Küresel Siber Güvenlik Alarmı: PHP Açıkları Devlet Sitelerini Çevrimdışına Aldı

PHP programlama dilinde keşfedilen iki kritik siber güvenlik açığı, dünya genelinde devlet kurumlarının web sitelerini geçici olarak çevrimdışı bırakma kararlarını tetikledi. ABD Ulusal Güvenlik Ajansı (NSA), çarşamba günü yayımladığı nadir bir kamu uyarısıyla, PHP kullanan sistemlerin derhal güncellenmesi veya çevrimdışı alınması gerektiğini bildirdi.

Siber güvenlik uzmanları, "PHP2Shell" olarak adlandırılan bu açıkları yapay zeka modellerinin yardımıyla ortaya çıkardı. Güvenlik firması Calif'teki araştırmacılar, OpenAI ile iş birliği yaparak ilk açığı 11 Ağustos'ta raporlarken, teknoloji devi Alphabet'e ait güvenlik firması Wiz ise ikinci açığı 24 Ağustos'ta duyurdu. Wiz, bu bulguların "PHP'de ve muhtemelen yazılım tarihindeki en ciddi güvenlik açıkları arasında yer aldığını" belirtti.

Küresel Çapta Siteler Çevrimdışı

Açıkların küresel etkisi hızla hissedildi. Almanya'da Federal Dijital Dönüşüm ve Devlet Modernizasyonu Bakanlığı, önleyici bir tedbir olarak bazı siteleri çevrimdışı aldığını açıkladı. Fransa İçişleri Bakanlığı, yerel idari ofislerin resmi sitelerini devre dışı bıraktı. Benzer şekilde, Belçika, Hollanda, Finlandiya ve Çekya'daki yetkililer de güvenlik yamalarını uygulamak amacıyla sitelerini kapatma kararı aldı. Japonya Başbakanı Sanae Takaiçi de sosyal medya üzerinden PHP riskine karşı uyarıda bulundu.

Açıkların Niteliği ve Acil Güncelleme Çağrısı

Her iki açık da, belleğin belirli bölümlerine yetkisiz erişime ve bu erişimin kötü amaçlı kod çalıştırmak için kullanılmasına dayanıyor. Bu durum, bir saldırganın internet üzerinden eski PHP kodu çalıştıran bir sunucuda parola veya geçerli hesap erişimi olmadan uzaktan komut çalıştırabilmesi anlamına geliyor. Wiz, bu temel kusurların on yıllardır var olduğunu ancak istismar edilebilirliğin kanıtlanmasının "insan araştırmacıların pratikte başarabileceğinin sınırında" bir dizi adım gerektirdiğini ifade etti.

Yapay zeka araçları, araştırmacıların insan programcıların tek başına test edebileceğinden daha fazla saldırıyı deneyerek yazılımdaki bu tür zayıflıkları bulmasını kolaylaştırdı. PHP programlama dilini gönüllüler sürdürürken, kar amacı gütmeyen PHP Derneği, çarşamba günü bu açıkların karşılaştıkları en ciddi sorunlardan biri olduğunu belirterek, tüm web sitesi yöneticilerine kodlarını derhal güncellemeleri çağrısında bulundu.