PHP kritik açıklarını yamaladı: Uzaktan kod çalıştırma imkânı doğuran zafiyetler dünya genelinde siteleri karanlığa gömdü

PHP'nin kendi geliştiricilerinin ciddiyet açısından 10 üzerinden 9.2 puanladığı iki zafiyeti gidermek için bu hafta güvenlik yamaları yayınlandı ve web'in büyük bir bölümünde acil durum响应ı tetiklendi. The Verge'un haberine göre, güvenlik sektörünün PHP2Shell adını verdiği bu açıklar uzaktan kod çalıştırmaya imkân tanıyor; yani saldırganlar etkilenen sunucularda kendi kodlarını çalıştırabiliyor, web sitelerini değiştirebiliyor ve veri çalabiliyor.

PHP'nin iki on yılı etkileniyor

The Verge'un aktardığına göre siber güvenlik firması watchTowr, zafiyetlerin PHP 5'ten itibaren her PHP sürümünü, yani yaklaşık 20 yıllık bir dönemi kapsadığını söylüyor. Durumu bu kadar zorlaştıran da işte bu uzun kuyruk: pek çok kurulum artık desteklenmeyen ve hiçbir zaman yama almayacak sürümler çalıştırıyor ve işletmecilerini az sayıda seçenekle baş başa bırakıyor.

Sorunu PHP'nin devasa ayak izi daha da büyütüyor. The Verge'un değindiği bazı tahminlere göre web sitelerinin yüzde 70'e varan bir kısmı PHP'yi bir şekilde kullanıyor. Bu dil WordPress, Drupal, Wikipedia, DeviantArt ve 4chan dahil birçok platformu çalıştırıyor; bu da yamalanmamış herhangi bir WordPress blogunun, internetin en çok ziyaret edilen siteleriyle birlikte potansiyel olarak risk altında olduğu anlamına geliyor.

Siteler önlem olarak karanlığa gömüldü

Açıklamanın duyurulması gönüllü kapanma dalgasına yol açtı. The Verge, zafiyetler duyurulduktan sonra DeviantArt ve 4chan'ın geçici olarak çevrimdışı alındığını, Wikipedia'nın da etkilendiğini bildiriyor. Hollanda ve Finlandiya'daki devlet kurumları sitelerini önlem olarak indirdi; Kotaku'ya göre Pokémon Home ve Pokémon Champions da çevrimdışı alındı.

Internet Archive da kısa süreliğine çevrimdışı kalmak zorunda kaldı, ancak operasyon ekibi hızla yamalayıp hizmeti geri getirdi. Dijital kütüphaneci Brewster Kahle, Mastodon'da müdahale edenlere teşekkür ederek gecenin çok daha kötü geçebileceğini belirtti; bunu The Verge aktardı.

ABD NSA'ının siber güvenlik hesabı ve İngiltere Ulusal Siber Güvenlik Merkezi, güncellemeyi hemen uygulayamayan kuruluşlara sistemlerini çevrimdışı almaları tavsiyesinde bulundu; bu, ciddiyeti gözler önüne seren alışılmadık derecede net bir tavsiyeydi.

Açıklamanın ardından saldırı denemeleri patladı

The Verge'un aktardığına göre Cloudflare CEO'su Matthew Prince, saldırganların ne kadar hızlı harekete geçtiğini gösteren rakamları paylaştı. Şirket, sorunun kamuya duyurulmasından önceki on saat içinde ağında PHP zafiyetini istismar etmeye yönelik binlerce denemeye tanık oldu. Bu sayı, duyurudan sonraki iki saat içinde yüz binlerce saldırıya, ertesi geceye gelindiğinde ise milyonlara ulaştı.

Yapay zekâ destekli bir keşif

Zafiyetler yeni eklenmemişti; PHP içinde yaklaşık yirmi yıldır mevcuttu. Güvenlik firması Wiz, bunları daha önce istismar etmenin, insan araştırmacıların gerçekçi olarak başarabileceğinin sınırında duran o kadar karmaşık bir istismar zinciri gerektirdiğini, ancak modern yapay zekâ modellerinin bu belirsiz hataları çalışır saldırılara dönüştürmeyi çok daha kolaylaştırdığını açıkladı.

OpenAI, Calif'teki bir güvenlik araştırmacısının saldırganlardan önce PHP istismarlarını tespit etmek için GPT-5.6 Sol kullandığını söyledi ve OpenAI, geliştiricilerin savunmasız bir PHP sürümü çalıştırıp çalıştırmadıklarını kontrol edebilmeleri için bir araç yayınladı. İstismarın tespit edilmesine yardım eden Wiz'in kurucu ortağı Ami Luttwak, Wall Street Journal'a bunun yapay zekâ yardımıyla bulunmuş en ciddi zafiyet olduğunu söyledi. Wiz ayrıca bu açıkları yazılım tarihinde keşfedilen en ciddi zafiyetler arasında tanımladı.

Bazı siteler geri dönmeyecek

Büyük platformların çoğu yamalayıp geri dönecek olsa da bazıları dönmeyecek. Kotaku, uzun süredir yayında olan iki Japon mobil oyunu olan World Quest ve Save My Demonic World'ün, güncellenemeyen eski teknolojiler üzerine kurulu olmaları nedeniyle kalıcı olarak kapatıldığını bildiriyor. The Verge, zafiyetin yaklaşık 20 yıllık PHP sürümlerini etkilemesi nedeniyle, artık aktif olarak bakımı yapılmayan internet tarihinin büyük bölümlerinin kamunun gözünden kaybolma riski taşıdığına dikkat çekiyor.

Neden önemli

Bu, esasen tüm web'e aynı anda dokunan nadir güvenlik olaylarından biri. PHP web sitelerinin çoğunluğunun sessizce temelini oluşturuyor ve iki on yıllık sürümü kapsayan bir uzaktan kod çalıştırma açığı, duyuru ile güncelleme arasındaki yama boşluğunun aşırı bir maruziyet penceresi anlamına geliyor; Cloudflare'ın saldırı rakamları da bunu gösteriyor. Aynı zamanda güvenlikte yapay zekâ için bir dönüm noktası oluşturuyor: savunucuların hataları önce bulup düzeltmesini sağlayan yetenek, hataları keşfetmek ve silaha dönüştürmek için de kullanılabilir. Son olarak, yamanamayan hizmetlerin kalıcı olarak kapanması, bakımsız yazılımın bir tür dijital çürümeye dönüşmesinin ve internet tarihinin parçalarını da yanında götürmesinin bir önizlemesi niteliğinde.