İnternetin temel yapı taşlarından biri olan PHP’de iki kritik güvenlik açığı tespit edilmesi, dünya genelinde siber güvenlik alarmını tetikledi. ABD, Avrupa Birliği, İngiltere, Japonya ve Avustralya’daki kurumlar, site yöneticilerinin sistemleri hemen güncellemesini istedi. Avrupa’da ise güvenlik gerekçesiyle çok sayıda kamu kurumu geçici olarak internet sitelerini kapattı.
Güvenlik kurumları güncelleme çağrısı yaptı
PHP’nin internet altyapısındaki yaygın kullanımı, ortaya çıkan açıkların etkisini büyüttü. Uluslararası siber güvenlik kuruluşları, PHP tabanlı sistemlerde riskin azaltılması için acil güncelleme yapılması gerektiğini duyurdu. Açıkların, belirli koşullarda saldırganların kullanıcı hesabı ya da şifreye ihtiyaç duymadan savunmasız sistemlerde uzaktan kod çalıştırmasına izin verebileceği ifade edildi.
Bu senaryo; verilerin çalınması, zararlı yazılım yüklenmesi, sayfaların değiştirilmesi ya da sistemlerin ele geçirilmesi gibi ciddi sonuçlara yol açabilir. ABD tarafında da açıkların sunucuların dosya sistemi ve veritabanlarına erişim sağlayabileceği uyarısı yapıldı. Öte yandan ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yayımladığı uyarıda, açıkların kötüye kullanıldığına dair doğrulanmış bir gözlem bulunmadığını belirtti.
Fransa, Hollanda, Almanya ve Finlandiya’da erişim kesildi
Güvenlik açığının yarattığı endişe, bazı ülkelerde önlem amaçlı geçici kapatmalara neden oldu. Fransa’da Paris Emniyet Müdürlüğü dahil bazı kamu kurumlarının internet siteleri erişime kapatıldı. Hollanda’da ise ulusal dijital kimlik sistemi DigiD ile Temsilciler Meclisi ve Ulusal Siber Güvenlik Merkezi’nin siteleri çevrimdışı bırakıldı.
Hollanda’da Rotterdam Limanı, bazı hastaneler ve siyasi partilerin web adresleri de alınan önlemlerden etkilendi. Finlandiya hükümeti de kamuya açık internet hizmetlerini geçici olarak durdururken, Almanya’da bazı federal hükümet siteleri kapatıldı. Belçika Dışişleri Bakanlığı ise önlem amacıyla kendi sitelerini erişime kapattığını duyurdu.
Finlandiya ve Almanya’daki yetkililer, söz konusu kapatmaların doğrulanmış bir siber saldırı nedeniyle yapılmadığını vurguladı. Wikimedia Vakfı da güvenlik açıklarını gidermek için çalışmalar yürüttüğünü ve bazı sistemlerini geçici olarak kapattığını açıkladı.
PHP yüzde 70’lik kullanım oranıyla geniş alana yayılıyor
Bu gelişmenin önemli tarafı, PHP’nin internet ekosistemindeki ağırlığı. W3Techs’in verilerine göre PHP, kullanılan sunucu tarafı programlama dili belirlenebilen internet sitelerinin yaklaşık yüzde 70’inde yer alıyor. WordPress, Drupal, Joomla ve Magento gibi platformlarda kullanılan PHP; haber sitelerinden çevrim içi mağazalara, kamu hizmetlerinden şirketlerin web sayfalarına kadar geniş bir alanda kullanılıyor.
Ancak bu oran, tüm sitelerin aynı derecede savunmasız olduğu ya da tamamının saldırıya uğradığı anlamına gelmiyor. Yine de uzmanlar, özellikle eski PHP sürümlerini kullanan sistemlerin güncellenmesi ve daha önce olası bir saldırı olup olmadığının incelenmesi gerektiğini belirtiyor.
Yapay zeka tespitte rol oynadı, güncellemeler yayımlandı
Güvenlik açıklarının saptanmasında yapay zeka modellerinin katkısı dikkat çekti. Siber güvenlik şirketi Calif, OpenAI’ın GPT-5.6 Sol modelini kullanarak tespit ettiği ilk kritik açığı 11 Ağustos’ta PHP geliştiricilerine bildirdi. OpenAI da aynı gün, sorunun temel nedenini bağımsız olarak raporladı.
Google bünyesindeki Wiz, 24 Ağustos’ta yapay zeka desteğiyle ikinci güvenlik açığını da tespit etti. Wiz bulgularını, PHP’de şimdiye kadar keşfedilen en ciddi güvenlik açıkları arasında değerlendirdi. Araştırmacılara göre sorunların temelinde uzun yıllardır yazılımda bulunan hatalar bulunuyor; ancak bunların saldırganlar tarafından kullanılabileceğinin gösterilmesi için daha gelişmiş analizler gerekti.
PHP Foundation ise güvenlik açıklarından birinin ilk işaretlerinin 2024 yılında fark edildiğini, ancak somut bir saldırı yönteminin o dönemde ortaya konulamadığını açıkladı. Kuruluş, gecikmenin karar alma süreçleri ve kaynak yetersizliği gibi yapısal nedenlerden kaynaklandığını kabul etti.
Güncellemeler gecikme sonrası öne çekilerek yayımlandı. PHP geliştiricileri 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini duyurarak iki kritik açığı giderdi. PHP Foundation, yazılımı kullanan kuruluşların güncellemeleri derhal yüklemesini isterken İngiltere Ulusal Siber Güvenlik Merkezi, güncelleme uygulayamayanların gerekli güvenlik önlemleri tamamlanana kadar etkilenen sistemleri çevrimdışı bırakmasını tavsiye etti.
