ABD Hükümeti: Saldırganlar Kritik PHP Web Açıklarını Kullanmaya Başladı.

Amerika Birleşik Devletleri’nin siber güvenlik ajansı CISA, yaygın olarak kullanılan PHP web yazılımındaki kritik güvenlik açıklarının şimdi aktif biçimde sömürüldüğünü onayladı ve ABD hükümeti içindeki sivil federal kurumların sistemlerini bir sonraki üç gün içinde düzeltmelerini emretti.

Sistemleri yamalamaya yönelik acil yeni uyarı, onlarca yıllık geçmişe sahip PHP web programlama dilini geliştiren kurumların, parolasız biçimde uzaktan saldırılabilecek sistemlere internet üzerinden sızmayı sağlayan bu iki açığa yönelik yamaları yaymasından bir haftadan kısa bir süre sonra geldi. PHP yazılımının, büyük ölçekli web siteleri ve uygulamaları risk altına sokan, web sunucularının yaklaşık %70’i tarafından kullanıldığı belirtiliyor. Açıkların ciddiyeti, bazı hükümetlerin ve büyük şirketlerin siteleri düzeltmek için çevrimdışıya almalarına yol açtı.

Açıklar kritik olarak derecelendiriliyor, yani sömürüldüklerinde yüksek düzeyde zarar verebiliyor; ancak güvenlik araştırmacıları, zayıf sistemlere sızmak için çalışan bir sömürü geliştirmenin başlangıçta zor olduğunu, ancak imkânsız olmadığını söyledi. Doğrulanan gerçek ortam sömürüleri, kuruluşları kötü niyetli sızıntıları, kesintileri ve veri ihlallerini önlemek için sistemlerini yalamaya daha da fazla zorluyor.

CISA, Pazartesi günkü açıklamasında açıkları sömürenlerin kim olduğu konusunda ayrıntı vermedi; ancak açıklaması, güvenlik araştırmacılarının PHP açıklarının sömürüldüğüne dair kanıt bulduktan kısa bir süre sonra geldi.

PHP2Shell olarak bilinen açıklar, yıllarca fark edilmeden kalan yazılımdaki açıkları sömürüyor. Açıklar ilk olarak iki yıl önce ortaya çıkarıldı; ancak yazılımı yöneten kâr amacı gütmeyen vakıf, açıkların sömürülmesi için pratik bir yol olmadığını belirterek onların yalanmadan kalmasına neden oldu. Bu durum, bu yıl başlarında güvenlik araştırma şirketi Calif’in bir yapay zekâ modeli yardımıyla bu iki uykudaki açığı sömürmenin bir yolunu bulmasına kadar sürdü.

PHP’deki bu iki açık, yapay zekâ modellerinin açıkları bulma ve sömürme yeteneğindeki ilerlemeler—çoklu açının birbirine zincirleme biçimde kullanılması dahil—nediğiyle artık risk oluşturabilecek, yıllardır keşfedilmemiş veya önceliklendirilmemiş sayısız açının arasında yer alıyor.

PHP, internetin ve modern teknolojilerin çalışmasını sağlayan bir dizi eski teknolojiden biri olsa da, yıllardır yetersiz kaynak ve finansmana sahip olması, PHP gibi açık kaynaklı projelerin açıkların daha erken tespit edilmesini sağlayabilecek güvenlik incelemelerini finanse etmesini zorlaştırıyor.