PHP2Shell yamaları yalnızca PHP 8.2 ile 8.5 sürümlerini kapsıyor; bu da internete açık PHP sunucularının büyük bir kısmının, hiçbir zaman resmi sürüm görmemiş sürümlerde kalmış olması anlamına geliyor. Mallory tarafından 20 Ekim’de yayımlanan Shodan sayımı, desteklenmeyen bir PHP sürümü yayınlayan yaklaşık 884.000 internete açık sunucuyu ya da birini açığa çıkaran yaklaşık 1,5 milyon sunucunun %59’unu ortaya koydu.
Açığın boyutu
Bu rakamlar, doğrulanmış zayıf siteler değil, sunucu banner sayılarıdır ve yaklaşık 740.000 sunucu daha sürümünü gizliyor. CybelAngel’ın bu verinin dağılımına göre PHP 5.x yaklaşık 369.000 sunucu, PHP 7.x 329.000, PHP 8.0 ve 8.1 ise 186.000 sunucuda; 8.2 ile 8.5 arasında ise 612.000 sunucuda yer alıyor. Bu dallar artık yama alıyor ancak sayım yapıldığı anda yamalanmamış durumdaydı. Paylaşımlı hosting birçok siteyi tek bir adresin ardında topladığı için etkilenen site sayısı farklılık gösterebilir. Palo Alto Networks ayrıca 22,6 milyondan fazla potansiyel olarak zayıf örneği saydı.
Eski dallar için PHP ne yaptı
PHP, ömrü bitmiş dallar için numaralı sürümler yayımlamadı. Kendi PHP’lerini derleyenler için 7.4, 8.0 ve 8.1’e yönelik minimal kaynak yama backport’ları yayımladı. 5.6 ya da 7.3 ve daha eskileri için ise hiçbir şey yayımlamadı. PHP 8.1’in ömrü 31 Aralık 2025’te, 8.0’ın ömrü Kasım 2023’te ve 7.4’ün ömrü Kasım 2022’de bitti.
Sürüm numarasının yanıltması
Linux dağıtımları yamayı eski sürüm dizisi altında sunabilir. Ubuntu 22.04, PHP 8.1 paketini normal güvenlik kanalı üzerinden yamalar; oysa Ubuntu 20.04 üzerindeki 7.4 için Ubuntu Pro gerekiyor. Dolayısıyla eski bir sürüm bildiren bir sunucu güvenli olabilirken, üst düzeyde 8.1.34 bildiren bir sunucu güvenli olmayabilir. Yöneticiler her iki CVE kimliği için de üretici değişiklik kayıtlarını kontrol etmeli.
Yöneticiler ne yapmalı
CISA, güncelleyemeyen ya da hâlâ desteklenmeyen PHP 8.1 ya da daha eskisini çalıştıran kuruluşları, yamalanıp güncellenene kadar PHP tabanlı sistemleri çevrimdışı bırakmaya davet etti. Kalıcı çözüm, desteklenen bir daldır ve 8.4 ya da 8.5 daha iyi hedeflerdir çünkü 8.2’nin güvenlik desteği 31 Aralık 2026’da sona eriyor. Forrester’dan Madelein van der Hout, yalnızca ana web sitesini kontrol etmenin tedarikçileri ve ilgili uygulamaları kaçıracağını ve yamanın zaten içeride olan bir saldırganı ortadan kaldırmayacağını uyardı.
Kaynaklar
What We Know About php2shell [Critical update]
PHP2Shell Remote Code Execution: Patch PHP Today
Bu Gelişmeyi Toplulukta Değerlendirin
Haber hakkındaki düşüncelerinizi, donanım deneyimlerinizi ve teknik sorularınızı topluluk üyeleriyle anlık olarak tartışın.
Bu gelişme hakkında düşüncelerinizi, donanım deneyimlerinizi veya sorularınızı Topluluk Forumumuzda paylaşın.
Foruma Katıl & Yanıtla ➔
Söz sizde.
Deneyiminizi, sorularınızı ve katkılarınızı paylaşın. E-posta adresiniz yayımlanmaz.