PHP Foundation, karar alma sorunları ve sınırlı kaynakların, ilk kez 2024’te tespit edilen bir güvenlik açığına yönelik PHP güvenlik düzeltmesini geciktirdiğini kabul etti. Çarşamba günü, bağlantılı iki kritik güvenlik açığı için acil yamalar yayımlanırken devlet kurumları ve diğer kuruluşlar önlem olarak web sitelerini çevrimdışı hale getirdi.

Öne Çıkanlar

  • Vakıf, geciken müdahaleyi güvenlik süreci ve kaynaklarla ilgili yapısal bir aksaklık olarak nitelendirdi.
  • Güvenlik açıkları, kimlik doğrulaması yapılmamış saldırganların etkilenen sunucularda kod çalıştırmasına olanak tanıyabilir.
  • Kripto kuruluşları maruz kalma durumlarını incelerken Coinbase ve BitGo, etkilenen sistemleri olmadığını bildirdi.

İçindekiler

Uyumluluk ve personel sorunları PHP güvenlik düzeltmesini aksattı

Vakfın açıklaması, bilinen bir teknik sorunun aylarca çözümsüz kalmasına yol açan sürece odaklanıyor. Geliştiriciler güvenlik açığına ilişkin belirtileri 2024’te tespit etti ancak web siteleri ve web uygulamalarında yaygın olarak kullanılan PHP üzerine kurulu kapsamlı yazılım ekosistemini aksatmayacak bir çözüm bulmakta zorlandı.

O aşamada geliştiriciler uzaktan kod çalıştırmaya olanak tanıyan bir yol tespit edememişti. Vakıf, PHP motoru konusunda gerekli bilgiye sahip küçük grubun başka sorumluluklarının da bulunduğunu ve bunun düzeltme çalışmalarının tekrar tekrar durup yeniden başlamasına yol açtığını söyledi.

Vakıf, gecikmeyi güvenlik ekibinin karar alma sürecinden ve yetersiz kaynaklardan kaynaklanan “yapısal bir aksaklık” olarak nitelendirdi.

Güvenlik şirketi Calif ve OpenAI’ın 11 Ağustos’ta aynı temel sorunu birbirlerinden bağımsız olarak bildirmesinin ardından konu en yüksek öncelikli güvenlik sorunları arasına alındı. Calif, koşulsuz uzaktan kod çalıştırmayı gösterdi.

Önlem amacıyla kapatmalar kamu hizmetlerine yayıldı

Acil yamaların yayımlanması, operatörlerin güncellemeleri hazırlarken hizmet bağlantılarını kesmesiyle birçok ülkede kesintilere yol açtı. Hollanda dijital kimlik hizmetini kapattı; Ulusal Siber Güvenlik Merkezi de kendi web sitesini çevrimdışı hale getirdi.

Finlandiya’nın devlet bilişim hizmeti sağlayıcısı Valtori, devletin kamuya açık web hizmetlerinin bağlantısını kesti. Fransa İçişleri Bakanlığı, valilik web sitelerini geçici olarak hizmet dışı bıraktı. Almanya’nın federal bilişim hizmeti sağlayıcısı ITZBund da birkaç web sitesini devre dışı bıraktı.

Avustralya Sinyal Direktörlüğü, cyber.gov.au’nun PHP sorunundan etkilenen devlet web siteleri arasında olduğunu belirtti. Japonya Başbakanı Sanae Takaichi, operatörleri yamaları hızla uygulamaya hazırlanmaya çağırdı ve güncellemelerin hemen yapılamadığı durumlarda web sitesi işlevlerinin geçici olarak askıya alınmasının riski azaltabileceğini söyledi.

Wikimedia Foundation da Toolforge ve Cloud VPS dahil destek hizmetlerini çevrimdışı hale getirdi; bu durum çarşamba günü bazı Wikipedia işlevlerini etkiledi.

Kripto şirketleri olası maruziyeti değerlendiriyor

Blockchain güvenlik şirketi SlowMist, MistEye hizmetinin incelenen 1.488 kripto sektörü alan adının 793’ünde doğrudan PHP izleri tespit ettiğini söyledi. Şirket, borsalara, DeFi platformlarına ve cüzdan sağlayıcılarına maruz kalma durumlarını gözden geçirip sistemlerini yükseltmeleri çağrısında bulundu. Bulgular, bu alan adlarının PHP kullandığını ortaya koydu; güvenlik açıklarına sahip olduklarını doğrulamadı.

Cardano’nun geliştirilmesini ve yönetişimini destekleyen üyelik kuruluşu Intersect, olası maruziyeti değerlendirirken Üyeler Alanı’nı geçici olarak kapattı.

Coinbase’in baş güvenlik sorumlusu Jeff Lunglhofer, şirketin açıkta kalan PHP örneklerine dair bir bulguya rastlamadığını ve üçüncü taraf tedarikçileriyle de kontrol yaptığını söyledi. BitGo da platformunun etkilenmediğini ayrı bir açıklamayla bildirdi.

İstismar durumu ile kanıtlanmış risk birbirinden ayrı

Uzaktan kod çalıştırma riskinin gösterilmiş olmasına rağmen PHP’nin güvenlik ekibi, kamuya açıklama yapıldığı sırada işlevsel bir istismar yöntemi tespit etmediğini söyledi.

OpenAI, operatörlerin potansiyel olarak savunmasız PHP sürümlerini kontrol etmesine ve geçerli güncellemeleri belirlemesine yardımcı olmak için GitHub üzerinden bir Codex becerisi yayımladı.

Sonuç

Acil yamalar anlık güvenlik açıklarını giderirken vakfın kabulü, yamaları geciktiren süreçteki aksaklıklara dikkat çekiyor. Bildirilen kapatmalar önlem amacıyla alınan tedbirlerdi; etkilenen kuruluşların sistemlerinin ihlal edildiğine dair kanıt değildi.

Daha Fazla Haber Okuyun

FinanceVelix’ten daha fazla haber

Yasal Uyarı

Bu FinanceVelix makalesi genel bilgilendirme amacı taşır; kişiye özel finansal, yatırım, hukuki veya vergi tavsiyesi değildir. Piyasa fiyatları, faiz oranları ve ekonomik koşullar değişebilir; yatırımlar kayıp riski taşır. Bilgiler yayımlandığı sırada mevcut olan materyalleri yansıtır ve değişebilir. Önemli bilgileri bağımsız olarak doğrulayın ve gerektiğinde nitelikli bir uzmana danışın. Bir varlıktan, şirketten veya hizmetten söz edilmesi, bunların tavsiye edildiği anlamına gelmez.