSSL ve IIS için kamuya açık CVE'ler, her ürünün kendi CPE aralıkları kullanılarak sunucunun kendisinin açıkladığı sürüm dizesiyle eşleştirildi |
| Veri işleme | Sonuçlar yalnızca ekleme yapılarak (append-only) saklanır ve salt okunur biçimde toplanır. Hiçbir değer düzenlenmedi veya silinmedi. İlk CVE eşleştirme geçişindeki bir hata (başka ürünlerin CPE'lerini karşılaştırıyordu) toplama sırasında fark edildi ve buradaki tüm CVE rakamları, saklanan sürüm dizelerinin düzeltilmiş yeniden eşleştirmesinden gelmektedir. |
Örneklemin yapısı. Japonya dışındaki bölgeler, ülke kodlu TLD'ye göre Tranco popüler siteler listesinden alındı (Birleşik Krallık: .uk/.co.uk; Almanya: .de; Fransa: .fr; İtalya: .it; Kanada: .ca; Vietnam: .vn; Malezya: .my). "ABD ve genel TLD'ler", diğer ülkelerin ccTLD'leri hariç .us/.com/.net/.org'dur; dolayısıyla ABD'de barındırılan sitelerin bir listesi değil, İngilizce web için bir yaklaşık göstergedir. "Küresel en popüler siteler", Tranco listesinin en üst kısmıdır. Japonya üç kaynaktan örneklendi: Tranco (.jp), Majestic Million (.jp) ve SiteScouter'ın kendi arama geçmişinden 130,070 alan adı. Bunlar kullanıcıların bir Japon SEO aracına yazdığı alan adlarıdır ve süresi dolmuş veya park edilmiş çok sayıda alan adı içerir (yalnızca 11.7% yanıt verdi; Tranco için bu oran 66.3%, Majestic için 72.5%). Aşağıdaki bölgeler arası karşılaştırmalar örneklemlerin tamamını kullanır; Japon kaynaklarının belirgin biçimde ayrıştığı yerlerde bunları ayrı gösteriyoruz.
Burada "maruziyet" ne anlama geliyor
Bu rapordaki "maruziyet", bir sunucunun açıkladığı sürüm dizesinin kamuya açık bir CVE'nin etkilenen aralığına düşmesi anlamına gelir. Linux dağıtımları düzeltmeleri çoğu zaman sürüm dizesini değiştirmeden geriye taşır (back-port) ve bir WAF veya CDN saldırı yolunu engelleyebilir; bu nedenle işaretlenen bir site zaten güvende olabilir. Oranlar üst sınırdır. Hiçbir sitenin istismar edilip edilemeyeceğini test etmedik. Tersi de geçerlidir: sürümünü gizleyen siteler (Japonya'da yanıt veren sitelerin 74.3%'ü) bu yöntemle görünmez; sürümü gizlemek iyi bir hijyen uygulamasıdır ama yazılımın güncel olduğu anlamına gelmez.
Güvenlik önlemleri: Japonya sekizinde de son sırada
| Bölge | n | HTTPS zorunlu | HSTS | CSP | X-Frame-Options | X-Content-Type-Options | Referrer-Policy | Permissions-Policy | Önde WAF/CDN |
|---|---|---|---|---|---|---|---|---|---|
| Japonya | 35,998 | 88.7 | 18.1 | 7.8 | 19.7 | 22.3 | 8.7 | 3.9 | 20.0 |
| Birleşik Krallık | 18,376 | 98.5 | 22.9 | 19.8 | 78.8 | 77.6 | 70.2 | 12.5 | 78.2 |
| ABD ve genel TLD'ler | 18,325 | 95.9 | 46.4 | 32.7 | 46.1 | 44.9 | 33.4 | 18.4 | 56.5 |
| Almanya | 16,358 | 96.5 | 47.7 | 29.4 | 47.6 | 54.2 | 33.5 | 15.7 | 26.9 |
| Fransa | 8,910 | 97.4 | 42.3 | 27.7 | 50.1 | 48.2 | 34.7 | 17.5 | 39.4 |
| İtalya | 8,234 | 97.3 | 31.5 | 23.6 | 41.7 | 38.7 | 29.2 | 15.4 | 40.5 |
| Küresel en popüler siteler | 7,482 | 97.6 | 51.9 | 35.7 | 50.6 | 46.9 | 33.4 | 18.0 | 50.1 |
| Kanada | 4,822 | 97.5 | 41.9 | 33.1 | 54.5 | 54.2 | 36.0 | 16.9 | 55.6 |
| Vietnam | 2,267 | 96.1 | 30.7 | 21.7 | 35.6 | 36.9 | 24.7 | 14.9 | 29.8 |
| Malezya | 1,131 | 96.6 | 40.6 | 29.6 | 47.6 | 47.1 | 31.2 | 19.7 | 51.9 |
(Yanıt veren sitelerin yüzdesi.)
En büyük fark HTTPS'te: Japon sitelerinin 11.3%'ü (4,068 site) HTTPS'i zorunlu kılmıyor; diğer bölgelerde bu oran 1.5–4.1%. Hâlâ düz HTTP üzerinden yüklenen bir sayfa aktarım sırasında değiştirilebilir ve oturum açma bilgileri ele geçirilebilir.
Adil bir okuma için iki uyarı önemli:
- Birleşik Krallık'ın yüksek başlık puanları Cloudflare'e dayanıyor. Birleşik Krallık sitelerinin 78.2%'si bir WAF/CDN arkasında bulunuyor ve Cloudflare varsayılan olarak X-Frame-Options, X-Content-Type-Options ve Referrer-Policy ekliyor. Bu rakamlar, site sahiplerinin kararları kadar bir sağlayıcı varsayılanını da yansıtıyor. En düşük WAF/CDN payı Japonya'da (20.0%).
- Fark, Japonya'nın uzun kuyruklu örnekleminden kaynaklanan bir yapaylık değil. Yalnızca Japonya'nın üst sıralardaki (Tranco) siteleri HSTS'te 27.5%, CSP'de 10.9% puan alıyor. Bu, HSTS'te Birleşik Krallık'ın (22.9%) üzerinde, ancak HSTS'te diğer tüm bölgelerin (30.7–51.9%) ve CSP'de tüm bölgelerin (19.8–35.7%) altında.
| Japonya, örneklem kaynağına göre | n | HTTPS zorunlu | HSTS | CSP | X-Frame-Options | X-Content-Type-Options |
|---|---|---|---|---|---|---|
| Tranco popüler siteler listesi | 10,973 | 94.3 | 27.5 | 10.9 | 32.9 | 34.4 |
| Majestic Million | 9,743 | 92.7 | 20.2 | 8.4 | 23.4 | 25.5 |
| SiteScouter arama geçmişi | 15,282 | 82.1 | 9.9 | 5.1 | 7.8 | 11.7 |
TLS 1.0 ve 1.1 hiçbir yerde gözlenmedi. TLS 1.2'de kalan (TLS 1.3 olmayan) sitelerin payı Japonya'da 13.6%, ABD ve genel TLD'lerde 12.1%, Birleşik Krallık'ta 4.2% ve Vietnam'da 20.3%.
Basit bir hijyen puanı (HTTPS zorunlu, HSTS, CSP, X-Frame-Options, X-Content-Type-Options, sürümün gizli olması ve geçerli sertifika için birer puan) Japonya'da ortalama 3.17; Birleşik Krallık'ta 4.81, Almanya'da 4.42, ABD ve genel TLD'lerde 4.34. Japon sitelerinin 10.9%'u 1 veya daha düşük puan alıyor; Birleşik Krallık'ta bu oran 1.3%.
Sürüm bilgisinin açıklanması
| Bölge | Server başlığında sürüm |
X-Powered-By mevcut |
PHP sürümü açıklanmış | CMS tespit edildi → sürüm açıklandı |
|---|---|---|---|---|
| Japonya | 8.5% | 12.3% | 3,099 (8.6%) | 12,410 → 3,832 |
| Birleşik Krallık | 3.3% | 7.4% | 562 (3.1%) | 1,791 → 942 |
| ABD ve genel TLD'ler | 8.7% | 15.0% | 571 (3.1%) | 2,951 → 1,184 |
| Almanya | 11.6% | 13.0% | 913 (5.6%) | 2,569 → 1,386 |
| Fransa | 7.8% | 13.2% | 683 (7.7%) | 2,181 → 1,096 |
| İtalya | 13.7% | 17.5% | 525 (6.4%) | 2,185 → 1,278 |
| Kanada | 9.8% | 15.3% | 261 (5.4%) | 1,147 → 624 |
| Vietnam | 17.6% | 29.5% | 302 (13.3%) | 425 → 217 |
| Malezya | 11.9% | 13.8% | 77 (6.8%) | 281 → 172 |
| Küresel en popüler siteler | 6.3% | 11.6% | 154 (2.1%) | 896 → 389 |
Tam sürümü belirtmek, hedef seçimini kolaylaştırır. Yine de tutumumuz "gizleyin" değil, "önce güncelleyin, sonra gizleyin". Sürümü gizlemek hiçbir şeyi düzeltmez.
PHP: desteği sona ermiş sürümler her bölgede yaygın
Ekim 2026 itibarıyla destek durumu: PHP 8.1 ve altı artık güvenlik düzeltmesi almıyor (desteği sona erdi); 8.2 yalnızca 31 Aralık 2026'ya kadar güvenlik düzeltmesi alıyor; 8.3 ve sonrası tam olarak destekleniyor.
| Bölge | PHP sürümünü açıklayan siteler | Desteği sona ermiş | Pay | PHP 5.x | PHP 5.x payı |
|---|---|---|---|---|---|
| Vietnam | 302 | 194 | 64.2% | 60 | 19.9% |
| Küresel en popüler siteler | 154 | 92 | 59.7% | 15 | 9.7% |
| Japonya | 3,099 | 1,621 | 52.3% | 743 | 24.0% |
| İtalya | 525 | 260 | 49.5% | 67 | 12.8% |
| Malezya | 77 | 36 | 46.8% | 5 | 6.5% |
| ABD ve genel TLD'ler | 571 | 260 | 45.5% | 75 | 13.1% |
| Fransa | 683 | 292 | 42.8% | 65 | 9.5% |
| Kanada | 261 | 109 | 41.8% | 31 | 11.9% |
| Birleşik Krallık | 562 | 202 | 35.9% | 62 | 11.0% |
| Almanya | 913 | 272 | 29.8% | 97 | 10.6% |
(PHP 5.x payı = PHP 5.x siteleri ÷ PHP sürümünü açıklayan siteler; gösterilen sayılardan hesaplanmıştır.)
Japonya genel desteği sona ermiş sürüm oranında aykırı bir değer değil (Vietnam ve küresel liste daha yüksek), ancak çok eski sürümlerden oluşan uzun kuyrukta öyle: PHP sürümünü açıklayan sitelerinin 24.0%'ü PHP 5.x gösteriyor ve bu, tüm bölgeler arasındaki en yüksek oran. Son sürümü (5.6.40) Ocak 2019'da yayımlanan PHP 5.6, Japonya'da en yaygın üçüncü alt sürüm (453 site).
2026'nın kritik PHP güvenlik açıkları: kaç site hâlâ yamalanmamış bir sürüm gösteriyor
2026'da PHP için CVE-2026-109618 ve CVE-2026-109619 (CVSS 9.8, CRITICAL) yayımlandı. Bunlar, bellek tükendiğinde longjmp() işlenmesiyle tetiklenen use-after-free hatalarıdır ve istekler arasında bellek içeriklerinin karışmasına yol açabilir. Bu durum başka bir kullanıcının verilerini veya oturumunu açığa çıkarabilir ve ele geçirme amacıyla kötüye kullanılabilir. Düzeltilmiş sürümler 8.2.35, 8.3.36, 8.4.27 ve 8.5.12.
| Bölge | PHP sürümünü açıklayan siteler | Yamalanmamış sürüm gösteren | Pay |
|---|---|---|---|
| Vietnam | 302 | 242 | 80.1% |
| Küresel en popüler siteler | 150 | 106 | 70.7% |
| İtalya | 525 | 365 | 69.5% |
| Malezya | 77 | 51 | 66.2% |
| Birleşik Krallık | 562 | 348 | 61.9% |
| Kanada | 261 | 157 | 60.2% |
| ABD ve genel TLD'ler | 571 | 341 | 59.7% |
| Japonya | 3,099 | 1,843 | 59.5% |
| Fransa | 683 | 381 | 55.8% |
| Almanya | 913 | 313 | 34.3% |
Japonya, örneklem kaynağına göre: Tranco popüler siteler listesi 64.1% (936 sitenin 600'ü), Majestic Million 56.3% (1,075 sitenin 605'i), arama geçmişi 58.6% (1,088 sitenin 638'i). Tanınmış bir site olmak, yamalanmış olmak anlamına gelmiyor.
Almanya'nın düşük rakamı hem daha yeni bir sürüm karışımından (PHP sürümünü açıklayan 913 sitesinin 500'ü 8.3 veya sonrasını çalıştırıyor) hem de daha hızlı yamalamadan kaynaklanıyor. Japonya'da bir sürüm serisine yerleştirebildiğimiz 1,842 işaretli sitenin (yeniden eşleştirmede sürüm dizelerinin yorumlanma biçimi nedeniyle ana rakamdan 1 eksik) 759'u 5.x veya daha eski, 549'u ise 7.4 sürümünde; dolayısıyla bunların çoğu bir ara sürüm güncellemesi yerine desteklenen bir seriye geçiş gerektiriyor.
Kamuya açık CVE eşleştirmesi
| Bölge | n | ≥1 CVE | RCE sınıfı (yalnızca Windows CVE'si hariç) | RCE sınıfı (tümü) | Bellek bozulması | CRITICAL (≥1) |
|---|---|---|---|---|---|---|
| Japonya | 35,998 | 10.2% | 3.5% | 5.4% | 8.1% | 8.2% |
| Birleşik Krallık | 18,376 | 4.7% | 1.5% | 2.0% | 3.1% | 3.8% |
| ABD ve genel TLD'ler | 18,325 | 7.9% | 1.7% | 2.5% | 5.1% | 4.6% |
| Almanya | 16,358 | 10.1% | 1.8% | 2.5% | 7.6% | 7.8% |
| Fransa | 8,910 | 12.4% | 3.4% | 5.4% | 8.2% | 9.5% |
| İtalya | 8,234 | 15.1% | 2.6% | 4.2% | 10.1% | 10.0% |
| Küresel en popüler siteler | 7,482 | 5.5% | 1.3% | 2.2% | 3.4% | 3.5% |
| Kanada | 4,822 | 10.8% | 3.5% | 4.6% | 6.7% | 8.5% |
| Vietnam | 2,267 | 21.0% | 4.5% | 9.0% | 16.2% | 13.9% |
| Malezya | 1,131 | 13.8% | 1.8% | 3.7% | 9.2% | 8.4% |
"RCE sınıfı", zayıflık türleri uzaktan komut veya kod çalıştırmaya izin veren CVE'leri kapsar (ör. CWE-77/78/94/502/434); web shell kurulumunun arkasındaki hata türü budur. "Bellek bozulması", CWE-119/125/787/416 ve benzerlerini kapsar. En yaygın RCE sınıfı CVE olan CVE-2024-3566 (PHP, CVSS 9.8) yalnızca Windows'u etkiler; bu nedenle ana RCE sütunu onu hariç tutar. Dahil edildiğinde Japonya 5.4% düzeyindedir.
Açıkça söylemek gerekirse: Japonya'nın RCE sınıfı maruziyeti (3.5%) Birleşik Krallık, ABD ve Almanya'nınkinin yaklaşık iki katı; Fransa (3.4%) ve Kanada (3.5%) ile benzer, Vietnam'ın (4.5%) altında. Bellek bozulması CVE'lerinde Japonya (8.1%) Birleşik Krallık'ın yaklaşık 2.6 katı, ancak Almanya (7.6%) ve Fransa (8.2%) ile hemen hemen aynı, İtalya (10.1%) ve Vietnam'ın (16.2%) ise altında. Japonya bu tabloda en kötü durumda değil, ancak her iki ölçütte de Birleşik Krallık ve ABD'den açıkça daha kötü.
Web sunucuları arasında Apache httpd her bölgede çok yüksek CVE oranları gösteriyor (sürümünü açıklayan sitelerde Japonya 92.5%, ABD 84.5%, Birleşik Krallık 84.7%, Almanya 77.6%). Bu durum büyük ölçüde, 2.4.68 ve öncesini etkileyen bir dizi bellek bozulması CVE'sinin ardından en son yama sürümünün (2.4.69) henüz uygulanmamasını yansıtıyor; yıllardır yerinde bırakılmış PHP 5.x'ten farklı bir sorun. Yeniden yapılacak bir araştırmada hızla değişmesi beklenir. WordPress çekirdeği çok daha iyi durumda (Japonya: sürümünü açıklayan sitelerin 22.1%'i bir CVE ile eşleşiyor); araştırmanın tamamında güncel sürüm açık ara en yaygın sürüm ve eşleşmeler daha eski 6.x sürümlerinde yoğunlaşıyor.
| Site sayısına göre en yaygın CVE'ler | Ürün | CVSS | Sınıf | Siteler | Bunlardan Japonya |
|---|---|---|---|---|---|
| CVE-2026-109618 / 109619 | PHP | 9.8 | bellek | 4,147 | 1,843 |
| CVE-2026-93546 | Apache httpd | 8.8 | bellek | 3,948 | 1,570 |
| CVE-2026-56449 / 57941 ve diğerleri | Apache httpd | 7.5–9.8 | bellek | 3,444 | 1,389 |
| CVE-2024-3566 (yalnızca Windows) | PHP | 9.8 | RCE | 3,101 | 1,576 |
| CVE-2018-19396 | PHP | 7.5 | RCE | 1,330 | 794 |
| CVE-2018-19520 | PHP | 8.8 | RCE | 917 | 621 |
| CVE-2024-55636 ile 55638 arası | Drupal | 9.8 | RCE | 819 | 19 |
Japonya'da desteği sona ermiş bir sürümde olan ve PHP sürümünü açıklayan 1,622 sitenin 1,622'sinin tamamı en az bir kamuya açık PHP CVE'sinin aralığına düşüyor; bunların 1,568'i RCE sınıfı bir CVE. Desteklenen serilerdeki sitelerde rakamlar 23.3% (8.2) ve 13.7% (8.3+) ve bunlar çoğunlukla 2026 düzeltmelerini uygulamamış, 8.3.36'nın altındaki siteler. Aynı örüntü, yani desteği sona ermiş sürümlerde 100% ve desteklenenlerde çok daha düşük oran, karşılaştırdığımız altı bölgenin tamamında görülüyor.
Alan adı türüne göre Japonya'ya daha yakından bakış
| Japon alan adı türü | n | HSTS | CSP | WAF/CDN | Desteği sona ermiş PHP payı | Bellek sınıfı CVE | RCE sınıfı (hariç) |
|---|---|---|---|---|---|---|---|
| co.jp (şirketler) | 6,239 | 23.9% | 10.2% | 20.5% | 53.8% | 8.8% | 3.2% |
| go.jp (kamu kurumları) | 68 | 42.6% | 11.8% | 41.2% | yok | 4.4% | 1.5% |
| ac.jp (akademik) | 285 | 16.8% | 7.0% | 9.1% | 54.8% | 8.1% | 4.9% |
| or.jp (kuruluşlar) | 1,791 | 15.1% | 6.4% | 6.5% | 59.2% | 10.3% | 4.5% |
| ne.jp | 377 | 17.2% | 8.0% | 15.9% | 62.8% | 13.0% | 6.4% |
| gr.jp (gruplar) | 182 | 11.5% | 1.1% | 5.5% | 60.0% | 8.8% | 4.4% |
| genel .jp | 26,242 | 16.9% | 7.3% | 20.6% | 51.0% | 7.8% | 3.6% |
(Desteği sona ermiş PHP payında payda, PHP sürümünü açıklayan sitelerdir. Tek tek sitelerin tanınmasını önlemek için site sayısı çok az olan kategoriler gösterilmemiştir.)
Kamu kurumu siteleri başlıklarda görece güçlü (HSTS 42.6%), ancak örneklem yalnızca 68 site. Şirketler en büyük grubu oluşturuyor ve sonuçları ulusal ortalamayı izliyor. Kuruluşlar ve akademik siteler daha aşağıda ve WAF/CDN korumaları çok az (or.jp için 6.5%).
Site sahipleri ne yapmalı
- PHP'yi ve sunucu yazılımını desteklenen bir seriye ve en az 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 sürümüne güncelleyin. Önce yedek alın ve CMS'inizin, temanızın ve eklentilerinizin yeni sürümü desteklediğini kontrol edin.
- Ardından sürüm dizelerini gizleyin (
expose_php = Off,ServerTokens Prod,server_tokens off). - HTTPS'i zorunlu kılın ve HSTS'i etkinleştirin. Kısa bir
max-ageile başlayın ve ardından artırın. - X-Content-Type-Options, X-Frame-Options, Referrer-Policy ve CSP'yi adım adım ekleyin. Önde bir CDN veya WAF bulunması, bunların birkaçını çoğu zaman varsayılan olarak sağlar.
- Sertifikanın otomatik yenilenmesini ve çerez özniteliklerini kontrol edin (
Secure,HttpOnly,SameSite).
Kendi sitenizi kontrol edin
SiteScouter'ın sunucu bilgisi kontrolü bu araştırmayla aynı müdahalesiz yöntemi kullanır ve sunucunuzun neler duyurduğunu gösterir: Server ve X-Powered-By başlıkları, TLS sürümü, sertifika, güvenlik başlıkları, çerez öznitelikleri ve DNSBL kaydı. Kayıt gerekmez.
Yöntem notları ve sınırlar
Örneklem. Japonya dışındaki bölgeler, ülke kodlu TLD'ye göre Tranco popüler siteler listesinden alınmıştır; Japonya ise Tranco, Majestic Million ve SiteScouter arama geçmişini birleştirir. Rakamların okunması. Her maruziyet oranı, açıklanan sürüm dizelerine dayanan bir üst sınırdır. Ayrıntılar aşağıdaki SSS bölümündedir.
Bu araştırmayla aynı müdahalesiz yöntemi kullanarak sunucunuzun dışarıya neler duyurduğunu görün: PHP ve sunucu sürümleri, TLS, güvenlik başlıkları. SiteScouter'ın ücretsiz sunucu bilgisi kontrolü için kayıt gerekmez.
Kullan: Sunucu bilgisi sorgulamaSSS
Bu bir saldırı mı?
Hayır. Her site bir DNS sorgusu, bir TLS el sıkışması ve bir HTTP GET aldı; bu, siteyi bir tarayıcıda bir kez açmakla aynıdır. Port taraması yapmadık, güvenlik açığı yoklamadık, oturum açmayı denemedik ve istismar trafiği göndermedik. Yalnızca herkese açık HTTP yanıtları ve herkese açık DNS verileri kullanıldı.
"Maruziyet", sitenin savunmasız olduğu anlamına mı geliyor?
Hayır. Açıklanan sürüm dizesinin kamuya açık bir CVE'nin etkilenen aralığına düştüğü anlamına gelir. Dağıtımların geriye taşıdığı düzeltmeler, WAF'lar ve CDN'ler işaretlenen bir siteyi güvenli kılabilir; bu nedenle her maruziyet oranı bir üst sınırdır. İstismar edilebilirliği test etmedik.
Tek tek sitelerin adı veriliyor mu?
Hayır. Bu raporun hiçbir yerinde alan adı veya şirket adı yayımlanmıyor ve sunucu düzeyindeki verileri paylaşmıyoruz.
Yanıt vermeyen siteler ne oldu?
Çözümlenmeyen, yanıt vermeyen veya özel adreslere yönlendiren alan adları paydalardan çıkarıldı. Japonya'daki yanıt vermeyen 120,000 alan adının çoğunun arama geçmişi örnekleminden gelen süresi dolmuş alan adları olduğu düşünülüyor.
Veriler değiştirilmeden mi kullanıldı?
Sonuçlar yalnızca ekleme yapılarak saklanır ve salt okunur biçimde toplanır; hiçbir değer düzenlenmedi veya silinmedi. Toplama sırasında ilk CVE eşleştirme geçişimizin başka ürünlerin CPE'lerini karşılaştırdığını fark ettik ve saklanan tüm sürüm dizelerini düzeltilmiş bir kuralla yeniden eşleştirdik. İlk geçişten elde edilen rakamlar bu raporun hiçbir yerinde kullanılmıyor.
Bir hatayı nasıl bildirebilir veya düzeltme talep edebilirim?
Aşağıdaki iletişim bilgilerini kullanarak yazarla iletişime geçin.
Kaynaklar
Son kontrol: 2026-10-24. Teknik özellikler ve politikalar değişebilir; harekete geçmeden önce birincil kaynakları kontrol edin.
- PHP: Supported Versions (php.net)
- NVD - National Vulnerability Database (NIST)
- Tranco: A Research-Oriented Top Sites Ranking
- The Majestic Million
Yuki Nakazawa (kişisel blog nkzw.jp)
İletişim: Resmi site ／ YouTube ／ Instagram ／ LinkedIn ／ X ／ Telegram