Kritik PHP Güvenlik Açığı Küresel Kesintilere Yol Açtı

PHP Vakfı, ilk olarak 2024 yılında tespit edilen kritik bir güvenlik açığının kapatılmasında yaşanan kararsızlık ve kaynak yetersizliğini kabul ederek bu gecikmeyi yapısal bir başarısızlık olarak nitelendirdi. Vakıf, saldırganların kimlik doğrulaması yapmadan sunucularda uzaktan kod yürütmesine olanak tanıyan iki kritik açık için acil güvenlik yamaları yayımladı.

Yayımlanan güvenlik bildiriminde, geliştiricilerin güvenlik açığının izlerine ilk kez 2024 yılında rastladığı ancak geniş PHP ekosistemindeki yazılımları aksatmadan bir çözüm üretmekte zorlandığı ifade edildi. Vakıf açıklamasında, "Aksini iddia etmeyeceğiz: Bu gecikme, güvenlik ekibinin karar alma süreci ve kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlıktı. Uzaktan kod yürütme riskine dair net bir kanıt bulunmaması ve çekirdek geliştirici ekibinin kısıtlı kadrosu nedeniyle çalışmalar aylarca durup yeniden başladı" ifadelerine yer verildi. Açığın önemi, 11 Ağustos tarihinde Calif adlı siber güvenlik şirketi ile OpenAI'nin bağımsız bildirimleri ve koşulsuz uzaktan kod yürütmenin gösterilmesiyle en üst seviyeye çıkarıldı.

Söz konusu güvenlik endişesi üzerine dünya genelindeki pek çok kurum ve kamu kuruluşu web sitelerini önlem amacıyla çevrim dışına aldı. Hollanda'nın dijital kimlik servisi ile Ulusal Siber Güvenlik Merkezi sistemlerini kapatırken, Finlandiya kamu bilişim sağlayıcısı Valtori, Fransa İçişleri Bakanlığı vilayet siteleri ve Almanya'nın federal bilişim sağlayıcısı ITZBund bazı hizmetlerini geçici olarak devre dışı bıraktı. Avustralya Sinyal Başkanlığına ait siber güvenlik platformu da sorundan etkilendiğini bildirdi. Japonya Başbakanı Sanae Takaichi ise yaptığı açıklamada, yamanın hemen uygulanamadığı durumlarda web sitelerinin geçici olarak kapatılmasının riski azaltabileceğini belirterek yöneticilere acil müdahale çağrısında bulundu. Benzer şekilde Wikimedia Vakfı, Toolforge ve Cloud VPS gibi destek altyapılarını önlem amaçlı durdurarak bazı Wikipedia servislerinde kesintiye gitti.

Güvenlik açığı kripto para sektöründe de geniş yankı uyandırdı. Blokzincir güvenlik şirketi SlowMist, incelediği 1.488 alan adından 793'ünde doğrudan PHP kullanımına rastladıklarını belirterek borsaları, DeFi platformlarını ve cüzdan sağlayıcılarını altyapılarını güncellemeleri konusunda uyardı. Cardano ekosistemini destekleyen Intersect kuruluşu üye alanını geçici olarak erişime kapatırken, Coinbase Güvenlik Şefi Jeff Lunglhofer sistemlerinde savunmasız bir PHP örneği bulunmadığını ve güvenlik taramalarının yapıldığını aktardı. Dijital varlık altyapı sağlayıcısı BitGo da platformun etkilenmediğini bildirdi. Binance kurucu ortağı Changpeng Zhao, bazı yöneticilerin güvenlik güncellemelerini geciktirebileceğine dikkat çekerek kullanıcıları internet sitelerini ziyaret ederken temkinli olmaya çağırdı. OpenAI ise geliştiricilerin savunmasız PHP sürümlerini tespit edebilmesi için bir denetim aracı sundu. PHP güvenlik ekibi, yama duyurusu yapıldığı sırada açığın kötüye kullanıldığına dair somut bir vaka saptanmadığını kaydetti.