PHP programlama dilindeki iki kritik güvenlik açığı, birçok ülkede kamu kurumlarını internet sitelerini kapatmaya yöneltti. Kurumlar, güncellemeleri uygulamak ve saldırı riskini azaltmak için 21 Ekim’de bazı sitelere erişimi durdurdu. Türkiye’de ise Siber Güvenlik Başkanlığı, kamu kurumları başta olmak üzere ülke genelindeki sistemlerde güvenlik taraması başlattı.
“PHP2Shell” adıyla anılan açıklar, saldırganların etkilenen sunucularda parola veya kullanıcı hesabı olmadan komut çalıştırmasına imkân verebiliyor. Bu durum, veri hırsızlığına, sitelerin kontrolünü kaybetmesine ve hizmet kesintilerine yol açabiliyor.
ABD Ulusal Güvenlik Ajansı (NSA), PHP kullanan kuruluşlara güvenlik güncellemelerini uygulama çağrısı yaptı. Ajans, güncelleme yapamayan kuruluşlara ilgili siteleri güncellemeye kadar kapatmalarını tavsiye etti.
Devlet kurumları sitelerini önlem için kapattı
Almanya’da Federal Dijital Dönüşüm ve Devlet Modernizasyonu Bakanlığı bazı sitelerini kapattığını duyurdu. Fransa İçişleri Bakanlığı da yerel idari birimlerin resmî sitelerine erişimi durdurdu.
Belçika, Hollanda, Finlandiya ve Çekya’daki yetkililer de güvenlik önlemleri kapsamında bazı siteleri devre dışı bıraktı. Hollanda’da bu karar, vatandaşların kamu hizmetleri için kullandığı DigiD ve MijnOverheid sitelerini de kapsadı. Japonya Başbakanı Sanae Takaiçi ise PHP kullanan sitelerin yöneticilerini güncelleme yapmaya çağırdı.
Kurumlar bu kararları saldırı riskine karşı aldı. Bir sitenin önlem için kapanması, saldırganların o siteyi ele geçirdiği anlamına gelmiyor.
Araştırmacılar açıkları yapay zeka yardımıyla buldu
Calif adlı güvenlik şirketinin araştırmacıları, OpenAI’ın Patch the Planet çalışması kapsamında GPT-5.6 Sol modelinden yararlandı. Calif, 11 Ağustos’ta PHP ekibine bir açık bildirdi. OpenAI da aynı gün aynı temel sorunla ilgili bağımsız bir bildirim yaptı. Wiz ise kendi araştırmasında bulduğu açıkları ve saldırı yollarını 24 Ağustos’ta PHP ekibine iletti.
Bu nedenle keşif süreci, Calif’in ilk açığı, Wiz’in de yalnızca ikinci açığı bulduğu bir sıradan oluşmuyor. Ekipler, birbiriyle bağlantılı sorunları bağımsız çalışmalarla ortaya çıkardı.
Sorunların temelinde PHP’nin belleği kullanma ve temizleme biçimindeki hatalar bulunuyor. Saldırganlar bu hatalardan yararlanarak sunucunun belleğindeki verilere ulaşabiliyor veya sunucuda kendi komutlarını çalıştırabiliyor.
Wiz’e göre bazı kusurların geçmişi on yılı aşıyor. Şirket, yapay zekâ araçlarının farklı saldırı yollarını denemeyi ve karmaşık adımlar arasındaki bağlantıları bulmayı kolaylaştırdığını belirtiyor.
OpenAI da kendi bilgileri çerçevesinde, araştırmacıların yapay zekâ yardımıyla bu açıkları saldırganlardan önce bulduğunu söylüyor. Bu açıklama, bütün sistemlerin saldırılardan korunduğunu veya hiçbir saldırganın açıkları kullanmadığını kanıtlamıyor.
PHP ekibi düzeltmeleri yayınladı
PHP ekibi, iki açığı kapatan güncellemeleri 21 Ekim’de yayınladı. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor.
Ekip, PHP kullanan sistemlerin yöneticilerine uygun güncellemeyi uygulama çağrısı yapıyor. Geçici koruma önlemleri bazı saldırı yollarını sınırlayabiliyor ancak güncellemenin yerini tutmuyor. Eski PHP sürümlerini kullanan kuruluşların da hizmet sağlayıcılarından düzeltme desteği alması veya destek alan bir sürüme geçmesi gerekiyor.
PHP Vakfı, yapay zekânın hem güvenlik ekiplerinin hem de saldırganların yazılım hatalarını bulmasını kolaylaştırdığına dikkat çekiyor. Vakıf, benzer sorunlara karşı yazılım geliştiricileri, hizmet sağlayıcıları ve teknoloji şirketleri arasında ortak çalışma çağrısı yapıyor.
OpenAI, iki aylık süreçte araştırmacılar ve güvenlik sağlayıcıları arasında koordinasyona katkı sunduğunu açıkladı. PHP’nin bakımını üstlenen ekip ise düzeltmeleri hazırlama ve yayımlama sürecini yönetti.
OpenAI ayrıca güvenlik kaynakları sınırlı kuruluşlara yönelik Daybreak programı için daha önce duyurduğu 1 milyar dolarlık destek taahhüdünü hatırlattı. Bu taahhüt, indirimli erişim, eğitim ve teknik destek gibi kalemleri kapsıyor.
Türkiye’de kurumlara acil güvenlik duyurusu gitti
Siber Güvenlik Başkanlığı, PHP açıklarına karşı kamu kurumlarını ve özel sektör kuruluşlarını uyardı. Başkanlık, ülke genelindeki taramalarla risk taşıyan sistemleri bulmayı ve olası zararları sınırlamayı amaçlıyor.
Başkanlık, Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden kurumlara ve kritik altyapı işletmecilerine acil güvenlik duyurusu gönderdi. Duyuru, kurumların uygulaması gereken teknik ve idari önlemleri içeriyor.
Başkanlık, sistem yöneticilerinden internete açık altyapılarını incelemelerini, güvenlik güncellemelerini uygulamalarını ve gereksiz dış erişimleri kapatmalarını istedi. Kurumlara, ihtiyaç duyan hizmetlerde ek koruma önlemleri alma çağrısı da yaptı.
Güvenlik ekiplerinin güncellemenin yanında geçmişteki şüpheli erişimleri de incelemesi önem taşıyor. Güncelleme açığı kapatıyor; ancak önceki bir saldırının bıraktığı izleri veya etkileri ortadan kaldırmayabiliyor.
PHP ne işe yarıyor?
PHP, internet sitelerinin arka planındaki işlemleri yürüten bir programlama dili. Sunucu, PHP kodlarını çalıştırarak kullanıcı girişlerini, içerikleri ve veri tabanıyla iletişimi yönetiyor. Ardından sonucu ziyaretçinin tarayıcısına gönderiyor.
WordPress gibi içerik yönetim sistemleri de PHP kullanıyor. Haber siteleri, alışveriş siteleri ve kamu hizmetleri bu dilden yararlanabiliyor.
W3Techs’in ekim ayı verilerine göre, sunucuda hangi programlama dilini kullandığını belirleyebildiği sitelerin yaklaşık yüzde 70’i PHP kullanıyor. Bu oran bütün internet sitelerini kapsamıyor. PHP kullanımı da tek başına bir sitenin saldırıya uğradığını göstermiyor; kullanılan sürüm ve güvenlik önlemleri riski belirliyor.
