PHP’de yapay zekâ destekli araştırmalarla iki kritik güvenlik açığı tespit edildi. Düzeltme yayımlansa da güncellemeyi hemen uygulayamayan kurumlara sistemlerini güvenli hâle getirene kadar çevrim dışı bırakmaları önerildi. Finlandiya’daki kamu hizmetleri, Hollanda’daki kurumlar ve BBC’nin bazı sayfaları erişim sorunu yaşadı.
Güncellemeyi uygulayamayanlara erişimi kesme önerisi
Açıklardan etkilenme ihtimaline karşı yayımlanan düzeltme çarşamba günü kullanıma sunuldu. Güncellemeyi zamanında yükleyemeyen kuruluşlara ise sistemleri güvenli duruma gelinceye kadar sitelerini erişime kapatmaları tavsiye edildi.
Finlandiya hükümeti kamuya açık web hizmetlerini geçici olarak devre dışı bıraktı. Hollanda’nın ulusal siber güvenlik kurumu da kendi sitesini kapattığını duyurdu. Ülkedeki Ulusal Halk Sağlığı ve Çevre Enstitüsü ile parlamentonun alt kanadı Tweede Kamer’ın internet sitelerine de ulaşılamadı.
İngiltere’de Edinburgh Belediyesi’nin sitesi erişilemez hâle gelirken BBC’nin bazı sayfalarında da sorun yaşandı. Wikipedia’yı işleten Wikimedia Vakfı, güvenli güncelleme tamamlanıncaya kadar bazı sistemlerini tedbir amacıyla devre dışı bıraktı; çarşamba günü Wikipedia’nın kimi bölümlerine erişim aksadı. DeviantArt da sitesini geçici bakım gerekçesiyle kapattı.
Açıklar yapay zekâ destekli çalışmayla bulundu
Güvenlik açıklarını Calif ve Wiz şirketlerinde çalışan araştırmacılar tespit etti. Çalışma, yazılımlardaki güvenlik sorunlarını bulup düzeltmeyi hedefleyen OpenAI’ın Patch the Planet programı kapsamında yürütüldü. Programa katılan Calif ve PHP Foundation, web geliştirme teknolojilerini incelemek için OpenAI’ın gelişmiş yapay zekâ araçlarına erişti.
OpenAI, blog yazısında keşfi yakın dönemin en önemli güvenlik sorunlarından biri olarak niteledi. Şirket bünyesindeki bir araştırmacının da benzer bir sorunu yaklaşık aynı dönemde belirlediği aktarıldı.
Wiz’in açıklamasına göre on yılı aşkın süredir fark edilmeyen açıklar, gelişmiş yapay zekâ araçlarından yararlanılan birkaç haftalık çalışmanın ardından ortaya çıkarıldı. Şirket, ileri düzey modellerin farklı uygulamalarda kullanılabilecek istismar yöntemlerini saatler içinde geliştirmeyi ve uyarlamayı mümkün kıldığını belirtti. Wiz, açıkların internetin yaklaşık yüzde 70’ini etkileyebileceğini tahmin ediyor.
PHP Foundation, bulguları ve kapsamlı düzeltmeyi ayın ilerleyen günlerinde duyurmayı planlıyordu. Ancak açığa ilişkin ayrıntıların salı günü sosyal medyada sızdırılması üzerine açıklama öne çekildi.
Kurumlara sistemlerini çevrim dışı bırakma uyarısı
ABD Ulusal Güvenlik Ajansı (NSA) ve Federal Soruşturma Bürosu (FBI), yayımladıkları uyarıda güncellemeyi yükleyemeyen kuruluşlara sistemlerini çevrim dışı bırakmalarını tavsiye etti. Uyarıda, bu tür açıkların sunucuların dosya sistemlerine veya veri tabanlarına doğrudan erişim sağlayabilecek yollar oluşturabileceği belirtildi.
Beyaz Saray, federal kurumların düzeltme çalışmalarını hızlandırmak amacıyla önde gelen yapay zekâ laboratuvarlarıyla birlikte çalıştığını açıkladı. Japonya Başbakanı Sanae Takaichi de kuruluşlara, kamuya açık internet sitelerinde PHP kullanılıp kullanılmadığını kontrol etmeleri çağrısında bulundu.
İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), Avrupa Birliği ve Avustralya’daki ilgili kurumlar da PHP kullanan kuruluşlardan güvenlik güncellemelerini uygulamalarını istedi. NCSC, düzeltmenin hemen yapılamadığı hâllerde risk giderilene kadar sistemlerin erişime kapatılmasının değerlendirilmesi gerektiğini bildirdi.
Avrupa Birliği Bilgisayar Acil Müdahale Ekibi (CERT-EU), açıkların risk seviyelerinin kimlik doğrulaması gerektirmeden uzaktan kod çalıştırma ihtimaline işaret ettiğini duyurdu. Böyle bir saldırı, hedef sistemlerde zararlı yazılım çalıştırılmasına veya internet sitelerinin devre dışı bırakılmasına imkân verebilir.
PHP’nin hangi sistemlerde kullanıldığının belirlenmesi gerekiyor
Siber güvenlik şirketi Huntress, PHP’nin WordPress, Drupal, Joomla ve Magento gibi yaygın içerik yönetim sistemlerinde; paylaşımlı barındırma hizmetlerinde, kontrol panellerinde ve pek çok yazılımda kullanıldığına dikkat çekti. Bazı ürünlerde PHP’nin arka planda çalışması nedeniyle kullanıcılar ya da yöneticiler bu kullanımdan haberdar olmayabilir.
Sophos Counter Threat Unit’ten siber güvenlik uzmanı Don Smith, açıkların saldırganların öncelikli hedefleri arasına girebileceğini söyledi. İnternet altyapı şirketi Cloudflare’ın teknoloji yöneticisi Dane Knecht ise açıklarla bağlantılı ilk saldırıların görülmeye başladığını açıkladı ve yeni saldırı yöntemleri ortaya çıktıkça savunma önlemlerinin güncellendiğini belirtti.
PHP 8.1 ve daha eski sürümler için yükseltme çağrısı
Açıkların etkilediği PHP sürümlerinin kapsamı henüz tam olarak belirlenmiş değil. CERT-EU, sorunun 2004’te yayımlanan PHP 5 gibi eski sürümlere kadar uzanabileceği uyarısı yaptı.
PHP Foundation’ın yayımladığı düzeltmeler ise yalnızca daha yeni sürümleri kapsıyor. PHP 8.1 ve daha eski sürümleri kullananların güncel bir sürüme geçmesi öneriliyor.
Web geliştirme amacıyla oluşturulan PHP, sunucularda çalışıyor ve kullanıcıların internet sitelerinde gördüğü içeriklerle işlevlerin oluşturulmasında rol oynuyor. Dilin yaygın kullanımı, açıkları çok sayıda internet sitesi ve çevrim içi hizmet açısından önemli bir risk hâline getiriyor.
