PHP programlama dilinde, tüm sitelerin yüzde 70’inden fazlasının omurgasını oluşturan kritik bir açıklık bulundu. Bu açıklığın giderilmemesi, siber saldırganların milyonlarca web sitesine ve sunucularında saklanan bilgilere kolayca ele geçirip tehlikeye sokmasına yol açardı.
Buna yanıt olarak, Rotterdam Limanı da dahil olmak üzere birçok Avrupa hükümeti ve işletmecisi web sitelerini çevrimdışı bıraktı.
Avustralya Sinyal Yönetimi, Amerika’nın Siber Savunma Ajansı ve Birleşik Krallık, Avrupa ve Japonya’dan benzer kurumlar, web geliştiricilerini temel sistemlerine acil güncellemeler uygulama ve güvenlik sağlanana kadar siteleri kapatmayı düşünme konusunda uyardı.
Ücretsiz ve açık kaynaklı dilin ardındaki kuruluş, açıklığı kapatan güncellemeler yayımladı; ancak PHP kullanan milyonlarca sistemde bu güncellemelerin yapılması zaman alacak.
PHP nedir?
PHP sıklıkla “web’in omurgası” olarak adlandırılır. Bilgisayarlara talimat verme yolu olan, 1997’den beri var olan bir programlama dilidir ve web sitelerinin kullanıcı girişlerini yönetmesini ve arka planda bilgi işlemesini sağlar.
PHP’nin gücü çok yönlülüğündendir. Siteler, kullanıcıları hesaplara giriş yaptırmaktan online mağazaları işletmekten, veritabanlarından veri istemekten ve milyonlarca blog yazısı ve haber sitesini çalıştırmaktan her şey için onu kullanır.
PHP kişisel bilgisayarınızda değil, sunucuda çalışır. Bu da çoğumuzun PHP ile her gün etkileşimde olmamıza, onu hiç görmememize neden olur.
Tehlike zaman çizelgesi
Ağustos ayında, Wiz adlı bir şirketin siber güvenlik araştırmacıları kendi araçlarını ve Google’ın Gemini ile OpenAI’nin ChatGPT yapay zeka modellerinin en güncel sürümlerini kullanarak PHP’nin devasa kod tabanını taradı.
Wiz ekibi, bir saldırganın internet üzerinden özenle hazırlanmış bir istek göndererek PHP çalışan bir sistemi ele geçirebileceği, zincirlenebilir gizli programlama zayıflıklarını arıyordu.
Birkaç gün içinde, web’in geniş bir bölümünde kullanılan Drupal ve WordPress tarafından desteklenen sistemlere girme yolları buldular.
Wiz, buldukları açıklıkları kendilerine bildirmek için PHP güvenlik ekibiyle iletişime geçti. Eylül sonuna doğru PHP geliştiricileri sorunun var olduğunu onayladı ve sessizce bir çözüm üzerinde çalışmaya başladı.
Siber güvenlikte bir hata bulunduğunda sorumluluk gereği, bir yama hazır olana kadar onu gizli tutmaktır. Çünkü kamuoyuna açıklama, saldırganların sömürmesi için detaylı bir harita sağlayabilir.
Bu, PHP geliştiricilerinin planladığı şey gibi görünüyor. Ancak dün, popüler sektör sitesi Hacker News’te bir kullanıcı, herhangi bir yama hazır olmadan önce güvenlik açıkları hakkında bilgi sızdırdı.
Sızdırmanın ardından PHP geliştiricileri, 21 Ekim’de sorunu kamuya onaylayarak planlanandan daha erken acil yamaları yayımladı.
Yamaları uygulamak uzak basittir. PHP, binlerce üçüncü taraf eklenti, çerçeve ve yönetilen hosting hizmetinin altında bulunduğu için, web siteleri tedarik zincirinin her bireysel katmanı PHP çözümünü entegre edip yayımladıkça güvenli hale gelir.
Bu neden sürekli oluyor?
İnternetin büyük bir kısmı, hobiciler tarafından geliştirilen ve sürdürülen temel teknolojiler üzerine kuruludur. Çoğu, sağlam kurumsal finansman yerine iyiliğe ve bağışlara dayanır.
Bu araçların çoğu onlarca yıl önce geliştirildi. Milyonlarca sitenin ve milyarlarca cihazın hassas ve özel verileri işlemek için kullandığı bir dünyayı güvenli şekilde destekleyecek şekilde tasarlanmadılar.
Bu sorunu daha da kötüleştiren, bakımın nadiren bir öncelik olmasıdır. Çok sık, şirketler tedarik zincirlerindeki tüm parçalar—ya fiziksel ya da dijital—hakkında en temel bilgiye bile sahip değildir.
Bu tür yüksek profilli bir vakada bile, birçok işletme hangi yazılıma güvendiğinin farkında bile değil, ne kadar güvenli olduğundan habersiz.
Ne yapmalısınız?
Bu sorun esas olarak web sitelerini yöneten veya teknik altyapıyı yöneten kişiler için bir konudur. Bu kişiler için öncelik nettir: Güncellemeler mevcut olduğunda sistemleri derhal yamalamak ve güvenlikleri konusunda emin olana kadar kritik sistemleri internetten kaldırmayı düşünmek.
Günlük internet kullanıcıları için bu açıklar, kişisel cihazlarınızdan ziyade web sitelerini barındıran sunucuları etkiler. Ancak bazı siteler yama yapılabileceinden önce geçici olarak zayıflatılmış olabilir, bu nedenle önümüzdeki birkaç gün boyunca tanımadığımız sitelerde hassas kişisel veri girmekten kaçınmak mantıklıdır.
Büyük bulut sağlayıcıları ve güvenlik firmaları acil durum filtrelerini yaygınlaştırırken, web’in güvenliğini sağlama yönündeki küresel yarış yalnızca başlıyor.
Dünyanın dört bir yanında siber güvenlik ekipleri hasarı sınırlamaya çalışıyor. Ancak bu sorunun kapsamı, ciddi bir uyarı sinyali olmalı.
Hükümetler ve işletmeler dijital tedarik zincirlerinin dayanıklılığını görmezden gelemaz. Tıpkı üreticilerin bağımlı oldukları fiziksel bileşenlerin tedarikçilerini izledikleri gibi, dijital altyapının da bağımlı olduğu her sistemi ve çerçeveyi izlemeyi beklemeliyiz.
Bu bilgilerin toplanması, işletmelerin ve hükümetlerin dijital sürdürülebilirliklerinin ne kadarının fonlanmayan, gönüllüler tarafından sürdürülen kodlara dayandığını gerçekten anlamaları için atılacak ilk adımdır. İşletmeler açık kaynaklı temel araçlara yönelik finansmanı bir yardım faaliyeti yerine kritik bir güvenlik yatırımı olarak görmedikçe, bu açıklar devam edecektir.
Bu gelişme hakkında düşüncelerinizi, donanım deneyimlerinizi veya sorularınızı Topluluk Forumumuzda paylaşın.
Foruma Katıl & Yanıtla ➔
