İnternet sitelerinin yaklaşık yüzde 70’inin altyapısında kullanılan PHP’de kritik güvenlik açıkları belirlendi. Yapay zekâ destekli araştırmalarla ortaya çıkarılan açıklar üzerine bazı platformlar tedbir amacıyla geçici olarak erişime kapatılırken, Türkiye’de ulusal ölçekte güvenlik taramaları başlatıldı.
PHP’de yıllardır saklı kalan açıklar belirlendi
1990’lı yılların başında geliştirilen PHP; çevrim içi mağazalardan kamu hizmetlerine kadar pek çok internet sitesinde kullanılıyor. Bu altyapıdaki güvenlik sorunları, saldırganların farklı sistemlere erişebilmesine yol açabilecek riskler taşıyor.
Siber güvenlik şirketi Wiz Research, yapay zekâ yardımıyla PHP’de on yılı aşkın süredir fark edilmemiş açıklar bulduğunu bildirdi. Ağustos ayında tespit edilen sorunlar, düzeltme çalışmaları sürerken kamuoyuna açıklanmadı. OpenAI ve Google’ın geliştirdiği ileri düzey yapay zekâ modellerinin de güvenlik araştırmalarında kullanıldığı belirtildi.
OpenAI, tespit edilen açıkları yakın dönemin en etkili güvenlik sorunları arasında değerlendirdi. Şirket, yapay zekânın internet genelinde etkili olabilecek yazılım hatalarını bulma kapasitesinde yeni bir aşamaya ulaştığına dikkat çekti. Wiz’in çalışmasından bağımsız olarak Calif adlı güvenlik şirketi de OpenAI’nin finanse ettiği PHP kod denetimi sırasında açıklar tespit etti.
Güncelleme çağrısı yapıldı
Açıkları gidermek amacıyla PHP için bir güncelleme yayımlandı. PHP Foundation, yazılımı kullanan şirket ve kuruluşların teknoloji ekiplerine güncellemeyi gecikmeden kurmaları çağrısında bulundu. Bazı kurumlar, olası istismar riskine karşı sitelerini geçici olarak hizmet dışı bırakırken geliştiriciler de sistemleri korumak için çalışmalara başladı.
Uzmanlar, erişim kesintilerinin tek başına bir siber saldırı yaşandığını göstermediğini vurguluyor. Paris polisinin internet sitesi ve Pokémon uyku takip uygulaması da güncelleme sürecinde erişilemeyen platformlar arasında yer aldı. Swinburne Teknoloji Üniversitesinden Dimitrios Salampasis, güncellemeler uygulanırken sistemlerin geçici süreyle çevrim dışı bırakılmasının koruyucu bir tedbir olabileceğini belirtti.
James Cook Üniversitesinin Singapur kampüsünden Steve Kerrison ise araştırmacıların şu ana kadar bu tekniklerle aktif saldırı yapıldığına ilişkin kanıt görmediğini aktardı.
Güncellenmeyen sistemler risk taşıyabilir
Büyük kuruluşların açıkları daha hızlı giderebileceği, küçük işletmelerin ve kişisel blog sahiplerinin ise sorundan haberdar olmayabileceği belirtiliyor. Güncelleme yapılmayan sistemler ilerleyen günlerde ya da aylarda saldırılara açık kalabilir. Böyle bir durumda bilgisayar virüslerinin yayılması, istenmeyen iletilerin gönderilmesi ve zararlı içeriklerin dağıtılması gibi sonuçlar ortaya çıkabilir.
Açıklardan yararlanılması kişisel verilerin ele geçirilmesi riskini de beraberinde getiriyor. Sızdırılan bilgiler, kullanıcıların parola veya hesap bilgilerini hedef alan kimlik avı girişimlerinde kullanılabilir. Ayrıca bir internet sitesi kendi altyapısını güncellese bile bağlı olduğu üçüncü taraf hizmetlerde açık sürüyorsa risk ortadan kalkmayabilir. New South Wales Üniversitesinden Rahat Masood, üçüncü taraf sistemlerdeki zafiyetlerin ana sistem güncellendikten sonra da güvenlik sorununu devam ettirebileceğine işaret etti.
Uzmanlara göre tek bir güncelleme güvenliği bütünüyle sağlamaya yetmiyor. Yazılımları düzenli güncellemek, üçüncü taraf bileşenleri denetlemek ve birden fazla savunma katmanı kullanmak temel önlemler arasında bulunuyor. Yapay zekâ açıkların daha hızlı bulunmasını sağlarken, teknik ayrıntıların kötü niyetli kişilerin eline geçmesi bu açıkların istismar edilmesini de kolaylaştırabilir.
Türkiye’de ulusal güvenlik taramaları başlatıldı
Siber Güvenlik Başkanlığı, PHP altyapısındaki kritik açıkların ardından ulusal ölçekte tarama başlattığını ve ilgili kurumlarla kuruluşlara acil güvenlik bildirimleri ilettiğini duyurdu. Başkanlık, risklerin erken belirlenmesi ve olası etkilerin sınırlandırılmasının amaçlandığını bildirdi.
Açıklamada, kamu kurumlarının, kritik altyapı işletmecilerinin ve özel sektör kuruluşlarının sistemlerini gözden geçirerek gerekli güncellemeleri hızla uygulamasının önem taşıdığı belirtildi. Dijital altyapının güvenliği ve kritik hizmetlerin devamlılığı için ulusal koordinasyon ile önleyici çalışmaların sürdüğü kaydedildi.
Farklı ülkelerde bazı platformlar geçici olarak kapatıldı
Japonya Sağlık, Çalışma ve Refah Bakanlığı, ülke genelindeki uzun süreli bakım hizmeti sağlayıcılarının iletişim bilgilerini içeren bilgi paylaşım sisteminin internet sitesini tedbir amacıyla geçici olarak erişime kapattı.
Danimarka, Norveç ve Finlandiya da kullanıcıları PHP’de bulunan ciddi açıklar konusunda uyardı. Danimarka Siber Güvenlik ve Dayanıklılık Kurumu, sistem sahiplerine mümkün olan en kısa sürede güncelleme yapmalarını; bunun mümkün olmadığı durumlarda sistemleri geçici olarak çevrim dışı bırakmalarını önerdi.
Norveç Ulusal Güvenlik Kurumu, açıkların yetkisiz kişilerin parola ya da giriş işlemi olmadan etkilenen sistemleri kontrol etmesine imkân tanıyabileceği uyarısında bulundu. NRK’nin aktardığına göre, Norveç Dijitalleşme Müdürlüğü ile eğitim ve araştırma alanlarında güvenli giriş ve veri paylaşımı için kullanılan Feide de kapatılan platformlar arasındaydı.
Finlandiya Ulusal Siber Güvenlik Merkezi, bazı kamu sitelerinin öncelikli güvenlik tedbirleri kapsamında devre dışı bırakıldığını açıkladı. Finlandiya medyası, Helsinki Kitap Fuarı ile Finlandiya Film Vakfı’nın internet sitelerinde de kesintiler yaşandığını bildirdi.
Hollanda Başbakanı Rob Jetten ise vatandaşların kamu hizmetlerine erişmek için kullandığı DigiD ve MijnOverheid platformlarının geçici olarak erişime kapatıldığını duyurdu.
