Dünya genelinde internet güvenliğine ilişkin ciddi bir alarm yaşandı. İnternet sitelerinin büyük bölümünde kullanılan PHP programlama dilinde tespit edilen iki kritik güvenlik açığı, siber güvenlik dünyasında endişeye neden oldu. Yapay zeka destekli analizlerle ortaya çıkarılan açıkların ardından birçok ülkede kamu kurumlarının internet siteleri tedbir amacıyla geçici olarak erişime kapatıldı.
Siber güvenlik uzmanları, yaşanan gelişmeleri son yılların en önemli güvenlik olaylarından biri olarak değerlendirirken bazı çevrelerde süreç “Kara Ekim” olarak adlandırıldı. ABD, Avrupa Birliği, İngiltere, Japonya ve Avustralya'daki siber güvenlik kuruluşları, internet sitesi yöneticilerine sistemlerini vakit kaybetmeden güncelleme çağrısı yaptı.
Fransa, Hollanda, Almanya, Finlandiya ve Belçika'nın da aralarında bulunduğu bazı Avrupa ülkelerinde çok sayıda kamu kurumunun internet sitesi, olası riskleri azaltmak amacıyla geçici olarak kapatıldı. Türkiye'de de Siber Güvenlik Başkanlığı, dünya genelinde tespit edilen kritik açıklarla ilgili ulusal düzeyde uyarı yayımlayarak koruyucu güvenlik çalışmalarını başlattı. Başkanlığın açıklamasında, “PHP2Shell” adı verilen güvenlik açıklarının yüksek risk taşıdığı belirtildi.
PHP NEDİR?
1990'lı yılların başında geliştirilen PHP, internet sitelerinin çalışmasını sağlayan yaygın programlama dillerinden biri olarak öne çıkıyor. Güvenlik şirketi Wiz Research'e göre PHP, web altyapısının temel bileşenleri arasında yer alıyor ve dünya genelindeki internet sitelerinin yaklaşık yüzde 70'inde kullanılıyor.
PHP; WordPress, Drupal, Joomla ve Magento gibi yaygın içerik yönetim sistemleri ve web platformlarının altyapısında da bulunuyor. Bu nedenle dilde ortaya çıkan güvenlik açıkları, çevrim içi alışveriş sitelerinden kamu hizmetlerine kadar çok sayıda dijital sistemi ilgilendirebiliyor.
Ancak PHP'nin internet sitelerinin yaklaşık yüzde 70'inde kullanılması, sitelerin aynı oranda savunmasız olduğu ya da tamamının saldırıya uğradığı anlamına gelmiyor. Risk, kullanılan PHP sürümüne, sistemin yapılandırmasına ve ilgili güvenlik açığından etkilenip etkilenmediğine göre değişiyor.
RİSK SEVİYESİ 9,2 OLARAK BİLDİRİLDİ
Söz konusu güvenlik açıklarının risk seviyesi, uluslararası CVSS değerlendirme sisteminde 10 üzerinden 9,2 olarak bildirildi.
Avrupa Birliği Siber Güvenlik Olaylarına Müdahale Ekibi (CERT-EU) tarafından paylaşılan bilgilere göre, belirli şartlar altında saldırganlar kullanıcı hesabına veya parolaya ihtiyaç duymadan savunmasız sunucularda uzaktan kod çalıştırabilir. Böyle bir durum, sistemlerin güvenliği açısından ciddi sonuçlar doğurabilir.
Açıkların kötüye kullanılması halinde internet sitelerindeki bilgilerin ele geçirilmesi, sistemlere zararlı yazılım yüklenmesi, sayfaların değiştirilmesi ve sunucuların kontrolünün saldırganların eline geçmesi gibi riskler ortaya çıkabilir. Ayrıca ele geçirilen siteler, spam mesajlar göndermek veya zararlı içerik dağıtmak amacıyla da kullanılabilir.
Kullanıcıların kişisel bilgilerini ve parolalarını ele geçirmeyi amaçlayan oltalama (phishing) saldırıları da olası tehditler arasında bulunuyor. Ele geçirilen verilerin daha sonraki saldırılarda kullanılması, yeni güvenlik ihlallerine zemin hazırlayabilir.
İnternet altyapılarında farklı yazılım ve hizmetlerin birbirine bağlı olması da sorunun çözümünü zorlaştırabiliyor. Güvenlik güncellemeleri yapılsa bile sistemlerin daha önce saldırıya uğrayıp uğramadığının kontrol edilmesi ve ek önlemlerin alınması gerekebiliyor.
KRİTİK AÇIKLARI YAPAY ZEKA ORTAYA ÇIKARDI
Güvenlik açıklarının belirlenmesinde yapay zeka destekli analizler önemli rol oynadı. Siber güvenlik şirketi Calif, OpenAI'ın GPT-5.6 Sol modelini kullanarak belirlediği ilk kritik açığı 11 Ağustos'ta PHP geliştiricilerine bildirdi. OpenAI da aynı gün sorunun temel nedenine ilişkin bağımsız bir rapor sundu.
Google bünyesinde faaliyet gösteren siber güvenlik şirketi Wiz ise 24 Ağustos'ta yapay zekâdan yararlanarak farklı saldırı yöntemlerini ve ikinci güvenlik açığını tespit etti. Şirket, bulguların PHP'de bugüne kadar belirlenen en ciddi güvenlik sorunları arasında yer aldığını değerlendirdi.
Araştırmacılar, açıkların temelinde yazılımda uzun süredir var olan hataların bulunduğunu belirtti. Ancak bu hataların hangi yöntemlerle kötüye kullanılabileceğini ortaya koymak, daha kapsamlı ve gelişmiş teknik analizler gerektirdi.
AÇIKLAR DAHA ÖNCE FARK EDİLMİŞTİ
PHP'nin gelişimini destekleyen PHP Foundation, güvenlik açıklarından birine ilişkin ilk belirtilerin 2024 yılında fark edildiğini, ancak o dönemde uygulanabilir bir saldırı yönteminin ortaya konulamadığını açıkladı.
Kuruluş, sorunun çözümünde yaşanan gecikmenin karar alma süreçleri ve kaynak eksikliği gibi yapısal sorunlarla bağlantılı olduğunu kabul etti.
Güvenlik açıklarına ilişkin bazı bilgilerin 20 Ekim'de internete sızmasının ardından, başlangıçta 22 Ekim'de yayımlanması planlanan güncelleme bir gün erkene alındı. OpenAI ise keşif sürecini son yılların en önemli siber güvenlik gelişmelerinden biri olarak nitelendirdi.
HANGİ ÖNLEMLER ALINDI?
PHP geliştiricileri, tespit edilen iki kritik açığı gidermek amacıyla 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı. PHP Foundation, söz konusu yazılımı kullanan kurum ve kuruluşlara güncellemeleri en kısa sürede yüklemeleri yönünde çağrıda bulundu.
İngiltere Ulusal Siber Güvenlik Merkezi de güncelleme yapamayan kuruluşlara, gerekli güvenlik önlemleri tamamlanıncaya kadar risk altındaki sistemlerini çevrim dışı bırakmalarını tavsiye etti.
Uzmanlar, özellikle eski PHP sürümlerini kullanan işletmelerin ve kurumların sistemlerini güncellemesi gerektiğine dikkat çekiyor. Bunun yanı sıra olası bir saldırının daha önce gerçekleşip gerçekleşmediğinin araştırılması ve sistem kayıtlarının incelenmesi de önem taşıyor.
SİBER GÜVENLİK BAŞKANLIĞI UYARDI
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, internet siteleri ve kurumsal uygulamalarda kullanılan PHP yazılım altyapısında belirlenen kritik güvenlik açıklarına karşı ülke genelinde önleyici çalışmaları başlattı. Kamu kurumları öncelikli olmak üzere Türkiye genelindeki bilişim sistemlerinde güvenlik taramaları yapılırken, ilgili kuruluşlara acil önlem alınması yönünde uyarılar gönderildi.
Siber Güvenlik Başkanlığının açıklamasında, “PHP2Shell” adı verilen güvenlik açıklarının yüksek risk taşıdığı vurgulandı. İnternet siteleri ve çevrim içi uygulamaların altyapısında yaygın olarak kullanılan PHP'deki bu zafiyetlerin, belirli koşullar altında saldırganların kullanıcı kimlik doğrulamasına ihtiyaç duymadan uzaktan kod çalıştırmasına imkân tanıyabileceği belirtildi.
Söz konusu açıkların özellikle internete doğrudan bağlı sistemlerde yetkisiz erişim, verilerin güvenliğinin tehlikeye girmesi ve dijital hizmetlerin kesintiye uğraması gibi önemli riskler oluşturabileceğine dikkat çekildi.
KURUM VE KURULUŞLARA ACİL GÜVENLİK UYARISI
Siber Güvenlik Başkanlığı tarafından yürütülen ülke çapındaki tarama çalışmalarının, olası tehditlerin erken aşamada belirlenmesini ve ortaya çıkabilecek zararların en aza indirilmesini hedeflediği bildirildi.
Bu doğrultuda Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden kamu kurumlarına, özel kuruluşlara ve kritik altyapı işletmecilerine acil güvenlik duyurusu gönderildi. Bildirimlerde, alınması gereken teknik ve idari önlemlere ilişkin bilgilere yer verildi.
Başta kamu kurumları ve özel sektör kuruluşları olmak üzere tüm sistem yöneticilerine, internete açık bilişim altyapılarını kontrol etmeleri ve yayımlanan güvenlik güncellemelerini vakit kaybetmeden yüklemeleri çağrısı yapıldı.
Ayrıca yazılımların güncel tutulması, yetkisiz erişim ihtimalinin azaltılması, kullanılmasına ihtiyaç duyulmayan dış bağlantıların kısıtlanması ve gerekli görülen hizmetlerde ek güvenlik önlemlerinin devreye alınması gerektiği hatırlatıldı.
Siber Güvenlik Başkanlığının, Türkiye'nin dijital altyapısını korumak ve kritik hizmetlerin kesintisiz sürdürülmesini sağlamak amacıyla gelişmeleri yakından izlediği belirtildi. Açıklamada, ulusal siber güvenlik kapasitesi ve ilgili kurumlarla koordinasyon içinde önleyici faaliyetlerin sürdürüldüğü ifade edildi.
Kurum ve kuruluşlara, Başkanlığın resmi güvenlik duyurusunda yer alan tedbirleri gecikmeden uygulamaları tavsiye edildi.