Uzman: PHP güvenlik açığı krize yol açmadı

Dünya genelinde birçok kurum ve hizmet sağlayıcı, PHP yazılımındaki güvenlik açıkları nedeniyle internet sitelerini geçici olarak kapattı. Estonya Bilgi Sistemleri Dairesi (RIA) bünyesindeki siber güvenlik merkezinde olay müdahale departmanını yöneten Taavi Kupper, yaşananların bir kriz olmadığını belirtti. Kupper'e göre sitelerin kapatılmasının arkasında siber saldırılar değil, ağırlıklı olarak önlem amaçlı hareket ve yazılım güncellemelerinin kurulması var.

PHP, internet sitelerinin ve web hizmetlerinin çalışmasını sağlayan sunucu tarafı bir yazılım çözümü. Kupper bunu bir alışveriş sitesi örneğiyle açıkladı: Kullanıcı ekranda ürünleri, fiyatları ve alışveriş sepetini görür, ancak arka planda fiyatların bulunması, stok kontrolü, sepet tutarının hesaplanması ve siparişin kaydedilmesi gerekir. Sunucu ile web uygulaması arasındaki bu işleri PHP yapar.

PHP, web geliştirmede onlarca yıldır kullanılıyor ve internet sayfalarının yaklaşık yüzde 70'i bu yazılım üzerinde çalışıyor.

Hangi sürümler etkilendi?

Güvenlik açığı PHP'nin 5 ile 8 arasındaki sürümlerini kapsıyor. Ancak Kupper'e göre güvenlik yaması yalnızca sekizinci sürümü kullananlara kurulabiliyor. "5 ile 7 arasındaki sürümlerde bir güncelleme gelip gelmeyeceği belirsiz; onlar şu anda başka hafifletici ya da teknik olarak geçici önlemler uygulamak zorunda" dedi.

Bulunan iki güvenlik açığı, yazılımın kullanıldığı ortama kullanıcı adı ve parola bilinmeden girilmesine imkân tanıyordu. Müşteriler doğrudan etkilenmedi; ancak sayfaların tüm sistemi, üzerinde çalışan hizmet ve içindeki veriler risk altındaydı.

Açıklar çarşamba günü duyuruldu ve yazılım güncellemesi yayımlandı. Bu sırada dünya genelinde çeşitli hizmet sağlayıcılar internet sitelerini geçici olarak kapattı. Letonya'da kamu yayın kuruluşu LSM'nin portalı da erişime kapatıldı.

Estonya'da örneğin Ulusal Arşiv'in çalışmalarında aksaklıklar görüldü. Perşembe günü Eğitim Bakanlığı, öğrenim ortamı Moodle'ın çalışmasını geçici olarak durdurduğunu duyurdu. Yine de Estonya'da dünyanın geri kalanına kıyasla aksaklıklar görece azdı.

"Bu bizim yeni normalimiz"

Kupper, hizmet sahiplerinin sitelerini önlem amacıyla kapatmış olabileceğini, çünkü kendi sürümlerinde nasıl tepki vermeleri gerektiğini bilmediklerini söyledi. Bir diğer neden de PHP sürümü güncellenirken sistemin yeniden başlatılması gerekliliğiydi. "Yeniden başlatma sistemlere ve zincirlere göre dakikalardan saatlere kadar sürebiliyor. Bu yüzden kapalıydılar" diyen Kupper, "Açıklar, kötü niyetli bir faaliyetin sayfaları çökertmesine yol açmadı" ifadesini kullandı.

Kupper, Ağustos'tan bu yana açıklara işaret eden ön uyarılar, analizler ve araştırmaların geldiğini belirtti. Ona göre güvenlik yamasının yayımlanması, kapsamlı bir açığın varlığını ortaya koydu. Açığın varlığının hemen kamuoyuna duyurulmak istenmemesinin bir nedeni de buydu; çünkü açık çok geniş kapsamlıydı ve yamanın hazırlanması zaman aldı.

Açıklardan birinin bulunmasında teknolojisinden yararlanılan OpenAI, keşfi son dönemin en geniş etkili güvenlik sorunlarından biri olarak nitelendirdi. İkinci açık ise bağımsız olarak güvenlik şirketi Wiz tarafından bulundu.

Kupper, yapay zekâ ve diğer araçların yardımıyla bugün zor bulunan güvenlik açıklarının bile kolayca kullanılabildiğini vurguladı. "Kod analizi ve yapay zekâ dil modellerinin kullanımı sayesinde eski cihazlarda farklı düzeylerde güvenlik açıklarının bulunması kesinlikle artacak. Kötü niyetli bulunmaları da artacak" diye konuştu.

Kupper son olarak paniğe gerek olmadığını söyledi: "Bu bir kriz değil. Bu bizim yeni olağan durumumuz; böyle şeyler olur ve çözülmesi gerekir. İyi olan şu ki tüm hizmet sağlayıcılar tepki verdi."