PHP'deki güvenlik açığı dünya çapında alarma yol açtı

İnternetin büyük bölümünü oluşturan altyapıda yıllardır fark edilmeyen ciddi güvenlik açıkları, yapay zeka (YZ) tarafından ortaya çıkarıldı ve dünya çapında siber güvenlik alarmına neden oldu. Açıklar, 2000'li yıllardan bu yana web siteleri oluşturmak için kullanılan PHP programlama dilinde bulunuyor. Hükümetler ve siber güvenlik kurumları, açığın yayılmasını önlemek için harekete geçti ve web sitesi işletmecilerini acil bir yama yüklemeye veya platformlarını geçici olarak kapatmaya çağırdı.

Siber güvenlik şirketi Wiz, açıkları YZ tarafından tespit edilen en ciddi güvenlik kusurları olarak nitelendirdi. Açıkların bulunmasında teknolojisi kullanılan OpenAI ise keşfi "son zamanların en etkili güvenlik sorunlarından biri" olarak değerlendirdi.

PHP nedir ve neden önemli?

PHP (PHP: Hypertext Preprocessor), çoğu kişinin adını duymadığı ancak günlük olarak etkileşimde bulunduğu bir programlama dili. Çevrimiçi mağazalar, Wikipedia ve birçok web sitesinin içerik yönetim sistemi olan WordPress gibi platformlar PHP ile çalışıyor. Gorilla Cyber Security'nin CEO'su Paul Spain, BBC'ye yaptığı açıklamada, Wikipedia gibi bir siteyi ziyaret ettiğinizde, ihtiyacınız olan bilgileri toplayıp web'de okuyabileceğiniz biçimde sunan kodun PHP olduğunu söyledi. Ancak saldırganların kimlik doğrulaması olmadan etkilenen web sunucularının kontrolünü ele geçirmesine ve hassas verileri çalmasına olanak tanıyan bir kusur nedeniyle PHP üzerine inşa edilen her şey açıkta kaldı. Spain, YZ'nin bu tür saldırıları kolaylaştırabileceğini ve hızlandırabileceğini belirterek, açığın "milyonlarca" web sitesini etkileyebileceğini tahmin etti.

Adelaide Üniversitesi'nden siber güvenlik araştırmacısı Jill Slay, hackercilerin veya ülkelerin bu açığı silahlandırarak web sitelerinden özel verileri ele geçirmesinin "felaket" olacağını söyledi. Alarm, oyun platformlarından hükümet portallarına ve çevrimiçi forumlara kadar dünya genelinde hizmetleri aksattı. Çevrimiçi ansiklopedi Wikipedia'nın arkasındaki kuruluş Wikimedia, önlem olarak bazı sistemlerini kapattı. Finlandiya hükümeti, Edinburgh belediyesi ve BBC bazı site ve sayfalarını çevrimdışına aldı; Hollanda'nın siber güvenlik kurumu da web sitesini kapattı. İskoçya'daki belediyeler ve sağlık kurulları dahil birçok kamu kuruluşu da sitelerini kapattı. Uzmanlar, özellikle sınırlı güvenlik kaynaklarına sahip küçük kuruluşların bakımsız web sitelerinin daha büyük risk altında olabileceği uyarısında bulunuyor. Yeni Güney Galler Üniversitesi'nden (UNSW Sydney) siber güvenlik araştırmacısı Salil Kanhere, teknik ayrıntıların artık kamuya açılması nedeniyle önümüzdeki haftalarda bu açıkları sömürmeye yönelik daha fazla girişim olmasının muhtemel olduğunu söyledi.

PHP platformunun geliştiricileri, yazılımlarında yıllardır gizli olan güvenlik açıklarını gidermek için çarşamba günü yamalar yayınladı. Şirket, "Tüm PHP kullanıcılarının derhal güncelleme yapması şiddetle tavsiye edilir" dedi. Dünya genelindeki yetkililer ve güvenlik kuruluşları, web sitesi işletmecilerine platformlarını güvence altına almaları yönündeki uyarıları yineledi. ABD Ulusal Güvenlik Ajansı (NSA), PHP kullanan tüm kuruluşlara, sistemlerini derhal yamalayamıyorlarsa çevrimdışına almalarını söyledi ve açığın bir sistemin veritabanını sömürmek için "doğrudan bir yol" sağlayabileceğini ekledi. İngiltere'nin Ulusal Siber Güvenlik Merkezi (NCSC) de benzer tavsiyede bulunarak kuruluşlara "saldırgan tarafından yüklenen arka kapıları" kontrol etmelerini söyledi. AB ve Avustralya'daki benzer kurumlar da uyarı yayınladı. Japonya Başbakanı Sanae Takaichi, insanları herkese açık web sitelerinin PHP ile çalışıp çalışmadığını kontrol etmeye çağırdı. Takaichi, X üzerinden yaptığı açıklamada, "Herkesin bu gece harekete geçmesi için acil bir talebimiz var" dedi.

Yapay zeka açıkları nasıl ortaya çıkardı?

Açıklar, güvenlik şirketleri Calif ve Wiz'deki siber güvenlik araştırmacıları tarafından bulundu. Araştırmacılar, kodları analiz edip güvenlik açıklarını insanlardan veya eski sistemlerden çok daha hızlı bulabilen gelişmiş YZ araçlarını kullandı. Kanhere, "Modern yazılımlar inanılmaz derecede karmaşık ve bazı güvenlik açıkları yıllarca tespit edilemeden kalabiliyor" dedi. "Asıl hatalar yeni değildi; değişen şey onları bulma yeteneğimiz oldu" diye ekledi. Keşfin ayrıntıları bu hafta çevrimiçi olarak sızdı ve PHP platformunun geliştiricilerini güvenlik açığı ve büyük ölçeği hakkındaki duyuruyu aceleyle yayınlamaya zorladı. OpenAI bir blog yazısında olayın "YZ'nin güvenlik açıklarını nasıl ortaya çıkarabileceğini" ancak aynı zamanda "saldırganların saldırı araçları ve açıkları hızla geliştirmesine nasıl yardımcı olabileceğini" gösterdiğini belirtti. ChatGPT'nin üreticisi, PHP platformunun güvenli olup olmadığını kontrol eden bir program yayınladığını söyledi. Queensland Üniversitesi Siber Araştırma Merkezi'nden Ryan Ko, "Bu açıkların çoğu yazılımların geçmişte işlevsellik için inşa edilmesinden ve güvenlik düşünülmeden tasarlanmasından kaynaklanıyor" dedi. Web sitesi sahipleri, sitelerini PHP'nin en son sürümüyle güvence altına almaları konusunda uyarılıyor. ABD Ulusal Güvenlik Ajansı, önümüzdeki haftalarda "yüksek farkındalık" çağrısında bulunarak yazılım satıcılarından gelen güncellemelerin yakından izlenmesini istedi. Kanhere, sorumluluğun esas olarak web sitesi işletmecilerinde olduğunu, ancak kullanıcıların etkilenen hizmetlerin yayınladığı güvenlik tavsiyelerine (örneğin şifre değiştirme talepleri) karşı tetikte olması gerektiğini söyledi. Kanhere ayrıca insanları olayın kamuoyunda yarattığı ilgiyi kullanan oltalama (phishing) mesajlarına karşı dikkatli olmaları konusunda uyardı.