AB ve FBI PHP güvenlik açığı için siteleri kapatın uyarısı verdi

PHP geliştiricileri çarşamba günü yaptıkları açıklamada, iki kritik güvenlik açığını gidermek üzere güvenlik güncellemeleri yayımlayacaklarını duyurdu. Avrupa Birliği'nin siber güvenlik yetkilileri, gerekli güncellemeleri uygulayamayan kuruluşları etkilenen internet sitelerini geçici olarak kapatmaları konusunda uyardı; FBI'ın siber güvenlikten sorumlu birimi ise hemen güncelleme yapılamaması durumunda web sitelerini çevrimdışı hale getirmelerini tavsiye etti.

Açıklar, yazılım güvenlik derecelendirme sistemi CVSS v4.0'da 10 üzerinden 9,2 puan aldı. Avrupa Birliği'nin siber güvenlik olaylarına müdahale ekibi CERT-EU, bu puanın kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma riskine işaret ettiğini belirtti; yani saldırganın herhangi bir şifre veya hesaba ihtiyaç duymadan sunucuda komut çalıştırabilmesi anlamına geliyor.

Web teknolojileri araştırma kuruluşu W3Techs'in verilerine göre PHP, kullanılan programlama dili tespit edilebilen internet sitelerinin yaklaşık yüzde 70'inde yer alıyor. Alphabet bünyesindeki siber güvenlik şirketi Wiz, söz konusu açıkların 'PHP'de şimdiye kadar keşfedilen en ciddi güvenlik açıkları arasında yer aldığını, hatta yazılım tarihindeki en ciddi güvenlik açıklarından bazıları olarak değerlendirilebileceğini' belirtti.

Wiz araştırmacısı Tomer Schwartz durumu, ABD ordusunun en yüksek alarm seviyesi olan DEFCON 1'e benzetti. Tek bir PHP açığının aynı anda milyonlarca sunucuyu riske atabileceğini belirten barındırma hizmetleri sağlayıcısı GoDaddy, bu durumun veri hırsızlığına, site içeriklerinin izinsiz değiştirilmesine veya sistemlerin tamamen ele geçirilmesine yol açabileceği uyarısında bulundu.

Cloudflare'deki bir yetkili ilk saldırıların ortaya çıkmaya başladığını açıklarken, şirkete göre güvenlik açıklarının duyurulmasının ardından saldırı girişimleri hızla artarak şu ana kadar milyonlara ulaştı. WordPress siteleri için geliştirilen güvenlik eklentisi Wordfence ise normal koşullarda kullanılan otomatik güncellemelerin bu güvenlik açığını gidermeye yönelik düzeltmeyi uygulamayacağı konusunda uyardı.