PHP açığı milyonlarca saldırıyı tetikledi: NSA yamama çağrısı yaptı

Web sitelerinin yaklaşık yüzde 70'inin altyapısında yer alan PHP programlama dilinde, yapay zekâ araçlarının yardımıyla tespit edilen kritik güvenlik açıkları, 21 Ekim'de PHP Foundation tarafından duyuruldu. Duyuruyu izleyen saatlerde bulut hizmeti sağlayıcısı Cloudflare, öncelikle binlerce, ardından milyonlarca istismar girişimi kaydetti; ABD Ulusal Güvenlik Ajansı (NSA) kurumları açıkları acilen yamamaya ya da etkilenen sistemleri çevrimdışına almaya çağırdı.

Açık neden bu kadar geniş bir etki yarattı?

PHP'nin internetin büyük bölümünde kullanılıyor olması, tek bir zafiyetin aynı anda sayısız kurumu etkilemesine yol açtı. CertiK şirketinde OSINT ve blockchain istihbarat analisti olarak görev yapan Jonathan Riss, paylaşılan altyapılardaki tek bir zayıflığın birçok organizasyonu eş zamanlı açık hale getirebildiğini belirtti. Bu riski azaltmak için Fransa ve Finlandiya gibi ülkeler, yamalama süreci tamamlanana kadar bazı sitelere erişimi geçici olarak durdurdu.

İlgili: Ard Grup Bilişim (ARDYZ), yapay zekâ altyapısı için 662.400 dolarlık sipariş aldı

Sektör temsilcilerinin değerlendirmeleri de boyutun ciddiyetini yansıttı: NEAR kurucularından Illia Polosukhin durumun bir tür güvenlik kırılma noktasına ulaştığını söylerken, Anthropic'in baş güvenlik danışmanı Jason Clinton son günlerde yaşananların önünde bir işaret olduğunu, durumun düzelmeden önce daha da kötüleşeceğini öngördüğünü dile getirdi.

Aynı dönemde zincirleme ihlaller

PHP açık duyurusu tek başına değildi; aynı hafta içinde birden fazla platform ayrı ayrı güvenlik olayları bildirdi:

• Bulut platformu Railway, bir saldırganın müşteri kimlik bilgilerine ve API anahtarlarına erişip bunların şifresini çözdüğünü ve hedefin görünüşte yapay zekâ sağlayıcıları olduğunu açıkladı.
• Tıbbi test devi Quest Diagnostics, özel hasta sağlık verilerine yönelik bir ihlali doğruladı.
• Hindistan merkezli güvenlik firması eMudhra'da, saldırganların güvenilir web sitelerini taklit etmesine imkân tanıyabilecek zayıf anahtarlı sekiz dijital sertifika otoritesi saptandı.
• Kod barındırma platformu GitHub'da yaşanan geniş çaplı kesinti, yazılım dünyasının ortak altyapıya ne kadar bağımlı olduğunu görünür kıldı.

GitHub Güvenlik Kıdemli Direktörü Austin Devers, modern geliştirme süreçlerinin birbirine sıkı bağlı olması nedeniyle güvenilirliğin sürekli emek gerektirdiğini vurguladı.

Yapay zekâ saldırı ekonomisini nasıl değiştirdi?

Dalganın arkasındaki temel dinamik, yapay zekânın güvenlik açığı bulma maliyetini kökten düşürmesi. Daha önce devlet düzeyinde kaynak ve deneyimli hacker gerektiren operasyonlar artık teknik bilgisi sınırlı kişilerin erişebildiği araçlarla yürütülebiliyor. Girişimci ve yatırımcı Matt Shumer, savunma tarafının bu hızın gerisinde kaldığını; bulunan her zayıflığın, halihazırda yorgun ekiplerin yönettiği milyonlarca sistemde düzeltilip test edilip kurulması gerektiğini anlattı. Devers de yapay zekâ destekli güvenlik araçlarının yaygın kod tabanlarındaki derin kusurları ortaya çıkarma eşiğini ciddi biçimde aşağı çektiğini söyledi.

CertiK'ten Riss ise dengesizliğin özünü şu şekilde özetledi: Açıkları daha hızlı bulmak, onları otomatik olarak daha hızlı kapama kapasitesi sağlamıyor.

Bireysel kullanıcılar ne yapabilir?

Kurumsal yamalar sürerken uzmanların sıradan kullanıcılara önerdiği temel önlemler şunlar:

• Tüm hesaplarda iki aşamalı doğrulamayı (MFA) etkinleştirin; SMS yerine kimlik doğrulayıcı uygulama ya da donanım güvenlik anahtarı kullanın. Devers'a göre bu, arka plandaki yazılım ele geçirilse bile saldırganın hesaba girişini kesen bir devre kesici işlevi görüyor.
• Her site için güçlü ve benzersiz parolalar oluşturun; parolaları asla tekrar kullanmayın.
• Tanımadığınız sitelere parola ya da kart bilgisi girmeyin; Shumer, küçük sitelerin yamaları uygulamış olma olasılığının en düşük olduğu grup olduğunu belirtti.
• Cihaz ve tarayıcı güncellemelerini otomatik tutun; kişisel donanımın arka kapıya dönüşmesini engelleyin.
• Kullanmadığınız uygulamaları silin, ihtiyaç duyulmayan akıllı cihazların fişini çekin ve eski üçüncü taraf hesap izinlerini periyodik olarak temizleyin.
• Ekstra tedbir isteyenler için Shumer, evde bir miktar nakit ve birkaç günlük erzak bulundurmayı da öneriler arasında sayıyor.

Bu arada, artan güvenlik olayları bazı kripto sahiplerini alternatif arayışlarına itti; Casa baş güvenlik sorumlusu Jameson Lopp ise bunun kişisel kontrol mantığını ortadan kaldıracağını hatırlatarak tersini savunanlardan oldu.