PHP Vakfı, kritik güvenlik düzeltmesinin gecikmesine neden olan 'yapısal bir başarısızlığı' kabul etti

PHP Vakfı, 2024 yılında ilk kez tespit edilen kritik bir güvenlik açığının düzeltmesini geciktiren kararsızlık ve kaynak yetersizliğini kabul ederek bu durumu bir 'yapısal başarısızlık' olarak nitelendirdi.

PHP, iki ilgili kritik güvenlik açığı için acil yamalar yayınlarken, hükümet kurumları ve diğer dünya çapındaki kuruluşlar önlem almak amacıyla web sitelerini geçici olarak çevrimdışı bıraktı. Bu açıklar, kimlik doğrulaması yapılmadan sunucularda kod çalıştırılmasına izin verebilir.

PHP, web siteleri ve web uygulamalarını (içerik yönetim sistemleri de dahil olmak üzere) çalıştırmak için yaygın olarak kullanılan bir programlama dilidir.

Yama yayınlandıktan sonra yayımlanan bir blog yazısında vakıf, geliştiricilerinin açıkların 2024 yılında ilk belirtilerini tespit ettiğini, ancak PHP ile inşa edilen büyük yazılım ekosistemini bozmadan bir çözüm bulmanın zor olduğunu açıkladı.

Vakıf şöyle açıkladı: 'Uzaktan kod çalıştırma yolunun bilinmemesiyle birlikte, motorun derin bilgisine sahip az sayıdaki çekirdek geliştirici ekibi çok sayıda sorumlulukla meşgul olduğu için bu karar süreci, aylar boyunca düzeltme çalışmalarının duraklamasına ve tekrar başlamasına neden oldu.'

'Başka türlü iddia etmeyeceğiz: Gecikme, güvenlik ekibinin karar süreci ve kaynak yetersizliği nedeniyle oluşan bir yapısal başarısızlıktı.'

Güvenlik firması Calif ve OpenAI tarafından aynı temel sorun bağımsız olarak bildirildikten sonra, 11 Ağustos'ta vakıf açıklara yeniden dikkat çekildi; Calif, koşulsuz uzaktan kod çalıştırma yeteneğini göstererek konuyu en üst düzey güvenlik önceliği haline getirdi.

PHP güvenlik endişesi nedeniyle web siteleri çevrimdışı kaldı

Acil yamaları yüklemeye hazırlanırken geliştiriciler web sitelerini devre dışı bırakınca, bu kesinti dünya çapında yayıldı.

Hollanda, dijital kimlik hizmetini kapattı ve ülkenin Ulusal Siber Güvenlik Merkezi de web sitesini geçici olarak çevrimdışı bıraktı.

Finlandiya'nın devlet BT sağlayıcısı Valtori kamu web hizmetlerini devre dışı bıraktı; Fransa İçişleri Bakanlığı ise valilik web sitelerini geçici olarak kapattı. Reuters'e göre Almanya'nın federal BT sağlayıcısı ITZBund da birkaç web sitesini devre dışı bıraktı.

Avustralya'da Avustralya Sinyal Müdürlüğü, siber güvenlik web sitesi cyber.gov.au'nun bu PHP sorunuyla etkilendiğini kabul etti.

Japonya Başbakanı Sanae Takaichi, X üzerinden web sitesi operatörlerine yamayı mümkün olduğunca hızlı uygulamaları çağrısında bulundu. Bir gönderisinde, yamanın hemen uygulanamaması durumunda web sitesi işlevlerini geçici olarak askıya almanın riski azaltabileceğini belirtti.

Wikipedia'yı işleten Wikimedia Vakfı, önlemler kapsamında Toolforge ve Cloud VPS gibi gönüllü geliştiricilerin kullandığı araç ve projeleri barındıran bazı destek hizmetlerini geçici olarak çevrimdışı bıraktığını açıkladı; bu nedenle Wikipedia'nın bazı bölümleri Çarşamba günü çevrimdışı kaldı.

Blockchain güvenliği firması SlowMist, MistEye hizmetiyle kripto sektöründe PHP kullanımını inceledi ve borsaları, DeFi platformlarını ve cüzdan sağlayıcılarını maruziyetlerini gözden geçirmeleri ve yükseltme yapmaları çağrısında bulundu. Değerlendirilen 1.488 domaine bakıldığında, doğrudan PHP imzası taşıyan 793 alan adı tespit edildi.

Cardano blokzincirinin gelişimini ve yönetimini destekleyen üyelik kurulu Intersect, potansiyel maruziyeti değerlendirmek amacıyla Üye Alanı'nı geçici olarak çevrimdışı bıraktığını açıkladı. Yazım anı itibarıyla sayfa hâlâ çevrimdışı.

Coinbase Baş Güvenlik Müdürü Jeff Lunglhofer, şirketin açığa çıkmış PHP örneklerine dair hiçbir kanıt bulamadığını açıkladı.

“Bu tür güvenlik açıklarını duyduğumuzda, her şeyi olabildiğince güvenli hâle getirmek için otomatik olarak kapsamlı bir tarama gerçekleştiriyoruz. Ayrıca ek güvence sağlamak amacıyla üçüncü taraf tedarikçilerimizle de iş birliği yapıyoruz.”

Dijital varlık altyapısı şirketi BitGo da platformunun bu PHP açıklarından etkilenmediğini duyurdu.

Bu arada Binance kurucu ortağı Changpeng Zhao, bazı web yöneticilerinin güvenlik yamalarını güncellememiş olabileceği gerekçesiyle kullanıcıları önümüzdeki birkaç gün içinde herhangi bir web sitesini ziyaret ederken ‘fazladan dikkatli’ olmaları konusunda uyarıyor.

OpenAI, web sitelerinin potansiyel olarak savunmasız PHP sürümlerini kontrol etmesine ve uygulanabilir güncellemeleri belirlemesine yardımcı olacak bir Codex becerisi yayımladı; bu beceri GitHub üzerinden erişilebilir.

PHP güvenlik ekibi, açıklamanın kamuya duyurulduğu anda işlevsel saldırılar tespit edilmediğini bildirdi.

Dergi: Bitcoin’inizi saklamak için Ledger’e alternatif 5 çözüm