Wiz CTO'su uyarıyor: Web sitelerinin %70'ini ayakta tutan kritik PHP açıkları hâlâ tam olarak yamalanmış değil

Web'in en yaygın dilindeki iki kritik hata

Ekim sonunda, TechCrunch'a göre web sitelerinin yaklaşık %70'ini çalıştıran açık kaynak dil PHP'deki iki kritik zafiyet, kuruluşları acil çalışma turuna itti. Bazıları düzeltmeler uygulanana kadar sitelerini tamamen çevrimdışı aldı. TechCrunch, 28 Ekim'de yayımlanan Equity podcast bölümünde olayların ardından yaşananları ele aldı; bölümde Google'ın sahip olduğu güvenlik şirketi Wiz'de Exposure Management & AppSec CTO'su olan Tomer Schwartz da yer aldı.

Haber büyük ölçüde haber akışından düşmüş olsa da, arka plandaki çalışma düşmedi. Bölümün uyarısının özü de bu: temizlik süreci hiç de bitmiş değil ve TechCrunch'ın haberlerinde PHP2Shell olarak anılan bu tür olaylar azalmak yerine çoğalabilir.

Düzeltmenin içinden

Schwartz, hataları giderme telaşının bir parçasıydı. TechCrunch'a göre koordine edilen çabaya OpenAI, PHP projesinin kendisi ve bölümde adı geçen Calif adlı bir araştırma grubu da katıldı. Programda o ve sunucu Rebecca Bellan, bu yarışın içeriden nasıl göründüğünü, erken aşamadaki girişimlerin en baştan güvenlik odaklı nasıl inşa edebileceğini ve elle yamalamanın neden ölçeklenemeyeceğini tartıştı.

Hataları bulan araştırmacılara göre bu olay sadece bir başlangıç, çünkü yapay zeka yeni zafiyetlerin ne kadar hızlı keşfedilebileceğini — ve dolayısıyla ne kadar hızlı istismar edilebileceğini — değiştiriyor. Bölümün çerçevesi, yakında yaşanacak bir "vulnpocalypse" (zafiyet kıyameti) olarak adlandırdığı şeye işaret ediyor.

Yapay zeka zaman çizelgesinin her iki tarafını da kısaltıyor

TechCrunch aracılığıyla aktarılan argümana göre, makine desteği artık savunma çalışmalarının yanı sıra saldırı araştırmalarını da hızlandırıyor. Ciddi bir hatanın keşfi ve bunun için bir exploit geliştirilmesi daha hızlı gerçekleşebildiğinde, ifşa ile saldırı arasındaki pencere daralır. Hâlâ mühendislerin çok sayıda sisteme manuel olarak yama uygulamasına bel bağlayan kuruluşlar bu pencereyi zamanında kapatmakta zorlanacak — Schwartz'ın elle yamalamanın sorunla baş edemeyeceğini savunmasının nedeni de tam olarak bu.

Daha küçük şirketler için tartışma, bunu en baştan doğru yapmaya geldi. Ürünlere güvenliği bir olaydan sonra eklemek yerine kuruluş aşamasından itibaren dahil etmek, özel güvenlik ekibi olmayan ekipler için daha sürdürülebilir bir yol olarak sunuldu.

Neden önemli

PHP'nin erişim alanı bu haberi önemli kılan şey. TechCrunch'ın rakamlarına göre web sitelerinin yaklaşık %70'ini çalıştıran bir dildeki kritik bir hata, niş bir satıcı sorunu değil — internet çapında bir olay ve hemen ardından bildirilen önleyici kesintiler, yanıtın ne kadar yıkıcı olabileceğini gösteriyor.

Daha uzun vadeli endişe ise kuyruğun uzunluğu. Manşetler hızla ilerliyor, ama hosting sağlayıcılarındaki ve uygulamalardaki dağıtılmış PHP kurulumlarına ulaşmak çok daha uzun sürüyor; temizliğin hâlâ tamamlanmamış olmasının nedeni de bu.

Daha geniş uyarı PHP'nin ötesine uzanıyor. Yapay zeka bir zafiyeti bulmaktan silahlandırmaya giden yolu kısaltırsa, manuel düzeltme tüm savunma hattının darboğazı haline gelir. Mühendislik ekipleri için pratik çıkarım, hızlı ve otomatikleştirilebilir yamalamayı — ve en baştan tasarlanmış güvenliği — sonradan akla gelen bir şey değil, temel altyapı olarak görmektir.