İnternet altyapısında yaygın kullanılan PHP programlama dilinde, CVSS v4.0 ölçeğinde 9,2 ciddiyet puanı alan iki kritik güvenlik açığı belirlendi.
Kritik yamalar 17.00’de yayımlanacak
PHP geliştirici ekibi, açıkları giderecek yamaların bugün Türkiye saatiyle 17.00’de kullanıma sunulacağını açıkladı. Avrupa Birliği’nin (AB) siber güvenlik yetkilileri ise sistemlerini hızlı biçimde güncelleyemeyen kurumlara, sitelerini geçici olarak internetten kaldırma çağrısında bulundu.
Avrupa Birliği Bilgisayar Acil Durum Müdahale Ekibi (CERT-EU), 10 üzerinden değerlendirilen CVSS v4.0 ciddiyet ölçeğindeki 9,2 puanın, saldırganların sisteme önceden erişmeden uzaktan zararlı kod çalıştırabileceği anlamına geldiğini bildirdi.
CERT-EU, yamaları hemen uygulayamayan kuruluşların ilgili siteleri çevrimdışı bırakmayı değerlendirmesi gerektiğini belirtti. Alan adı ve barındırma hizmeti sağlayan GoDaddy de açıkların sunucularda internet üzerinden işlem yapılmasına olanak tanıyabileceğini aktardı.
GoDaddy, böyle bir durumun veri hırsızlığına, sitelerin tahrif edilmesine ya da sistemin bütünüyle ele geçirilmesine neden olabileceği uyarısını yaptı.
PHP, milyonlarca sitenin temelinde yer alıyor
Reuters ajansının haberine göre siber güvenlik şirketi Huntress, PHP’nin geniş kullanım alanına dikkat çekti.
Şirket, “PHP her yerde. WordPress, Drupal, Joomla ve Magento sitelerine, paylaşımlı barındırma platformlarına, kontrol panellerine ve perde arkasında PHP kullandığını belirtmeyen birçok yazılıma sessizce güç veriyor” açıklamasını yaptı.
WordPress siteleri için güvenlik hizmeti sunan Wordfence, tüm WordPress sitelerinin PHP yüklü sunucular üzerinde çalıştığını hatırlattı. Firma, otomatik güncellemelerin bu yamayı içermeyeceğini belirterek site sahiplerine, sunucularındaki PHP yazılımını güncelleme sorumluluğunun kimde olduğunu öğrenmelerini önerdi.
Siber güvenlik kuruluşlarının değerlendirmeleri farklı
İnternet ve bulut güvenliği şirketi Cloudflare’in Teknolojiden Sorumlu Başkanı (CTO) Dane Knecht, bazı ilk saldırıların gözlemlenmeye başladığını açıkladı.
Knecht, X üzerinden yaptığı paylaşımda güvenlik duvarı kurallarını geçici bir önlem olarak güncellediklerini belirtti ve “Bu yalnız geçici bir çözümdür. PHP güncellemeyi yayımlar yayımlamaz yamanızı yapın” dedi.
Avustralya Siber Güvenlik Merkezi (ACSC), kurumlara sistemlerindeki PHP kurulumlarını tespit etme ve şüpheli faaliyetleri takip etme çağrısı yaptı. Merkez, şu ana kadar bu açıkları hedefleyen aktif bir saldırı belirlemediklerini bildirdi.
CERT-EU ve ACSC, PHP 5 ve sonraki tüm sürümlerin risk altında olabileceğini açıkladı. PHP güvenlik ekibi de etkilenen sürümlerle giderilen açıkların teknik ayrıntılarını yamalarla aynı anda paylaşacağını duyurdu.
