Geçen Haftaki Kritik PHP Uyarısı, Web Güvenlik Açıklarının Sadece Görünen Kısmıydı

Yapay zeka, internetin altyapısında yeni güvenlik delikleri buluyor. Peki bunları kapatacak kimse var mı?

Geçtiğimiz hafta boyunca dünya genelindeki yazılım mühendisleri, OpenAI modeli kullanan bir ekibin web yazılımının kritik bir parçası olan PHP'de iki büyük güvenlik açığı keşfetmesinin ardından sitelerin arka uçlarını güncellemek için adeta seferber oldu.

Dünya çapındaki web sitelerinin yüzde 70'ine kadar güç veren açık kaynaklı bir betik yazılımı olan PHP, site sahipleri yazılımın yeni sürümlerine güncelleme yapmadığında eskiyebiliyor ve bu da onları saldırılara karşı savunmasız hale getiriyor. Yeni güvenlik açıklarıyla ilgili uyarılar yayınlandıktan kısa bir süre sonra PHP'nin yeni sürümleri kullanıma sunuldu ve site operatörlerine güncelleme yapmaları çağrısında bulunuldu. Bu güncellemeler uygulanırken Avrupa'da bazı hükümet web siteleri erişime kapandı, ancak web'in büyük bir kısmında düzeltmeleri uygulamak site sahiplerinin kendi sorumluluğuna bırakılmış durumda.

Site sahiplerini bunu yapmaya zorlayan bir yasa yok; ancak bir web sitesi veri ihlali yaşarsa, sahibi müşterilerine karşı sorumlu tutulabilir. İnternet kullanıcıları içinse, terminal komutları çalıştırmadan veya çevrimiçi bir PHP denetleyicisi kullanmadan bir sitenin hangi PHP sürümünü çalıştırdığını anlamak mümkün değil.

Bazı web sitelerinin artık aktif olarak yönetilmediği düşünüldüğünde –örneğin benim de yıllardır atıl durumda olan ve PHP ya da WordPress yazılımı güncellemesi almamış bir sitem var– bu PHP olayı, web'in yaşlanan mimarisinin ihmal ve onu güvende tutmak için gereken kaynakların azalması nedeniyle güvensiz hale geldiğini gösterdi.

Geçtiğimiz hafta web sitelerini güncelleme ve güvence altına alma yarışından çıkan en şok edici gerçeklerden biri, PHP'deki güvenlik açıklarının ele alınmasını sağlamakla görevli bir kuruluşun kendisinin de sallantıda olduğu gerçeğiydi.

Reuters'ın haberine göre, böyle bir krizin yaşanmaması için araştırmacılar ve siber güvenlik şirketleriyle birlikte çalışmak üzere 2021 yılında kurulan kar amacı gütmeyen PHP Vakfı'nın yalnızca bir tam zamanlı çalışanı var ve büyümek için gereken kaynaklardan yoksun.

Vakfın İcra Direktörü Elizabeth Barron Reuters'a yaptığı açıklamada, tek personelin kendisi olduğunu ve yaklaşık 14 yarı zamanlı yüklenici ile ücretsiz yönetim kurulu üyesiyle çalıştığını söyledi. Yapay zeka kaynaklı tehditler arttıkça, bunları ele almak için PHP kodunu değiştirme talebi de geçmişe kıyasla iki katına çıkmış durumda. Barron, "Yine de katkıda bulunanların sayısı iki katına çıkmadı," dedi. Şirketler ve hükümetler PHP'ye bel bağlamışken, "PHP'nin ciddi şekilde yetersiz fonlandığı açık," diye ekledi.

Neredeyse tüm küçük işletmeler, ister bir sosyal medya hesabı, ister bir Google listelemesi ya da sahibi oldukları bir web sitesi olsun, bir şekilde web'de varlık gösteriyor. Ancak Network Solutions tarafından yapılan bir anket, küçük işletme sahiplerinin PHP sorununu ele almıyor olabileceğini, çünkü bunun kendilerini etkilediğini bilmediklerini ortaya koydu.

Kendi web sitelerine sahip 121 küçük işletme sahibiyle yapılan ankete dayanan rapor, katılımcıların yüzde 45'inin PHP'yi hiç duymadığını ve yüzde 71'inin sitelerinin PHP kullanıp kullanmadığını bilmediğini ortaya koydu. Bu site sahiplerinin yüzde 71 gibi büyük bir çoğunluğu ise son PHP açıklarını duymamıştı.

Network Solutions Group'un baş sistem mimarı Rick Radinger, anketin farkındalık ve bilgi eksikliklerini gösterdiğini, ancak mevcut PHP sorununu bilmemenin yanı sıra, site sahiplerinin bir düzeltme için harekete geçmenin kendi sorumlulukları olduğunu düşünmeyebileceklerini söyledi. Radinger, "Bir site sahibi uyarıdan haberdar olabilir, ancak barındırma sağlayıcısının bu sorunu halledeceğini varsayabilir," dedi ve ekledi: "Diğerlerinin ek yardıma ihtiyacı olabilir, ancak kiminle iletişime geçeceklerinden veya sonraki adımlardan emin değiller."

PHP uyarılarıyla ilgili harekete geçenler arasında Cloudflare gibi büyük web altyapı şirketleri ve GoDaddy gibi web barındırma hizmetleri de vardı. Cloudflare bir blog yazısında, saldırıları tespit etmek ve savuşturmak için yeni web uygulaması güvenlik duvarı korumaları devreye aldığını duyurdu. GoDaddy ise, yönettiği barındırma ve Windows barındırma hizmetlerinde web sitesi sahiplerinin ek adımlar atmasını gerektirmeyen güncellemeler yaptı, ancak kendi sitelerini yöneten veya sanal özel sunucu çalıştıran alan adı müşterilerinin PHP'yi kendilerinin güncellemesi gerekebileceğini belirtti.

Bir web sitesi sahibi olmayanlar içinse PHP güvenlik açıkları, şifrelerinizi güncelleyerek korunabileceğiniz bir şey değil; ziyaretçilerini korumak için güncel kalmak web sitelerinin sorumluluğunda.

Radinger, "Kullanıcılar için bunu kendilerinin düzeltememesi can sıkıcı bir durum, çünkü bu tarayıcıyla değil, sitenin sunucusuyla ilgili bir sorun," dedi. "Sadece tarayıcınızı güncellemek sorunu çözmez ve bir sitenin normal şekilde çalışıyor olması, sitenin düzeltildiği anlamına gelmez."

Her zamanki tavsiyeler her zamankinden daha fazla geçerli: Bilmediğiniz web sitesi bağlantılarına tıklama konusunda dikkatli olun, güvenmediğiniz web siteleriyle hassas bilgilerinizi paylaşmayın ve cihazınıza yazılım indirecek bağlantılara karşı özellikle temkinli olun.

PHP krizi, World Wide Web dördüncü on yıllık faaliyet dönemine yaklaşırken neler olup bittiğine dair iyi bir uyarı niteliğinde. Bu son güvenlik telaşı, web sitelerinin karşı karşıya olduğu tehditlerden yalnızca biri (yapay zeka kaynaklı ihlaller çok büyük bir tehdit). Ancak gelecekteki tehlikelerin çoğu, yaşlanan dijital mimariden kaynaklanabilir; PHP, web sitelerinin kullandığı JavaScript, SQL veritabanları, içerik yönetim sistemleri (WordPress veya Wix gibi) ve sunucuların kendi çalıştırdığı yazılımlar da dahil sayısız araçtan yalnızca biri. Bunlar web genelinde düzenli olarak izlenmez, yönetilmez ve güncellenmezse, önümüzdeki yıllarda çok daha fazla güvenlik açığının ortaya çıkmasını bekleyebilirsiniz.