PHP'deki kritik güvenlik açığı nedeniyle siteler kapatıldı

İnternetin büyük bölümünü çalıştıran PHP programlama dilinde tespit edilen iki kritik güvenlik açığı, dünya genelinde birçok kurumun web sitesini geçici olarak kapatmasına yol açtı. Açıklar için Çarşamba öğleden sonra bir düzeltme yaması yayımlandı.

ABD Ulusal Güvenlik Ajansı (NSA), Finlandiya hükümeti, Edinburgh belediyesi ve BBC gibi kurumlar, güncellemeyi zamanında uygulayamayan kuruluşlara sitelerini geçici olarak kapatmalarını önerdi. Finlandiya hükümetinin kamuya açık web hizmetleri geçici olarak durduruldu. Hollanda'nın siber güvenlik kurumu da açıklar nedeniyle kendi sitesini kapattığını duyurdu.

Yapay zeka tespit etti

Açıklar, siber güvenlik şirketi Wiz ve Calif firmasındaki araştırmacılar tarafından yapay zeka kullanılarak bulundu. Wiz, bunların yapay zekanın keşfettiği "en ciddi güvenlik açıkları" olduğunu belirtti. Açıklar on yıldan uzun süredir fark edilmeden kalmıştı. Wiz, internetin yaklaşık yüzde 70'inin etkilendiğini tahmin ediyor; ancak BBC bu rakamı doğrulayamıyor.

ABD Ulusal Güvenlik Ajansı, sistemlerini güncelleyemeyen kuruluşlara sistemlerini çevrimdışına almalarını tavsiye etti. Beyaz Saray ise federal kurumların düzeltmeyi hızlandırmak için önde gelen yapay zeka laboratuvarlarıyla çalıştığını açıkladı. Japonya Başbakanı Sanae Takaichi, halka kamuya açık web sitelerinin PHP kullanıp kullanmadığını kontrol etmeleri çağrısında bulundu.

Etkilenen kurumlar

Çevrimiçi ansiklopedi Wikipedia'yı işleten Wikimedia Vakfı, güvenlik açıklarını giderdiklerini ve önlem olarak bazı sistemleri güvenli şekilde yamalanana kadar kapattıklarını bildirdi. Bu nedenle Çarşamba günü Wikipedia'nın bazı bölümlerine erişilemedi.

Edinburgh belediyesinin sitesi ile BBC'nin Doctor Who ve The Traitors gibi bazı programlarının sayfaları da erişilemez durumda. Kurumlar PHP ile bağlantıyı doğrulamadı. Sanat platformu DeviantArt da nedenini belirtmeden "bakım için geçici olarak kapalı" olduğunu duyurdu.

Hollanda'nın ulusal halk sağlığı ve çevre enstitüsü RIVM ile Hollanda parlamentosunun alt kanadı Tweede Kamer'in web siteleri de erişilemez hale geldi. İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), AB ve Avustralya'daki muadilleriyle birlikte PHP kullanan kuruluşlara yamaları uygulamaları çağrısında bulundu. NCSC, "acil düzeltmenin mümkün olmadığı durumlarda kuruluşlar sistemlerini tamamen giderilene kadar çevrimdışına almayı düşünmelidir" dedi.

Avrupa Birliği Bilgisayar Acil Durum Müdahale Ekibi (CERT-EU), açıklara verilen risk puanlarının "kimlik doğrulaması olmadan uzaktan kod çalıştırma potansiyeline" işaret ettiğini belirtti. Bu tür bir saldırı, korsanların kötü amaçlı yazılım yüklemesine ve siteleri çökertmesine olanak tanıyabilir. Cloudflare teknoloji sorumlusu Dane Knecht, erken saldırıların görüldüğünü ve yeni saldırı vektörleri ortaya çıktıkça önlemlerin güncellendiğini söyledi.

PHP Vakfı, açıkları bu ayın ilerleyen günlerinde tam bir yamayla duyurmayı planlıyordu; ancak ayrıntılar Salı günü sosyal medyada sızdırıldı. Bunun üzerine vakıf duyuruyu aceleyle yapmak zorunda kaldı. Hangi PHP sürümlerinin etkilendiği henüz net değil; CERT-EU, 2004'te çıkan PHP 5'ten itibaren tüm sürümlerin etkilenebileceğini bildirdi. PHP Vakfı yamayı yalnızca en son sürümler için yayımladı; PHP 8.1 veya daha eski sürümleri kullananlara güncelleme yapmaları öneriliyor.