PHP güvenlik açığı IT ekiplerini zorladı: 'İki gündür aralıksız çalışıyoruz'

Microsoft Yönetim Kurulu Başkanı Satya Nadella, milyonlarca web sitesini etkileyen PHP güvenlik açığını kapatma çalışmalarına değinerek, "Uzun süredir böyle bir durumla karşılaşmadım" dedi. Bir konferansta konuşan Nadella, "Biliyorum, tüm IT ve güvenlik çalışanları için uzun bir gündü ve uzun bir geceydi" ifadelerini kullandı.

BBC'ye konuşan IT uzmanları, son 48 saatte yaşadıkları zorlukları anlattı. Bu hesaplar, büyük bir siber acil durumun merkezinde neler yaşandığını gösterirken, yanlış bilgi ve paniğin işleri nasıl daha da zorlaştırdığını da ortaya koyuyor.

İngiltere'de sistem yöneticisi: 'Müşterileri sakinleştirmek zaman alıyor'

İngiltere'de sistem yöneticisi olarak çalışan Adam Mudd, "İki gündür aralıksız devam ediyor" dedi. Daha önce hiç bu kadar çok sayıda endişeli web sitesi sahibinden mesaj almadığını belirten Mudd, "En büyük zorluk, sitelerinin önlem olarak çevrimdışı alınmasını isteyen müşterileri idare ederken bir yandan da sayısız farklı yapılandırmada güncelleme ve düzeltmeleri koordine etmek" diye konuştu. Mudd, bazen bir web sitesini çevrimdışı almanın PHP sorununu düzeltmekten daha uzun sürdüğünü ekledi.

PHP, milyonlarca web sitesini çalıştıran popüler bir programlama dili. Ancak sistemde iki kritik açık bulundu ve ulusal siber güvenlik kurumları IT ekiplerini acilen güvenlik yamasını indirmeye veya web sitelerini ve sunucuları çevrimdışı almaya çağırdı.

Mudd, o günden bu yana büyük baskı altında olduğunu ve çok az uyuduğunu söyledi. Müşterilerinin sistemlerini güvence altına almak için erken başlayıp akşam 22.30'a kadar çalıştığını belirtti.

Mauritius'ta IT yöneticisi Loganaden Velvindron da ekibinin yazılımların PHP'ye ne kadar bağımlı olduğunu fark etmesinden bu yana yoğun çalıştığını söyledi. "Çalışan PHP sürümlerinin çoğu tamamen kullanım ömrünü doldurmuş durumda, bu yüzden bazı durumlarda web uygulamalarını yeniden oluşturmak ve kodu değiştirmek zorunda kalıyoruz" dedi. Velvindron, sorunun bir parçasının da PHP'deki güvenlik açıklarına ilişkin duyurunun beklenmedik şekilde gelmesi ve harekete geçmek için fazla zaman bırakmaması olduğunu ifade etti.

Yama çıktı, indirme yarışı başladı

Programlama dilini yöneten PHP Foundation, yazılım yamasını yayımladı ve indirmek isteyenler arasında bir yarış başladı. Bir dijital reklam şirketinin teknik direktörü Jon Jones, yamanın Çarşamba günü saat 15.00'te (BST) yayımlanmasıyla "yarış başladı" hissini yaşadıklarını söyledi. Jones, daha önce yazılım güncellemesi yapan herkesin bileceği gibi bir güncellemenin başka sorunlara yol açma ihtimali olduğunu da ekledi.

Bu telaş, birinin PHP açığının ayrıntılarını erken sızdırması ve siber suçluların saldırı başlatmaya çalıştığına dair yoğun söylentilerin yayılmasıyla ortaya çıktı. Ancak siber uzmanlar artık bu söylentilerin gerçek olup olmadığını sorguluyor.

İngiliz siber güvenlik uzmanı Daniel Card, "Hack'lerin ellerinde çalışan kanıt konsepti (PoC) yöntemleri olduğuna dair saçma istihbarat bilgileriyle dolup taştık" dedi. Salı günü PHP hack söylentileri yayılmaya başladığından beri kendisinin de yoğun çalıştığını belirten Card, "Bu tür bir durumla ilk kez karşılaşmıyoruz ama bu sefer başka bir boyutta gibi hissediliyor" diye konuştu. Kağıt üzerinde PHP güvenlik açıklarının çok ciddi olduğunu ve ciddiye alınması gerektiğini kabul eden Card, yine de birçok kişi gibi hack'lerin serbest dolaşımda olduğuna dair yanlış bilgilerden rahatsız.

Devlet kurumlarının uyarılarının yanı sıra siber güvenlik şirketleri de işleri kolaylaştırmayan hatalar yaptı. Bu alandaki büyük bir firma, hack'lerin çalışan bir PoC'ye sahip olduğu yönünde uyarılar yayımladıktan sonra geri adım atmak zorunda kaldı. Cloudflare ve AWS'nin her saat "milyonlarca hack girişimi" yapıldığı uyarılarına rağmen, büyük ölçekli veri ihlalleri veya siber saldırılara dair kanıt da bulunmuyor.

Hack'lerin saldırı yöntemleri geliştirmek için yapay zeka kullandığı görülse de şu an hiçbiri büyük ölçekte çalışmış gibi görünmüyor. Ancak bu durum yakın zamanda değişebilir. Zira yıllardır insan araştırmacılardan gizlenen PHP açıklarını bulmak için de yapay zeka kullanıldı. Konuştuğumuz IT çalışanları, yapay zeka araçları hack'leme konusunda bu kadar iyileştiğine göre bu tür ciddi açıkların artık daha sık ortaya çıkarılacağı konusunda hemfikir. Ancak sektörde bazı kişiler, yapay zekadaki gelişmelerin daha fazla olaya yol açacağı endişesiyle PHP'deki kritik açıkların insanlara nasıl duyurulduğundan kaygılı. Wordpress güvenlik aracı Wordfence'in kurucusu Mark Maunder, "OpenAI ve Anthropic'in çevrimiçi hale getirdiği inanılmaz yeteneklerle korkutucu güvenlik açıkları bulacağız, ancak mesajlaşmayı ayarlamamız gerekiyor" dedi.