Güvenlik açıklarının oluşturduğu risk nedeniyle bazı devlet kurumlarının internet siteleri, gerekli güncellemelerin yapılabilmesi amacıyla çarşamba günü erişime kapatıldı. Avrupa Birliği’nin siber güvenlik yetkilileri, güvenlik düzeltmelerini uygulayamayan kuruluşlara, risk altındaki sitelerini geçici olarak çevrimdışı bırakmaları yönünde uyarıda bulundu.
PHP geliştiricileri, söz konusu iki kritik açığa yönelik güvenlik yamalarının çarşamba günü yayımlanacağını duyurdu. Yetkililer, düzeltmeler uygulanana kadar savunmasız sistemlerin erişime açık tutulmasının ciddi risk oluşturabileceğine dikkat çekti.
PHP nedir, neden bu kadar önemli?
PHP, internet sitelerinin arka planında çalışan ve sayfaların oluşturulmasını sağlayan bir programlama dili olarak biliniyor. Kullanıcı bir internet sayfasını açtığında, PHP’nin çalıştığı sunucu gerekli içeriği hazırlayarak tarayıcıya iletiyor.
Ücretsiz ve açık kaynaklı olan PHP, gönüllü geliştiriciler tarafından destekleniyor. İnternet sitesi sahipleri çoğunlukla bu dille doğrudan işlem yapmasa da sitelerin çalışmasında önemli bir rol üstleniyor.
Web teknolojilerine ilişkin istatistikler yayımlayan W3Techs verilerine göre PHP, kullanılan programlama dili belirlenebilen internet sitelerinin yaklaşık yüzde 70’inde kullanılıyor. Ayrıca internet sitelerinin yaklaşık yüzde 40’ına altyapı sağlayan WordPress de PHP üzerine kurulu. Bu durum, söz konusu dilde ortaya çıkan güvenlik sorunlarının çok sayıda internet sitesini etkileyebilme ihtimalini artırıyor.
Güvenlik açıkları saldırganlara ne sağlayabilir?
İki güvenlik açığı, yaygın olarak kullanılan CVSS v4.0 değerlendirme sisteminde 10 üzerinden 9,2 puan aldı. Avrupa Birliği’nin siber güvenlik olaylarına müdahale ekibi CERT-EU, bu seviyenin kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılabilmesi riskini ifade ettiğini bildirdi.
Bu tür bir açık, saldırganların herhangi bir kullanıcı hesabına veya parolaya ihtiyaç duymadan internet üzerinden savunmasız bir sunucuda komut çalıştırmasına imkân tanıyabilir.
PHP’nin dünya genelinde yaygın biçimde kullanılması, tek bir güvenlik açığının çok sayıda sistemi aynı anda tehdit edebilmesi anlamına geliyor. Açığın kötüye kullanılması durumunda internet sitelerinin kontrolü ele geçirilebilir; kullanıcı verileri çalınabilir, sayfaların içeriği izinsiz değiştirilebilir veya sistemler tamamen saldırganların denetimine girebilir.
Web barındırma hizmeti sağlayıcısı GoDaddy de bu tür saldırıların veri hırsızlığına, internet sayfalarının değiştirilmesine ve sistemlerin kontrolünün kaybedilmesine neden olabileceğini belirtti. Cloudflare’ın teknoloji direktörü ise ilk saldırıların görülmeye başladığını açıkladı.
Küçük internet siteleri de tehlike altında
Güvenlik açığıyla ilgili endişelerin önemli nedenlerinden biri de küçük internet sitelerinin bakım ve güvenlik süreçlerini yürütme biçimi. Bu sitelerin birçoğu, bünyesinde özel bir güvenlik ekibi bulunmayan kişiler veya küçük işletmeler tarafından yönetiliyor.
Paylaşımlı sunucu hizmetlerinden yararlanan site sahipleri, sunucuların teknik yönetiminden sorumlu olmayabiliyor. Bu nedenle PHP güncellemelerinin kim tarafından ve ne zaman yapıldığını takip etmekte güçlük yaşanabiliyor.
WordPress sitelerini korumaya yönelik güvenlik eklentisi Wordfence, standart otomatik güncellemelerin söz konusu güvenlik düzeltmesini uygulamayabileceği konusunda uyarıda bulundu. CERT-EU ise gerekli yamaları yükleyemeyen kuruluşlara, etkilenen internet sitelerini güvenlik riski ortadan kalkana kadar çevrimdışı tutmalarını tavsiye etti.
Güvenlik açıkları yapay zekâ desteğiyle tespit edildi
Şirket tarafından yapılan açıklamaya göre, güvenlik firması Calif’in OpenAI ile çalışan araştırmacıları, OpenAI’ın GPT-5.6 Sol modelinden yararlanarak belirledikleri ilk güvenlik açığını 11 Ağustos’ta PHP ekibine bildirdi.
Google’ın çatı kuruluşu Alphabet bünyesindeki siber güvenlik firması Wiz de açıkları bağımsız olarak tespit etti. Şirket, yapay zekâ modellerinin desteğiyle ortaya çıkardığı ikinci açığı 24 Ağustos’ta ilgili ekibe iletti.
Wiz, bulguların PHP tarihinde tespit edilen en ciddi güvenlik sorunları arasında yer aldığını, hatta yazılım tarihindeki en önemli açıklarla karşılaştırılabilecek nitelikte olduğunu ifade etti.
Şirketin değerlendirmesine göre, açıkların temelini oluşturan yazılım kusurları onlarca yıldır sistemde bulunuyordu. Ancak bu kusurların saldırılarda kullanılabileceğini ortaya koymak, insan araştırmacıların tek başlarına uygulamada gerçekleştirmekte zorlanabileceği birden fazla adımın bir araya getirilmesini gerektiriyordu.
ABD yönetimi de süreci takip ediyor
ABD Başkanı Donald Trump yönetiminin de güvenlik düzeltmelerinin yayımlanma sürecini hızlandırmak amacıyla gelişmeleri takip ettiği bildirildi. Yönetimin, federal kurumlar ve önde gelen güvenlik laboratuvarlarıyla koordinasyon yürüttüğü belirtildi.
PHP’de tespit edilen açıklar, internet altyapısında yaygın kullanılan yazılımların güvenliğinin ne kadar önemli olduğunu bir kez daha gündeme getirdi. Güvenlik yamalarının uygulanması ve sistemlerin güncel tutulması, olası saldırıların önüne geçilmesi açısından kritik önem taşıyor.
