Kritik PHP açıkları yamalanamayan siteleri kaldırdı ve yapay zeka benzerlerini bulabilir

Yamala ya da fişi çek uyarısı

Bu haftanın başında site sahipleri alışılmadık derecede net bir talimat aldı: PHP kurulumlarınızı derhal yamalayın ve hemen yamalayamıyorsanız, yamalayana kadar sitenizi çevrimdışına alın. Bölümü Equity podcast'inde irdeleyen TechCrunch'ın aktardığına göre bu çağrı, web'in büyük bir kısmını sessizce çalıştıran açık kaynak programlama dili PHP'deki kritik açıkların ifşa edilmesinin ardından geldi.

Onlarca yıl saklı kalan bir hata

Equity'nin eş sunucusu Anthony Ha'nın programda anlattığı gibi, çarpıcı olan kısım hatanın yeni olması değil — tam tersi. Onun ifadesiyle açık, WordPress ve Drupal gibi içerik yönetim sistemlerini çalıştıran PHP'de, kimsenin fark etmedigi bir şekilde onlarca yıl boyunca varlığını sürdürmüş. Sunuculardan Kirsten Korosec ölçeği şöyle ortaya koydu: PHP, tahminine göre web sitelerinin yaklaşık %70'inin altında yatıyor; bu da on milyonlarca site demek. Bu sitelerden sorumlu birçok kişinin, dediği gibi, yığınının bir parçası olarak PHP'nin varlığından haberdar olduğu bile söylenemez.

Saldırganlar duyurudan önce harekete geçti

İfşa süreci de sorunsuz ilerlemedi. Sunuculardan Sean O'Kane, bazı tarafların koordineli açıklamanın önüne geçtiğini, bunun saldırganlar arasında bir yarış tetiklediğini ve devlet kurumları ile bilinen sitelerin düzeltmeleri uygularken servislerini kısa süreliğine devre dışı bıraktığını belirtti. Podcast'e göre Cloudflare'in genel direktörü Matthew Prince, açıktan yararlanma girişimlerinin milyonlara ulaştığını paylaştı. Amazon ise ayrıca bir blog yazısında, yem olarak kurduğu honeypot ağının, hata herkese açık şekilde duyurulmadan önce bu açığı kullanma girişimlerini yakaladığını söyledi — Korosec'nin dikkat çekici bulduğu bir ayrıntı, çünkü bu, iyi fonlanan şirketlerin saldırıları önceden görebildiğini, buna karşılık sayısız küçük sitenin, devlet siteleri dahil, benzer bir görünürlüğe sahip olmadığını gösteriyor.

Hatayı insanlar buldu; yapay zeka kırmaya yardım etti

Yaygın olarak paylaşılan bir ayrıntının düzeltilmesi gerekiyordu ve TechCrunch'ın kendi transkripti de bunu işaret ediyor: Ha başlangıçta büyük yapay zeka laboratuvarlarının hataları dil modelleriyle bulduğunu söylemiş olsa da, açıklar aslında OpenAI ile Google'ın artık sahibi olduğu güvenlik firması Wiz'in yürüttüğü Hack the Planet girişimine katılan insan araştırmacılar tarafından bulundu. Yapay zeka hatayı bulmak için değil, ondan yararlanmaya yardım etmek için kullanıldı.

Yine de sürecin aceleye getirilmesi yapay zeka çağını yansıtıyor. Sunucuların anlattığı gerekçeye göre, yetenekli insanlar onlarca yıllık bir hatayı ortaya çıkarabiliyorsa, başkalarının — LLM'ler ve yapay zeka ajanları kullananlar dahil — aynısını yapması sadece zaman meselesi; bu da tek bir satıcıyla sessizce koordinasyon yerine sesli ve hızlı bir ifşayı destekliyor.

O'Kane olayı daha geniş bir uyarı olarak çerçevelendi. Yıllar boyunca internet, tek bir meraklı gönüllü bakıcının tam zamanında ürkütücü bir şeyi fark ettiği yakın geçmişlerle ayakta kaldı. Güçlü modellere ve özerk ajanlara geniş erişimin, dediği gibi, böyle hataları bulabilecek kişi sayısını fiilen katlıyor. Ayrıca ifşanın yönetiliş biçimine yönelik eleştirileri de kabul etti; bazılarının OpenAI'den gelen mesajları aşırı öz tanıtımcı bulması bunlardan biriydi.

Neden önemli

Olay, web'in ne kadar büyük bir bölümünün ince bir insan katmanı tarafından sürdürülen yaşlanan açık kaynak bileşenlerine dayandığını ortaya koyuyor. PHP gibi temel bir dilin onlarca yıl boyunca kullanılabilir bir açık taşıdığı ortaya çıktığında, milyonlarca site sahibini uyarmak için diskret bir yol yoktur ve en az kaynağa sahip olanlar — yerel yönetimler, küçük işletmeler, hobi projeleri — tam da kendilerine 'kapatın' denilen kesimdir. Korosec, olası bir sonuçla ilgili olarak 404 Media'nın haberine işaret etti: yamalamak yerine kapanan siteler, bağlantı çürümesini hızlandıracak ve web tarihinin parçalarını silecek. Ayrıca onlarca yıllık kaç hatanın daha gömülü kaldığı ve bankalar ile gizliliğe duyarlı sistemlerin benzer bir keşfi nasıl atlatırı sorusunu da gündeme getirdi. Programdaki uzlaşı, bunun tek seferlik bir olay değil bir başlangıç noktası olduğu, hatta açık bulmanın çarpıcı biçimde ucuzladığı bir çağ için üretilmiş güvenlik araçları için bir pazar fırsatı olabileceği yönündeydi.