Dünyada milyonlarca internet sitesinin altyapısında kullanılan PHP yazılımında tespit edilen iki kritik güvenlik açığı, uluslararası siber güvenlik kurumlarını harekete geçirdi.
Açıkların, saldırganların kullanıcı adı veya parola gerekmeksizin savunmasız sunucularda uzaktan zararlı kod çalıştırmasına olanak tanıyabileceği bildirildi.
PHP geliştirici ekibi, 21 Ekim’de yayımladığı güvenlik uyarısında, açıkların giderilmesi için yazılımın güncel sürümlerine geçilmesi çağrısında bulundu. PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri iki kritik açığı gideren güncellemeleri içeriyor. Geliştiriciler, güncellemenin ertelenmemesi gerektiğini vurguladı.
Avrupa Birliği Siber Güvenlik Ajansı (ENISA), Avrupa Komisyonu, CERT-EU ve Europol’ün de aralarında bulunduğu kurumlar, kuruluşlara acil önlem çağrısı yaptı. Kurumlar, internete açık sistemlerin öncelikle kontrol edilmesini ve güvenlik güncellemelerinin uygulanmasını istedi. Güncellemenin hemen yapılamadığı durumlarda savunmasız uygulamaların internet erişiminin geçici olarak kesilmesi de önerildi.
İngiltere Ulusal Siber Güvenlik Merkezi de kuruluşlardan PHP kullanan sistemlerini belirlemelerini, şüpheli faaliyetleri izlemelerini ve güncellemeleri vakit kaybetmeden uygulamalarını istedi.
PHP, web sitelerinin sunucu tarafında çalışan ve sayfaların oluşturulmasından veri tabanı işlemlerine kadar pek çok işlevi yerine getiren bir programlama dili. WordPress dâhil çok sayıda içerik yönetim sistemi ve internet uygulaması PHP kullanıyor.
WordPress’in resmî açıklamasına göre güvenlik açıkları doğrudan WordPress yazılımına özgü değil; PHP kullanan sunucuları etkiliyor. Bu nedenle WordPress sitelerinin de barındırma hizmeti sağlayıcılarıyla iletişim kurarak kullandıkları PHP sürümünü kontrol etmesi gerekiyor.
PHP ekibi, güncellemeler dışında tüm riskleri ortadan kaldıran bir geçici çözüm bulunmadığını belirtiyor. Özellikle eski ve artık güvenlik güncellemesi almayan PHP sürümlerini kullanan sistemler açısından risk daha yüksek.
Güvenlik açığının duyurulması, bütün PHP tabanlı sitelerin saldırıya uğradığı anlamına gelmiyor. Ancak yetkililer, savunmasız sistemlerin belirlenmesi ve güncellenmesinin geciktirilmemesi gerektiği konusunda uyarıyor.
Türkiye’de uyarı
Türkiye’de de Siber Güvenlik Başkanlığı ulusal ölçekte güvenlik taraması başlattı. Kamu kurumları ve özel sektör kuruluşlarına acil uyarı gönderilerek sistemlerin güncellenmesi ve gerekli önlemlerin alınması istendi.
***
Medya Günlüğü sosyal medya hesapları:
