Dünya genelinde milyonlarca internet sitesinin altyapısında kullanılan PHP programlama dilinde iki ciddi güvenlik açığı ortaya çıkarıldı. Belirli koşullar altında saldırganların parola kullanmadan sunuculara erişmesine imkan verebilecek bu kusurlar nedeniyle Avrupa'daki çok sayıda kamu kurumu internet sitelerini geçici olarak kapattı. Güvenlik uzmanları, site yöneticilerine sistemlerini gecikmeden güncellemeleri yönünde çağrıda bulundu.

PHP yazılım altyapısında güvenlik kusurlarının belirlenmesi üzerine ABD, Avrupa Birliği, İngiltere, Japonya ve Avustralya'daki siber güvenlik kuruluşları harekete geçti.

Fransa, Hollanda, Almanya, Finlandiya ve Belçika'nın da aralarında bulunduğu ülkelerde çok sayıda kamu kurumu, olası saldırıları önlemek amacıyla internet sitelerini geçici olarak erişime kapattı.

Fransa'da Paris Emniyet Müdürlüğünün internet sitesiyle bazı kamu kurumlarının siteleri devre dışı bırakıldı. Hollanda'da da ulusal dijital kimlik sistemi DigiD, Temsilciler Meclisi ve Ulusal Siber Güvenlik Merkezinin internet siteleri çevrimdışı konuma getirildi.

Hollanda'daki Rotterdam Limanı ile bazı hastanelerin ve siyasi partilerin internet siteleri de alınan önlemlerden etkilendi.

Finlandiya hükümeti halka açık kimi internet hizmetlerini geçici olarak durdururken, Almanya'da federal hükümete ait bazı siteler kapatıldı. Belçika Dışişleri Bakanlığı da aynı yönde bir önlem aldı.

Finlandiya ve Almanya'daki yetkililer, bu kararların gerçekleştiği doğrulanmış bir siber saldırı nedeniyle değil, olası tehditlere karşı tedbir amacıyla alındığını bildirdi.

Güvenlik açıklarının dünya çapında endişe yaratmasının başlıca nedeni, PHP programlama dilinin internet altyapısında son derece yaygın kullanılması.

İnternet teknolojilerini takip eden W3Techs'in verilerine göre, sunucu tarafında kullanılan programlama dilinin belirlenebildiği internet sitelerinin yaklaşık yüzde 70'inde PHP yer alıyor.

WordPress, Drupal, Joomla ve Magento gibi yaygın içerik yönetim sistemlerinin altyapısında kullanılan PHP; haber siteleri, e-ticaret platformları, kamu hizmetleri ve şirketlerin internet sayfaları gibi pek çok alanda tercih ediliyor.

Ancak PHP kullanan tüm internet sitelerinin bu açıktan etkilendiği ya da bir saldırıya maruz kaldığı söylenemiyor. Riskin seviyesi, kullanılan yazılım sürümü ve sunucunun yapılandırılmasına göre değişiyor.

Saptanan güvenlik açıkları, uluslararası CVSS değerlendirme sisteminde 10 üzerinden 9,2 tehlike puanıyla derecelendirildi.

Avrupa Birliği Siber Güvenlik Olaylarına Müdahale Ekibi (CERT-EU), yaptığı açıklamada, belirli koşulların oluşması halinde açıkların saldırganlara herhangi bir kullanıcı hesabı ya da parola olmadan savunmasız sunucularda uzaktan kod çalıştırma olanağı verdiğini belirtti.

Bu durum; internet sitelerindeki hassas verilerin çalınması, zararlı yazılım yüklenmesi, sayfaların değiştirilmesi ve saldırganların sistemler üzerinde kontrol sağlaması gibi ciddi riskler yaratıyor.

ABD Ulusal Güvenlik Ajansı (NSA) da saldırganların bu güvenlik açıklarından yararlanıp sunucuların dosya sistemlerine ve veri tabanlarına erişebileceği uyarısını yaptı.

İnternet altyapı şirketi Cloudflare'ın teknoloji direktörü Dane Knecht, güvenlik açıklarından yararlanmaya dönük ilk saldırı girişimlerinin tespit edilmeye başlandığını açıkladı.

Buna karşın ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yayımladığı uyarıda açıkların kötüye kullanıldığına ilişkin doğrulanmış bir bulguya rastlamadıklarını bildirdi.

Uzmanlar, saldırı denemelerinin yaygınlaşabileceği konusunda uyarıda bulunarak sistem yöneticilerinin güvenlik güncellemelerini vakit kaybetmeden yüklemesi gerektiğini vurguladı.

İnternet altyapısını tehdit eden güvenlik kusurlarının ortaya çıkarılmasında yapay zeka teknolojilerinin önemli katkı sağladığı belirtildi.

Siber güvenlik şirketi Calif, OpenAI'ın GPT-5.6 Sol modelini kullanarak belirlediği ilk kritik güvenlik açığını 11 Ağustos'ta PHP geliştiricilerine bildirdi.

OpenAI da aynı gün, aynı sorunun temel nedenini bağımsız olarak raporladı.

Google bünyesindeki siber güvenlik şirketi Wiz, 24 Ağustos'ta yapay zeka destekli analizlerden faydalanarak farklı saldırı yöntemlerini ve ikinci güvenlik açığını tespit etti.

Wiz, ortaya çıkarılan sorunları PHP altyapısında bugüne kadar belirlenmiş en ciddi güvenlik açıklarından bazıları olarak nitelendirdi.

Araştırmacılar, güvenlik açıklarının kaynağında yazılımda uzun süredir bulunan hataların yer aldığını, ancak bu kusurların saldırılarda nasıl kullanılabileceğini göstermek için gelişmiş analizlere ihtiyaç duyulduğunu belirtti.

PHP'nin geliştirilmesine katkı sunan PHP Foundation, güvenlik açıklarından birine ilişkin ilk belirtilerin 2024 yılında fark edildiğini açıkladı.

Ancak o dönemde bu hatanın kullanılabilir bir saldırı yöntemine dönüştürülebileceği ortaya konulamamıştı.

Kuruluş, sorunun giderilmesindeki gecikmenin karar alma süreçleri ve kaynak eksikliğinden kaynaklanan yapısal bir başarısızlık olduğunu kabul etti.

Güvenlik açıklarına ilişkin bazı bilgilerin 20 Ekim'de internete sızmasının ardından, ilk olarak 22 Ekim'de yayımlanması planlanan güncellemelerin tarihi bir gün öne çekildi.

PHP geliştiricileri, iki kritik güvenlik açığını gidermek amacıyla 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı.

PHP Foundation, yazılımı kullanan kuruluşlara güvenlik güncellemelerini vakit kaybetmeden yüklemeleri çağrısında bulundu.

İngiltere Ulusal Siber Güvenlik Merkezi de güncellemeleri hemen uygulayamayan kurumlara, gerekli güvenlik tedbirleri tamamlanana kadar etkilenen sistemleri geçici olarak çevrimdışı tutmalarını tavsiye etti.

Uzmanlar; özellikle eski PHP sürümleriyle çalışan internet sitelerinin güncellenmesi, gereksiz dış erişimlerin sınırlandırılması ve sistemlerin geçmişte olası bir saldırıya uğrayıp uğramadığının incelenmesi gerektiğine dikkat çekti.