Web siteleri ve uygulamaları geliştirmek için yaygın olarak kullanılan programlama dili PHP için güvenlik yamaları bugün yayınlanması bekleniyor. Salı günü yayımlanan uyarıda PHP geliştiricileri, kontrol edilmezse internette büyük zarar yaratabilecek iki kritik zafiyetin giderilmesinin hedeflendiğini bildirdi. Zafiyetlerin şiddet puanı 10 üzerinden 9,2 olarak belirlendi ve bazı siber güvenlik kurumları, düzeltme hemen uygulanamazsa sitelerin geçici olarak çevrimdışı tutulmasını önerdi.
Güvenlik yaması bugün 10:00 ET’de sunulması bekleniyor; geliştiriciler zafiyet detayları kamuya açılırsa ya da saldırıların aktif olarak kullanıldığına dair kanıt görülürse daha erken yayınlayabileceklerini söyledi. PHP kullanıcılarına sürüm yayınlanır yayınlanmaz yükseltmeleri çağrısı yapıldı. Siber güvenlik firması watchTowr’a göre zafiyetler Uzaktan Kod Çalıştırma türünde ve PHP 5’ten itibaren her sürümü etkiliyor. Bu durum saldırganların etkilenen sunucularda kendi kodlarını çalıştırmasına, siteleri kötü amaçlı değiştirmesine ve veri çalmasına olanak tanıyabilir.
Etkinin geniş olması bekleniyor; bir güvenlik araştırmacısı 1,3 milyondan fazla internete bağlı sunucunun risk altında olabileceğini tahmin etti. WordPress güvenlik eklenti sağlayıcısı Wordfence, tüm WordPress sitelerinin savunmasız olacağı konusunda uyardı çünkü bu sitelerin tamamı PHP kullanan sunucularda çalışıyor. WordPress geçen yıl internetin yüzde 40’ından fazlasını desteklediğini açıklamıştı. Wordfence ayrıca düzeltmenin otomatik güncellemeyle kurulamayacağını, site sahiplerinin PHP’yi kim güncellemekten sorumluysa onunla iletişime geçip yamayı manuel olarak uygulaması gerektiğini belirtti.
Avrupa Birliği Bilgisayar Acil Müdahale Ekibi ve İngiltere Ulusal Siber Güvenlik Merkezi her ikisi de derhal yama yapılamayan şirketlerin internete bakan uygulamalarını kamuya kapalı ağlardan izole etmesini ya da zafiyetler tamamen giderilene kadar tamamen çevrimdışı tutmasını öneren uyarılar yayımladı. Mobil işletim sistemi geliştiricisi GrapheneOS, kanıt konsepti saldırılarının zaten geliştiriliyor olması nedeniyle kullanıcı tartışma forumunu geçici olarak çevrimdışı aldığını açıkladı ve riski göze almak istemediklerini söyledi. PHP geliştiricisi Gina Peter Banyard’a göre yama yapmak tek çözüm; aksi halde sunucuları kapatmak yapılacak en mantıklı şey olabilir.
Birçok siber güvenlik kuruluşu PHP yöneticilerini hazırlıklı olmaları konusunda uyardı. Sansec’teki tehdit araştırmacıları yayınlandıktan 15 dakika içinde kitlesel saldırılar görmeyi beklediklerini söyledi. Bu, saldırganların beklediği anlamına gelmiyor. Cloudflare baş teknoloji sorumlusu Dane Knecht, platformun PHP sitelerine karşı erken saldırılar gördüklerini belirtti ve düzeltme hazır olana kadar geçici önlem olarak güvenlik duvarı kurallarını güncellediklerini kaydetti.
