İnternetin önemli bölümünü çalıştıran PHP yazılımında keşfedilen iki kritik güvenlik açığı, dünya çapında alarm verilmesine neden oldu. Avrupa’da çok sayıda kamu kurumu, önlem amacıyla internet sitelerini geçici olarak erişime kapattı.
Kamu siteleri çevrimdışı bırakıldı
ABD, Avrupa Birliği, İngiltere, Japonya ve Avustralya’daki siber güvenlik kurumları, internet sitesi yöneticilerine sistemlerini acilen güncelleme çağrısı yaptı.
Fransa, Hollanda, Almanya, Finlandiya ve Belçika’nın da aralarında bulunduğu ülkelerde çok sayıda kamu kurumu, güvenlik açıkları nedeniyle internet hizmetlerini geçici olarak durdurdu. PHP geliştiricileri de çarşamba günü açıkları kapatmak için dört güncelleme yayımladı.
Fransa’da Paris Emniyet Müdürlüğü dahil bazı kamu kurumlarının siteleri erişime kapatıldı. Hollanda’da ulusal dijital kimlik sistemi DigiD, Temsilciler Meclisi ve Ulusal Siber Güvenlik Merkezinin internet siteleri çevrimdışı bırakıldı.
Rotterdam Limanı, bazı hastaneler ve siyasi partilerin internet siteleri de Hollanda’daki önlemlerden etkilendi. Finlandiya hükümeti kamuya açık internet hizmetlerini geçici olarak durdururken Almanya’da bazı federal hükümet siteleri kapatıldı. Belçika Dışişleri Bakanlığı da internet sitelerini tedbir amacıyla erişime kapattığını duyurdu.
Finlandiya ve Almanya’daki yetkililer, kararların doğrulanmış bir siber saldırı nedeniyle alınmadığını bildirdi. Wikipedia’nın bağlı olduğu Wikimedia Vakfı ise açıkları gidermek için çalışma yürüttüğünü ve bazı sistemlerini geçici olarak kapattığını açıkladı.
PHP, internet sitelerinin yaklaşık yüzde 70’inde kullanılıyor
Güvenlik açıklarının geniş çaplı endişe yaratmasının temel nedeni, PHP’nin internet altyapısındaki yaygınlığı. İnternet teknolojilerini izleyen W3Techs verilerine göre PHP, kullanılan sunucu tarafı programlama dili tespit edilebilen internet sitelerinin yaklaşık yüzde 70’inde bulunuyor.
WordPress, Drupal, Joomla ve Magento gibi yaygın platformların altyapısında yer alan PHP; haber siteleri, çevrim içi mağazalar, kamu hizmetleri ve şirket siteleri dahil çok geniş bir alanda kullanılıyor. Ancak bu oran, internet sitelerinin yüzde 70’inin saldırıya uğradığı ya da hepsinin aynı seviyede savunmasız olduğu anlamına gelmiyor.
Şifre olmadan uzaktan kod çalıştırma riski
Açıkların tehlike seviyesi, uluslararası CVSS ölçeğinde 10 üzerinden 9,2 olarak değerlendirildi.
Avrupa Birliği Siber Güvenlik Olaylarına Müdahale Ekibine (CERT-EU) göre belirli şartlarda saldırganlar, kullanıcı hesabı veya şifre gerekmeksizin savunmasız sunucularda uzaktan kod çalıştırabiliyor.
Bu ihtimal; internet sitelerindeki verilerin çalınması, zararlı yazılım yüklenmesi, sayfaların değiştirilmesi ve sistemlerin tamamen ele geçirilmesi gibi riskler doğuruyor. ABD Ulusal Güvenlik Ajansı (NSA), açıkların sunucuların dosya sistemlerine ve veri tabanlarına erişim sağlayabileceği uyarısında bulundu.
İnternet altyapı şirketi Cloudflare’ın teknoloji direktörü Dane Knecht, açıkları kullanmaya yönelik ilk saldırı girişimlerinin görülmeye başlandığını söyledi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ise uyarısında, açıkların kötüye kullanıldığına dair doğrulanmış bir gözlemleri olmadığını bildirdi.
Açıkların tespitinde yapay zeka kullanıldı
Güvenlik açıklarının ortaya çıkarılmasında yapay zeka modelleri de rol oynadı. Siber güvenlik şirketi Calif, OpenAI’ın GPT-5.6 Sol modelini kullanarak belirlediği ilk kritik açığı 11 Ağustos’ta PHP geliştiricilerine bildirdi. OpenAI, aynı gün sorunun temel nedenini bağımsız biçimde raporladı.
Google bünyesindeki siber güvenlik şirketi Wiz, 24 Ağustos’ta yapay zeka desteğiyle farklı saldırı yöntemlerini ve ikinci açığı tespit etti. Şirket, bulguları PHP’de bugüne kadar keşfedilen en ciddi güvenlik açıkları arasında değerlendirdi.
Araştırmacılar, sorunların temelinde yazılımda uzun süredir bulunan hataların yer aldığını belirtti. Bununla birlikte bu hataların bilgisayar korsanları tarafından kullanılabileceğini göstermek için gelişmiş analizler gerekti. OpenAI, keşif sürecini son yılların en önemli siber güvenlik gelişmelerinden biri olarak nitelendirdi.
PHP Foundation gecikmeyi kabul etti
PHP’nin geliştirilmesini destekleyen PHP Foundation, açıkların birine ilişkin ilk işaretlerin 2024 yılında fark edildiğini, ancak o dönemde somut bir saldırı yönteminin ortaya konulamadığını açıkladı.
Kuruluş, çözümün gecikmesini karar alma süreçleri ve kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlık olarak kabul etti. Açıklara dair bazı bilgilerin 20 Ekim’de internete sızmasının ardından, başlangıçta 22 Ekim olarak planlanan güncelleme tarihi bir gün öne çekildi.
Kuruluşlara acil güncelleme tavsiyesi
PHP geliştiricileri, 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımlayarak iki kritik açığı giderdi. PHP Foundation, yazılımı kullanan kuruluşlardan güncellemeleri derhal yüklemelerini istedi.
İngiltere Ulusal Siber Güvenlik Merkezi, güncellemeleri uygulayamayan kuruluşlara gerekli güvenlik önlemleri tamamlanana kadar etkilenen sistemlerini çevrimdışı bırakmalarını tavsiye etti.
Uzmanlar özellikle eski PHP sürümlerini kullanan sistemlerin güncellenmesi ve daha önce olası bir saldırıya maruz kalıp kalmadıklarının incelenmesi gerektiğini vurguluyor.