PHP 5'ten bu yana her sürümü tehdit eden kritik uzaktan kod yürütme açıkları

Web'in en yaygın kullanılan betik dilinde kritik bir açık

Dünyadaki web sitelerinin ve web uygulamalarının büyük bir bölümünün temelini oluşturan PHP programlama dili, iki kritik güvenlik açığı için acil yamalar alıyor. The Verge'ın haberine göre, PHP geliştiricilerinin salı günü yayımladığı duyuruda açıklara 10 üzerinden 9,2 ciddiyet derecesi verildi. Düzeltmelerin 21 Ekim'de TSİ 17.00'de gelmesi planlanıyordu; ancak geliştiriciler, teknik ayrıntılar açığa çıkarsa ya da aktif sömürü kanıtı ortaya çıkarsa yamaları daha erken yayımlayabileceklerini söyledi. PHP kullanıcılarına, sürüm kullanıma sunulur sunulmaz yükseltme yapmaları çağrısı yapılıyor.

PHP 5'ten bu yana her sürümde uzaktan kod yürütme

The Verge'ın aktardığına göre siber güvenlik firması watchTowr, her iki açığı da PHP 5'ten itibaren tüm PHP sürümlerini etkileyen uzaktan kod yürütme (remote code execution) istismarları olarak tanımlıyor. Bu tür hatalar, saldırganın etkilenen sunucuda kendi kodunu çalıştırmasına olanak tanıyor; bu da web sitelerini değiştirmek, veri çalmak veya daha derin bir ele geçirmeye geçmek için kullanılabilir. Bir güvenlik araştırmacısı, internete bağlı 1,3 milyondan fazla sunucunun büyük olasılıkla etkilendiğini tahmin ediyor.

Kurumlar yama uygulanamıyorsa çevrimdışı kalınmasını öneriyor

Avrupa Birliği Bilgisayar Acil Durum Ekibi ve Birleşik Krallık Ulusal Siber Güvenlik Merkezi, güvenlik açıklarıyla ilgili duyurular yayımladı. The Verge'ın bildirdiğine göre her iki kurum da platformlarını hemen yamayamayan kuruluşlara, internete açık uygulamaları genel ağlardan izole etmelerini ya da açıklar tam olarak giderilene kadar tamamen çevrimdışı bırakmalarını tavsiye ediyor. PHP geliştiricisi Gina Peter Banyard, yamalamanın mevcut tek çözüm olduğunu, aksi halde sunucuları kapatmanın "en akıllıca yapılabilecek şey olabileceğini" söylüyor.

WordPress siteleri otomatik olarak güncellenmeyecek

WordPress güvenlik firması Wordfence, platformun PHP kullanan sunucularda çalışması nedeniyle her WordPress sitesinin risk altında olduğu konusunda uyarıyor; WordPress'in kendisi de internetin yüzde 40'ından fazlasını çalıştırdığını iddia ediyor. Wordfence ayrıca bir dağıtım sorununa dikkat çekiyor: Düzeltme otomatik güncellemelerle kurulamıyor. Site sahiplerinin, barındırma yığınlarındaki PHP kurulumundan kimin sorumlu olduğunu belirleyip yamayı elle uygulamaları gerekiyor; bu da paylaşımlı barındırma ve yönetilen platformlarda büyük ölçüde hizmet sağlayıcıları beklemek anlamına geliyor.

Saldırı faaliyetleri şimdiden başladı

Saldırganların yamayı beklemediğine dair işaretler var. Mobil işletim sistemi geliştiricisi GrapheneOS, kavram kanıtı istismarların geliştirilmekte olduğunu ve risk almak istemediğini söyleyerek kullanıcı tartışma forumunu geçici olarak çevrimdışı aldı. Cloudflare teknoloji direktörü Dane Knecht, şirketin platformundaki PHP sitelerine yönelik erken saldırıların ortaya çıktığını ve Cloudflare'in resmi düzeltme gelene kadar geçici çözüm olarak firewall kurallarını güncellediğini söylüyor. Sansec araştırmacıları, sürümün yayımlanmasından sonraki 15 dakika içinde toplu saldırıların başlamasını bekliyor; bu da yama — ve içerdiği güvenlik açığı ayrıntıları — kamuoyuna açılır açılmaz yamalanmamış sunucuların ne kadar hızlı hedef haline geleceğini gözler önüne seriyor.

Neden önemli

Bu, tek bir yamanın etkilenen sürümler on yıldan fazla bir süreyi kapsadığı için küçük kişisel bloglardan büyük ticari platformlara kadar fiilen tüm PHP ekosistemine dokunduğu nadir bir durum. Tehdit modeli de alışılmışın tam tersine işliyor: Yama yayımlandığı anda istismar geliştirme hızlanıyor, dolayısıyla yavaş güncelleyen sunucular birincil hedefler haline geliyor. Otomatik güncelleme yolu olmadığından, pratik savunma yöneticilerin ve barındırma sağlayıcılarının hızlı davranmasına — ve yeterince hızlı yama uygulayamayan kuruluşların CERT rehberini izleyerek etkilenen sistemleri bağlantılarını kesebilmeyi başarana kadar koparmalarına bağlı.