PHP2Shell: Yapay zekâ, görmezden gelinen bir PHP çökmesini WordPress ve Drupal sitelerini tehdit eden bir açığa dönüştürdü

Görmezden gelinen bir çökme, web genelinde bir tehdide dönüştü

IEEE Spectrum'a göre, PHP2Shell adı verilen açık Ekim sonunda gün yüzüne çıktı ve NASA, Wikipedia ve Beyaz Saray'ın işlettiği sitelerin yanı sıra WordPress ve Drupal ile kurulu siteler dahil web'in çok büyük bir kesimini riske soktu. Açığın saldırgana hassas verileri okuma ve ana sunucuda kötü niyetli kod çalıştırma imkânı verdiği bildiriliyor.

Faciadan kıl payı dönüldüğü anlaşılıyor: araştırmacılar sorunu PHP Foundation'a bildirdi ve yama, suçlular açıktan haberdar olmadan yayımlandı. Ancak IEEE Spectrum olayı, yapay zekâ destekli güvenlik araştırması kırk yıla yayılan bir birikimle yazılmış yazılımla karşılaştığında neler olabileceğine dair bir uyarı olarak sunuyor. Tolmo adlı girişimin yapay zekâ güvenliği araştırma lideri Matt Suiche, yayına verdiği demeçte, 1990'ların başından beri insanlar tarafından yazılmış eski kodun artık açığa çıktığını ve birikmiş teknik borcun vadesinin dolduğunu söyledi.

PHP'nin tarihi 1994'e, kısaltmanın personal home page anlamına geldiği döneme uzanıyor ve hâlâ eski sitelerin büyük bir bölümünün temelini oluşturuyor. IEEE Spectrum'un haberine göre PHP2Shell'a yol açan hata, 2024'e kadar PHP Foundation'ın hata takip sisteminde kayıtlı duruyordu. Hata, bir veri parçasına ayrılan belleğin ona sığamayacak kadar küçük olduğu bir bellek yetersizliği (out-of-memory) hatası biçiminde ortaya çıkıyordu. Bu tür hatalar genellikle programı yalnızca çökertir; bu can sıkıcı olsa da nadiren tehlikeli sayılır, bu yüzden rapor ele alınmadan kaldı. Columbia Üniversitesi bilgisayar bilimleri doçenti Suman Jana, projelerde her zaman çoğu kişinin ciddiye almadığı, yalnızca çökmeye yol açan hata raporlarından oluşan bir birikim bulunduğunu belirtiyor.

Dengeleri değiştiren denetim

Bu yılın başlarında güvenlik firması Calif, OpenAI'nin sponsorluğunda PHP'yi bağımsız olarak denetlemeyi teklif etti. İki hafta içinde, yapay zekâ araçlarıyla çalışan bir Calif araştırmacısı, bellek yetersizliği hatasını ana sunucuda rastgele kod çalıştırmaya yükseltmenin bir yolunu buldu; bu, kötü amaçlı yazılım yüklemeye veya kritik verileri okumaya yeterliydi. Calif durumu hemen PHP Foundation'a bildirdi ve siber güvenlik şirketi Wiz, bulguları daha sonra doğrulayıp genişletti.

Jana, hatayı istismar etmek için belirli bir programın belleğindeki belli bir konuma nasıl atlanacağını çözmek, ardından sistemi ele geçirmek için hangi bitlerin hangi sırayla üzerine yazılacağının tam olarak belirlenmesi gerektiğini açıklıyor. Onun değerlendirmesine göre bu iş entelektüel olarak sıra dışı değil, yapay zekânın iyi yaptığı türden, yalnızca zahmetli ölçüde spesifik bir akıl yürütme.

Kalabalığın Calif, OpenAI ve Wiz tarafındaki insanlarının hem güvenlik hem de PHP konusunda derin uzmanlığa sahip olduğunu ve yapay zekânın bu işi tek başına yapamayacağının açık olduğunu vurguluyor. Yine de yapay zekâ, uzmanların en üstteki yüzde birlik diliminin çok daha fazlasını başarmasını sağlıyor ve bu saldırıları, alt düzey ayrıntılara hâkim olmayan, bu seviyenin hemen altındaki kişilerin erişimine sokuyor.

Bulmak, onarmaktan daha kolay

Bildirimin ardından dört mühendisten oluşan bir ekip yamayı hazırlamak için iki ay harcadı. Jana temel bir asimetriye işaret ediyor: bir hatayı bulmak tek bir çalışan istismar gerektirirken, onu onarmak mevcut davranışı bozmadan saldırının her yolunu kapatmayı gerektiriyor. Bu yük, PHP gibi son derece yaygın kullanılan ama net gelir kaynakları olmayan açık kaynak projelerine en ağır basıyor; yapay zekânın daha da acil hâle getirdiği kronik bir sorun bu.

İki gelişme yardımcı olabilir. Öncü laboratuvarlar, savunmacıların kritik yazılımları hatalara karşı tarayabilmesi için token bütçelerinin bir kısmını bağışlıyor; Jana'nın koordineli bir çabayla veya bağışlarla ölçeklenmesini görmek istediği bir düzenleme bu. Biçimsel doğrulama araçları da hızla ilerliyor; Anthropic'in 22 Ekim'de yayımladığı bir çıkış buna dahil. Jana'ya göre bu süreçte bir dil modeli yamayı üretiyor, bir başkası da yamanın doğru olduğuna dair kanıtı üretiyor; modeller halüsinasyon gördüğü ve son kontrolün biçimsel olması gerektiği için yalnızca kanıt denetleyicisi geleneksel yazılıma bırakılıyor.

Johns Hopkins Bilgi Güvenliği Enstitüsü'nden Matthew Green daha karamsar. IEEE Spectrum'a verdiği demeçte, gerçekten kötü bir şey olana kadar temeldeki bakım sorununun fonlanmayacağını, bunun da tahminine göre 2027 başına doğru gerçekleşebileceğini söyledi. Ara dönem tavsiyesi, güvenlik güncellemelerini ertelemek yerine göründükleri anda kurmak.

Neden önemli

PHP2Shell, yapay zekânın saldırı ekonomisini değiştirdiğini gösteriyor. Uzun süredir zararsız çökmeler olarak dosyalanan hatalar artık model desteği alan küçük ekipler tarafından tam bir ele geçirmeye yükseltilebiliyor ve aynı durumun muhtemelen interneti hâlâ çalıştıran devasa eski kod birikimi için de geçerli olduğu düşünülüyor. Savunma yapısal olarak geride çünkü yamalamak, bulmaktan daha yavaş ve daha maliyetli; özellikle yetersiz fonlanan açık kaynak bakımcıları için. Bu açığın biçimsel doğrulama ve bağışlanan işlem gücüyle mi, yoksa ancak yıkıcı bir ihlalden sonra mı kapanacağı hâlâ açık bir soru. Jana'nın dediği gibi bu, bu türden son açık olmayacak; umut, beyaz şapkalı araştırmacıların bunları ilk bulmaya devam etmesi.