İnternetin önemli bir bölümüne güç veren PHP programlama dilinde, yıllardır tespit edilemeyen ciddi güvenlik açıkları ortaya çıkarıldı. Gelişme üzerine dünya genelindeki hükümetler ve siber güvenlik kurumları harekete geçerek internet sitesi yöneticilerine sistemlerini güncellemeleri, bunu hemen yapamayan kuruluşlara ise sitelerini geçici olarak çevrimdışı bırakmayı değerlendirmeleri çağrısında bulundu.
Açıkları ortaya çıkaran araştırmacıların çalıştığı şirketlerden siber güvenlik firması Wiz, söz konusu kusurları yapay zeka tarafından bugüne kadar tespit edilen en ciddi güvenlik açıkları arasında değerlendirdi. OpenAI ise keşfi yakın geçmişteki en etkili güvenlik sorunlarından biri olarak nitelendirdi.
PHP, açılımıyla “PHP: Hypertext Preprocessor”, 2000’li yıllardan bu yana internet sitelerinin geliştirilmesinde yaygın olarak kullanılıyor. Çevrimiçi mağazalar, Wikipedia ve dünyanın en yaygın içerik yönetim sistemlerinden WordPress, PHP'nin kullanıldığı platformlar arasında yer alıyor.
Gorilla Cyber Security Üst Yöneticisi Paul Spain, BBC’ye yaptığı açıklamada, bir internet sitesi ziyaret edildiğinde ihtiyaç duyulan bilgileri toplayıp kullanıcıların okuyabileceği biçimde sunan kodların önemli bir bölümünün PHP ile çalışabildiğini belirtti.
Ancak ortaya çıkarılan güvenlik kusurlarının, saldırganların kimlik doğrulaması olmadan etkilenen web sunucularını kontrol altına almasına ve hassas verileri ele geçirmesine olanak sağlayabileceği ifade ediliyor.
Spain, açığın milyonlarca internet sitesini etkileyebileceğini tahmin ederken, yapay zekanın bu tür saldırıları daha kolay ve hızlı hâle getirebileceği uyarısında bulundu.
Adelaide Üniversitesi’nden siber güvenlik araştırmacısı Jill Slay de açığın bilgisayar korsanları veya devletler tarafından kötüye kullanılmasının, internet sitelerindeki özel verilerin ele geçirilmesi açısından ciddi sonuçlar doğurabileceğini söyledi.
HANGİ İNTERNET SİTELERİ ETKİLENDİ?
Güvenlik alarmı, oyun platformlarından kamu portallarına ve çevrimiçi forumlara kadar farklı alanlarda önlemler alınmasına ve bazı hizmetlerin geçici olarak devre dışı bırakılmasına yol açtı.
Wikipedia’nın arkasındaki kuruluş Wikimedia da önlem amacıyla bazı sistemlerini kapattı. Finlandiya hükümeti, Edinburgh Belediyesi ve BBC bazı internet sitelerini veya sayfalarını çevrimdışı hâle getirdi. Hollanda’nın siber güvenlik kurumu da kendi internet sitesini erişime kapattı.
İskoçya’daki bazı belediyeler ve sağlık kurulları da dâhil olmak üzere çeşitli kamu kurumları internet sitelerini geçici olarak devre dışı bıraktı.
Uzmanlar, özellikle güvenlik kaynakları sınırlı olan ve bakımı yeterince yapılmayan küçük kuruluşların internet sitelerinin daha büyük risk altında olabileceğine dikkat çekiyor.
UNSW Sydney’den siber güvenlik araştırmacısı Salil Kanhere, teknik ayrıntıların kamuoyuna yansımasıyla birlikte önümüzdeki haftalarda güvenlik açıklarını kullanmaya yönelik girişimlerin artabileceği uyarısında bulundu.
PHP İÇİN ACİL GÜVENLİK YAMALARI YAYIMLANDI
PHP geliştiricileri, çarşamba günü açıklanan güvenlik açıklarını gidermek amacıyla güncellemeler yayımladı. Geliştiriciler, tüm PHP kullanıcılarına sistemlerini derhal güncellemeleri çağrısında bulundu.
Dünya genelindeki yetkililer ve siber güvenlik kuruluşları da internet sitesi işletmecilerinden gerekli güvenlik önlemlerini gecikmeden almalarını istedi.
ABD Ulusal Güvenlik Ajansı (NSA), PHP kullanan kuruluşlara sistemlerini hemen güncelleyememeleri durumunda çevrimdışı bırakmayı değerlendirmelerini tavsiye etti. Ajans, güvenlik açığının bir sistemin veritabanını hedef almak için doğrudan bir yol sağlayabileceğini belirtti.
NSA, risklerin ABD federal kurumlarında acil güvenlik güncellemeleri uygulanmasını gerektirecek kadar ciddi olduğunu bildirdi.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi de benzer uyarılarda bulunarak kuruluşlardan, olası saldırılar sonucunda sistemlere yerleştirilmiş arka kapıları kontrol etmelerini istedi. Avrupa Birliği ve Avustralya’daki ilgili kurumlar da benzer güvenlik uyarıları yayımladı.
Japonya Başbakanı Sanae Takaichi ise kamuya açık internet sitelerinin PHP kullanıp kullanmadığının kontrol edilmesi çağrısında bulundu.
Takaichi, X hesabından yaptığı açıklamada, güvenlik önlemlerinin aynı akşam alınması gerektiğini belirterek güncellemenin hızla uygulanamadığı durumlarda internet sitelerinin geçici olarak askıya alınmasının riski azaltabileceğini ifade etti.
TÜRKİYE'DE ULUSAL ÖLÇEKTE GÜVENLİK TARAMASI BAŞLATILDI
Türkiye Siber Güvenlik Başkanlığı da kamu kurumlarını, kritik altyapı işletmecilerini ve özel sektör kuruluşlarını sistemlerini gözden geçirmeleri ve gerekli güvenlik güncellemelerini hızla uygulamaları konusunda uyardı.
Açıklamada, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiği belirtildi. Başkanlık, güvenlik açıklarının oluşturabileceği risklerin erken tespit edilmesi ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarının başlatıldığını duyurdu.
Başkanlık ayrıca, 69 milyondan fazla kişinin kullandığı e-Devlet başta olmak üzere kamuya ait dijital hizmetlerde herhangi bir kesinti yaşanmadığını ve güvenliği etkileyen bir sorunun tespit edilmediğini açıkladı.
YAPAY ZEKA GÜVENLİK AÇIKLARINI NASIL BULDU?
Güvenlik açıkları, Calif ve Wiz adlı güvenlik şirketlerinin araştırmacıları tarafından yapay zeka destekli analiz araçları kullanılarak keşfedildi. Bu araçlar, yazılım kodlarını inceleyerek insanların veya geleneksel yöntemlerin gözden kaçırabileceği kusurları daha hızlı belirleyebiliyor.
Salil Kanhere, modern yazılımların son derece karmaşık olduğunu ve bazı güvenlik açıklarının yıllarca tespit edilmeden kalabildiğini söyledi.
Kanhere, altta yatan hataların yeni olmadığını, asıl değişimin bu hataları bulma kapasitesinde yaşandığını vurguladı.
Keşfe ilişkin teknik ayrıntıların bu hafta internete sızması üzerine PHP geliştiricileri, güvenlik açığı ve kapsamına ilişkin duyurularını hızlandırdı.
OpenAI, yayımladığı blog yazısında olayın yapay zekanın güvenlik açıklarını ortaya çıkarma potansiyelini gösterdiğini belirtti. Şirket, aynı teknolojinin saldırganların istismar yöntemleri ve saldırı araçları geliştirmesini de hızlandırabileceğine dikkat çekti.
ChatGPT'nin geliştiricisi OpenAI, PHP sistemlerinin güvenliğini kontrol etmeye yönelik bir program yayımladığını da açıkladı.
Queensland Üniversitesi Siber Araştırma Merkezi’nden Ryan Ko ise birçok güvenlik açığının geçmişte yazılımların güvenlikten çok işlevsellik ön planda tutularak geliştirilmesinden kaynaklandığını söyledi.
İNTERNET SİTESİ SAHİPLERİ NASIL KORUNABİLİR?
Uzmanlar, internet sitesi yöneticilerinin öncelikle kullandıkları PHP sürümünü kontrol etmeleri ve ilgili güvenlik yamalarını uygulamaları gerektiğini belirtiyor.
ABD Ulusal Güvenlik Ajansı, önümüzdeki haftalarda güvenlik risklerine karşı farkındalığın artırılmasını ve yazılım sağlayıcılarının yayımladığı güncellemelerin yakından takip edilmesini tavsiye etti. Kurum, yamaların dikkatli ve zamanında uygulanmasının kritik önem taşıdığını vurguladı.
Kanhere, güvenliğin sağlanmasında asıl sorumluluğun internet sitesi yöneticilerinde olduğunu ifade etti. Bununla birlikte kullanıcıların da etkilenen hizmetlerden gelebilecek güvenlik bildirimlerini dikkate almaları ve şifre değiştirme talepleri gibi uyarıları dikkatle değerlendirmeleri gerektiğini söyledi.
Uzmanlar ayrıca, güvenlik açığına ilişkin haberleri fırsata çevirmeye çalışan dolandırıcıların gönderebileceği kimlik avı mesajlarına karşı dikkatli olunması gerektiğini belirtiyor.
Siber güvenlik uzmanlarının temel uyarısı ise açık: PHP kullanan sistemler kontrol edilmeli, yayımlanan güvenlik güncellemeleri gecikmeden uygulanmalı ve sistemler güvenli hâle getirilene kadar gerekli koruyucu önlemler alınmalı.
