PHP'de kritik güvenlik açıkları tespit edildi

Yaygın olarak kullanılan PHP programlama dilinde iki kritik güvenlik açığı tespit edildi. Açıkların CVSS v4.0 ölçeğindeki ciddiyet derecesi 9,2 olarak belirlendi. Bu, saldırganların kimlik doğrulama olmadan etkilenen sistemlerde kötü amaçlı kod çalıştırabilmesine olanak tanıyan uzaktan kod yürütme riskine işaret ediyor. PHP güvenlik ekibi, düzeltmeleri içeren güncellemeyi Çarşamba günü saat 17:00'de (Estonya saatiyle) yayımladı.

Estonya Bilgi Sistemleri Dairesi'nin (RIA) siber güvenlik merkezi mimarı Veikko Raasuke, Estonya'da acil bir kriz görmediklerini ve önemli web sitelerini kapatmayacaklarını söyledi. Raasuke, "İyi ki Estonya'da siber güvenlik konusunda oldukça iyi durumdayız ve olayları önceden görmek ve web sitelerimizi ek önlemlerle korumak için çok çalıştık. Bu, kamu sektörü ve kritik altyapı web siteleri için şu anda koruma mevcut olduğu anlamına geliyor" dedi.

Raasuke, korumanın güncellemeler kamuya açıklanmadan dokuz saat önce oluşturulduğunu belirtti. "Devlet sektörü ve hayati hizmet sağlayıcıları açısından şu anda acil bir kriz görmüyoruz" diye ekledi.

PHP nedir ve açık neden önemli?

Raasuke, PHP'nin web sitelerinin sunulması, barındırılması ve oluşturulmasında kullanılan bir bileşen olduğunu açıkladı. Bir çerçeve olarak adlandırılan PHP, web sitesi ve bileşenlerinin içinde çalıştığı ortamı sağlıyor. "Şimdi PHP'de kötüye kullanılabilecek iki kritik güvenlik açığı bulundu. Bu, kullanıcı adı ve kimlik doğrulama araçları olmadan sunuculara erişim olasılığı olduğu anlamına geliyor" dedi. RIA, şu ana kadar Estonya web dünyasında bu açıkların kullanıldığına dair bir bilgiye sahip değil. Ancak durumun sürekli izlendiğini vurguladı. Raasuke, "PHP, web hizmetlerinde kullanılan en yaygın çerçevelerden biri; Drupal, Joomla, WordPress gibi çok yaygın web motorları da buna dahil. Estonya genelinde bu açığa karşı savunmasız on binlerce sunucudan bahsediyoruz" dedi.

Güncelleme yayımlandıktan sonra web sitesi sahiplerinin kendi sunucularında PHP çerçevesini güncellemeleri gerekiyor. Aksi halde açık kötüye kullanılabilir. RIA, tüm PHP kullanan sistem yöneticilerine güvenlik yamalarını derhal uygulamaya hazırlanmalarını öneriyor. Sistemlerin hemen güncellenemediği durumlarda geçici önlemler alınması gerekiyor.

Diğer ülkelerde siteler kapatıldı

Finlandiya ulusal IT merkezi Valtori, önlem amacıyla Çarşamba günü devlet web hizmetlerini kapattığını açıkladı. Valtori, açıkların kötüye kullanıldığına dair bir işaret bulunmadığını ve kesintinin veri sızıntısından kaynaklanmadığını belirtti. Letonya da devlet web sitelerini kapatırken, Letonya kamu yayıncısı LSM'nin web portalı da güvenlik riski nedeniyle erişime kapatıldı. Hollanda siber güvenlik kurumu da önlem olarak kendi web sitesini kapattığını duyurdu.

Güvenlik açıkları yapay zeka yardımıyla tespit edildi. Alphabet'e ait siber güvenlik şirketi Wiz'in blog yazısına göre, açıklar PHP kod tabanında on yıldan uzun süredir gizliydi ve bir insan hackerın bunları kötüye kullanması son derece zor olurdu. Wiz, araştırmada kendi otonom yapay zeka tabanlı güvenlik açığı tarama aracı Wiz Atlas ile Google'ın Gemini 4 Argon ve OpenAI'nin GPT-5.6 Sol modellerini kullandığını belirtti.

AB'nin siber olay müdahale birimi CERT-EU, Salı günü yayımladığı tehdit değerlendirmesinde 9,2'lik ciddiyet derecesinin kimlik doğrulamasız uzaktan kod çalıştırma riskine işaret ettiğini belirtti. CERT-EU, kuruluşları etkilenen sistemleri derhal yamamaya çağırırken, bunu yapamayanlara web sitelerini geçici olarak çevrimdışı alma seçeneğini değerlendirmelerini önerdi. Avustralya Siber Güvenlik Merkezi (ACSC) de benzer bir uyarı yayımladı.