PHP Vakfı, 2024te ilk kez tespit edilen kritik bir güvenlik açığına yönelik düzeltmenin kararsızlık ve kaynak yetersizliği nedeniyle geciktiğini kabul ederek, aksayan müdahaleyi “yapısal bir başarısızlık” olarak nitelendirdi.
Hükümet kurumları ve dünya genelindeki diğer kuruluşlar, PHPnin birbiriyle ilişkili iki kritik güvenlik açığı için acil yamaları yayımladığı sırada, önlem amacıyla çarşamba günü web sitelerini çevrimdışı duruma getirdi. Açıklar, kimlik doğrulaması gerektirmeden yetkisiz saldırganların etkilenen sunucularda oturum açmadan kod çalıştırmasına olanak tanıyabilir.
PHP, içerik yönetim sistemleri de dahil olmak üzere web sitelerini ve web uygulamalarını çalıştırmak için yaygın olarak kullanılan bir programlama dilidir.
Yamanın yayımlanmasının ardından bir blog gönderisinde vakıf, geliştiricilerinin güvenlik açığına ilişkin işaretleri ilk olarak 2024te bulduğunu, ancak PHP kullanılarak oluşturulan geniş yazılım ekosistemini aksatmadan bir çözüm geliştirmekte zorlandıklarını anlattı.
Vakıf, “Uzaktan kod çalıştırmaya yönelik bilinen bir yolun bulunmaması ve motor hakkında gerekli derin bilgiye sahip az sayıdaki çekirdek geliştiricinin çok sayıda sorumlulukla meşgul olmasıyla birleşince, bu karar alma süreci düzeltme çalışmalarının aylar boyunca tekrar tekrar durmasına ve yeniden başlamasına neden oldu” dedi.
Vakıf, “Aksini iddia etmeyeceğiz: Gecikme, hem güvenlik ekibinin karar alma sürecinden hem de kaynak eksikliğinden kaynaklanan yapısal bir başarısızlıktı” dedi.
Güvenlik şirketi Calif ile OpenAI‘nin aynı temel sorunu bağımsız olarak bildirmesinin ardından, 11 Ağustos’ta vakfın dikkati yeniden güvenlik açığına çekildi. Califin koşulsuz uzaktan kod çalıştırmayı göstermesi, açığı en yüksek güvenlik önceliklerinden biri haline getirdi.
PHP güvenlik paniği ortasında web siteleri karardı
Geliştiricilerin acil düzeltmeleri yüklemeye hazırlanırken web sitelerinin bağlantısını kesmesiyle kesinti dünya geneline yayıldı.
Hollanda dijital kimlik hizmetini kapattı; ülkenin Ulusal Siber Güvenlik Merkezi de web sitesini çevrimdışı duruma getirdi.
Reuters‘ın haberine göre Finlandiya’nın devlet bilişim sağlayıcısı Valtori, hükümetin kamuya açık web hizmetlerinin bağlantısını kesti; Fransa İçişleri Bakanlığı da valilik web sitelerini geçici olarak çevrimdışı duruma getirdi. Almanyanın federal bilişim sağlayıcısı ITZBund da birkaç web sitesini devre dışı bıraktı.
Avustralya‘da Avustralya Sinyal Müdürlüğü, siber güvenlik sitesi cyber.gov.au’nun PHP sorunundan etkilenen hükümet siteleri arasında olduğunu kabul etti.
Japonya Başbakanı Sanae Takaichi, web sitesi operatörlerini yamayı mümkün olan en kısa sürede uygulamaya hazırlanmaya çağırmak için Xte paylaşım yaptı. Bir gönderide, yama hemen uygulanamıyorsa web sitesi işlevlerinin geçici olarak askıya alınmasının riski azaltabileceğini söyledi.
Wikipedia‘yı işleten Wikimedia Vakfı, önlem amacıyla gönüllü geliştiricilerin kullandığı araçları ve projeleri barındıran Toolforge ile Cloud VPS dahil bazı destek hizmetlerini çevrimdışı duruma getirdiğini ve bunun çarşamba günü Wikipedia’nın bazı bölümlerinin çevrimdışı kalmasına yol açtığını söyledi.
Blockchain güvenlik şirketi SlowMist, MistEye hizmetinin kripto sektöründeki PHP kullanımını incelediğini söyleyerek borsaları, DeFi platformlarını ve cüzdan sağlayıcılarını maruziyetlerini gözden geçirmeye ve yükseltme yapmaya çağırdı. İncelenen 1.488 alan adı arasında doğrudan PHP izleri taşıyan 793 alan adı tespit etti.
Cardano blockchain‘inin geliştirilmesini ve yönetişimini destekleyen üyelik kuruluşu Intersect, getirdiğini olası maruziyeti değerlendirirken Members Area’yı geçici olarak çevrimdışı duruma söyledi. Yazının yazıldığı sırada sayfa hâlâ çevrimdışıydı.
İlgili: Sahte siteleri etkinleştirebilecek 8 eMudhra sertifikasını engellemek için teknoloji devleri harekete geçti
Coinbasein baş güvenlik sorumlusu Jeff Lunglhofer, şirketin açığa maruz kalmış herhangi bir PHP örneğine dair kanıt bulmadığını söyledi.
“Bunun gibi güvenlik açıklarını duyduğumuzda, her şeyin mümkün olduğunca güvenli olduğundan emin olmak için otomatik olarak kapsamlı bir tarama gerçekleştiririz. Ek güvence sağlamak için üçüncü taraf tedarikçilerimizle de çalışıyoruz.”
Dijital varlık altyapı şirketi BitGo da platformunun PHP güvenlik açığından etkilenmediğini söyledi.
Bu arada Binancein kurucu ortağı Changpeng Zhao, bazı web yöneticilerinin güvenlik yamalarını güncel tutmamış olabileceğini belirterek internet kullanıcılarını önümüzdeki birkaç gün içinde herhangi bir web sitesini ziyaret ederken “özellikle dikkatli” olmaları konusunda çarşamba günü uyardı.
OpenAI, web sitesi operatörlerinin potansiyel olarak savunmasız PHP sürümlerini kontrol etmesine ve uygulanabilir güncellemeleri belirlemesine yardımcı olacak bir Codex becerisi yayımladı; bu beceriye GitHub üzerinden erişilebilir.
PHP güvenlik ekibi, kamuya açıklama yapıldığı sırada işlevsel herhangi bir istismar tespit etmediğini söyledi.