PHP'deki kritik açık dünya genelinde siteleri kapattı: Devlet servisleri etkilendi

Hollanda'dan Fransa'ya ve Japonya'ya uzanan geniş bir yelpazede devlet kurumları ve teknoloji platformları, PHP'de tespit edilen iki kritik güvenlik açığı için acil yamalar yayımlanana kadar sitelerini önlem olarak erişime kapattı. Açık, oturum açmadan uzaktan kod çalıştırmaya izin verebilecek nitelikteydi ve saldırganların savunmasız sunucuları ele geçirmesine olanak tanıyabiliyordu.

Açığın hedefi: İnternetin bel kemiği PHP

PHP, içerik yönetim sistemleri dahil olmak üzere dünya genelinde geniş ölçekte kullanılan ve sayısız web sitesi ile uygulamayı çalıştıran bir programlama dili. Bu yaygınlık, iki ilgili zafiyet için yayımlanan acil yamaların uygulanması tamamlanana kadar risk taşıyan sistemlerin geçici olarak çevrimdışına alınmasını yaygın bir önlem haline getirdi. PHP güvenlik ekibi, kamuya açık açıklamanın yapıldığı anda işlevsel bir istismar örneği tespit edilmediğini bildirdi.

İlgili: İrlanda merkez bankası Coinbase Ireland'a 3,25 milyon euro ceza kesti

Vakıf gecikmeyi "yapısal başarısızlık" olarak tanımladı

Yamayı yayımlayan PHP Foundation, yayımladığı blog yazısında gecikmenin hesabını verdi. Vakfın anlattığına göre geliştiriciler, sorunun ilk işaretlerini 2024'te fark etmişti; ancak PHP ile inşa edilmiş geniş yazılım ekosistemini bozmadan çözüm üretmekte zorlandı. Uzaktan kod çalıştırmaya giden bilinen bir yolun bulunmaması ve gerekli derin motor bilgisine sahip küçük çekirdek ekibin birden fazla sorumluluk taşımaları, düzeltme çalışmasının aylar boyunca tekrar tekrar durup yeniden başlamasına yol açtı.

"Gecikme, güvenlik ekibinin karar sürecinden ve kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlıktı."

Sorun, 11 Ağustos'ta güvenlik firması Calif ve OpenAI'ın aynı temel zafiyeti bağımsız olarak bildirmesiyle yeniden gündeme geldi. Calif, açığın koşulsuz uzaktan kod çalıştırmaya imkân verdiğini gösterdi ve zafiyet en üst güvenlik önceliği haline geldi.

Hangi ülkeler ve kurumlar sitelerini kapattı?

• Hollanda, dijital kimlik servisini ve Ulusal Siber Güvenlik Merkezi'nin sitesini çevrimdışına aldı.
• Finlandiya'nın devlet bilgi işlem sağlayıcısı Valtori, kamu web hizmetlerini kesti.
• Fransa İçişleri Bakanlığı, valilik sitelerini geçici olarak erişime kapattı.
• Almanya'nın federal bilgi işlem sağlayıcısı ITZBund da birkaç siteyi devre dışı bıraktı; kesintiler Reuters'in aktardığına göre yaşandı.
• Avustralya Siber Sinyaller Müdürlüğü, siber güvenlik sitesi cyber.gov.au'nun etkilendiği devlet siteleri arasında olduğunu doğruladı.

Japonya Başbakanı Sanae Takaichi, X üzerinden site işletmecilerine yamayı en kısa sürede uygulamaları çağrısında bulundu; yama hemen uygulanamıyorsa siteyi geçici olarak askıya almanın riski azaltabileceğini söyledi.

Wikipedia'yı işleten Wikimedia Foundation, gönüllü geliştiricilerin araçlarını barındıran Toolforge ve Cloud VPS gibi bazı destek hizmetlerini önlem amacıyla çevrimdışına aldığını duyurdu; bu geçici olarak Wikipedia'nın bir bölümünün erişilemez olmasına yol açtı. Cardano blokzincirinin gelişimini ve yönetişimini destekleyen üyelik örgütü Intersect, olası maruziyeti değerlendirmek için üye alanını geçici olarak kapattığını açıkladı; sayfa haberin hazırlandığı anda hâlâ erişilemez durumdaydı.

Kripto şirketleri etkilenme durumunu açıkladı

Sektörde de açıklamalar peş peşe geldi. Coinbase'in güvenlik şefi Jeff Lunglhofer, şirkette maruz kalmış PHP örneğine rastlanmadığını belirtti: "Bu tür açıkları duyduğumuzda, güvenli olabileceği kadar her şeyin güvende olduğundan emin olmak için otomatik olarak kapsamlı bir tarama yapıyoruz. Ek güvence için üçüncü taraf tedarikçilerimizle de çalışıyoruz." Dijital varlık altyapı şirketi BitGo da platformunun açıktan etkilenmediğini bildirdi.

Binance kurucu ortağı Changpeng Zhao ise internet kullanıcılarını, bazı site yöneticileri yamayı henüz uygulamamış olabileceği için önümüzdeki birkaç gün boyunca hangi siteyi ziyaret ettiklerinde "dikkatli olmaları" konusunda uyardı. OpenAI da site işletmecilerinin savunmasız PHP sürümlerini tespit etmesine ve uygulanabilir güncellemeleri bulmasına yardımcı olan bir Codex aracını GitHub üzerinden erişime açtı.