PHP güvenlik ekibi, varsayılan olmayan yapılandırmalarda yamalanmamış RCE açığı konusunda uyarıyor

Ne oldu

dev.to üzerinde yayınlanan bir güvenlik yazısına göre PHP güvenlik ekibi, şu anda resmi bir yaması bulunmayan yeni bir uzaktan kod yürütme (RCE) açığı konusunda uyardı. Açığın her PHP kurulumunu etkilediği sanılmıyor. Bunun yerine, risk altında olanlar belirli varsayılan olmayan yapılandırmalarla çalışan sunucular — özellikle de bir saldırganın erişebileceklerini genişleten özel php.ini ayarları.

Açık nasıl tanımlanıyor

Yapay zeka desteğiyle yazıldığına dair bir açıklama taşıyan dev.to gönderisi, resmi PHP güvenlik danışma belgesi olarak nitelendirdiği şeyi özetliyor. Buna göre bir saldırgan, özenle hazırlanmış bir istek, savunmasız yapılandırma seçeneklerinin etkin olduğu bir PHP sürecine ulaştığında sunucuda keyfi kod çalıştırabiliyor. Sabitlenmiş bir sürüm bulunmadığından, güvenlik ekibi, yamalı bir PHP sürümü ortaya çıkana kadar saldırı yolunu kapatmak için geçici yapılandırma değişikliklerini paylaştı.

İki boşluğa dikkat çekmek gerekir: gönderi bir CVE tanımlayıcısı belirtmiyor ve etkilenen PHP sürümlerini listelemiyor. Yöneticiler özeti bir başlangıç noktası olarak görmeli ve harekete geçmeden önce ayrıntıları resmi PHP kanallarından doğrulamalı.

Önerilen hafifletme önlemleri

Gönderiye göre güvenlik ekibi, yalnızca belirli bir ortama uygun oldukları durumlarda uygulanmak üzere şu php.ini değişikliklerini öneriyor:

• expose_php = Off ayarını yapın; böylece PHP, HTTP başlıklarında sürümünü duyurmayı bırakır.
• allow_url_fopen = Off ayarını yapın; böylece URL wrapper'ları üzerinden uzak dosya erişimi engellenir.
• allow_url_include = Off ayarını yapın; böylece uzak PHP dosyaları include edilemez.
• disable_functions ile exec, passthru, shell_exec, system, proc_open, popen, curl_exec, curl_multi_exec, parse_ini_file ve show_source gibi yüksek riskli çağrıları kaldırın.
• open_basedir ayarını yaparak dosya sistemi erişimini uygulamanın dizin ağacıyla sınırlayın.
• Raporun sunucuya karşı kötüye kullanılabileceğini söylediği özel auto_prepend_file veya auto_append_file yönergelerini gözden geçirin.

Ayarlar php.ini'de veya pool başına yapılandırmada değiştirildikten sonra, etkili olmaları için PHP servisinin yeniden başlatılması gerekiyor. Fonksiyonların veya URL wrapper'larının kaldırılması, bunlara bel bağlayan uygulamaları bozabileceğinden önce test etmek akıllıca olur.

Geliştirici odaklı saldırı dalgasının parçası

Aynı gönderi, PHP uyarısını geliştiricilere ve tedarik zincirlerine yönelik olaylar dizisi içinde çerçeveliyor. Gönderi, kimlik bilgilerini ve ortam değişkenlerini toplayan bilgi çalan kötü amaçlı yazılım yaymak için kullanılan LiteLLM projesinin PyPI paketi ve Docker imajlarının ele geçirilmesine; ortam değişkeni deposundaki şüpheli etkinlikten sonra müşterilerine gizli anahtarlarını döndürmelerini söyleyen bulut platformu Railway'in uyarısına; ve Secure Boot'u atlamak için Baton Drop açığından yararlanan BlackX adlı UEFI bootkit'e atıfta bulunuyor.

Bu gerekçelerle gönderi, mühendislik ekiplerine ilgili durumlarda API anahtarlarını, veritabanı kimlik bilgilerini ve ortam değişkenlerini döndürmelerini, composer.json ve package.json gibi bağımlılık manifestolarını değiştirilmiş paketler açısından denetlemelerini ve resmi yama için resmi PHP kanallarını izlemelerini öneriyor.

Neden önemli

Web'in en yaygın dağıtılmış runtime'larından birinde yamalanmamış bir RCE tek başına ciddi olurdu, ancak yapılandırmaya bağlı kapsamı triyajı zorlaştırıyor. Kontrol edilecek bir sürüm numarası yok; her sistem yöneticisi için soru, php.ini'sinin gerçekte neleri etkinleştirdiği haline geliyor. Paylaşımlı barındırma, eski uygulamalar ve elle ayarlanmış dağıtımlar, varsayılan olmayan ayarların tam olarak biriktiği yerler ve bunların her biri artık rutin bir yükseltme değil bir denetim gerektiriyor.

Bir yama gelene kadar yapılandırma sertleştirme tek savunma; bu da yukarıdaki yönergeleri pratik yapılacaklar listesi haline getiriyor. Bu olay ayrıca doğrulamanın önemini hatırlatıyor: Şu ana kadar dolaşımda olan ayrıntılar ikincil, yapay zeka destekli bir özetten geliyor; dolayısıyla resmi danışma belgesiyle doğrulama — ve değişiklikleri üretime geçmeden önce test etme — yanına değil, yanıtın merkezine ait.