Güvenlik araştırmacılarının yaygın kullanılan sistemlerde kritik açıklar bulması yeni bir olgu değil. Ancak PHP krizinde açıkların, güvenlik önlemleri alınmadan internete sızdırılması durumu tehlikeli hale getirdi.
Araştırmacılar, dünya genelindeki internet sitelerinin yaklaşık yüzde 70'inde kullanılan PHP programlama dilinde iki kritik güvenlik açığı tespit etti. Küresel çapta siber güvenlik alarmına yol açan durumun yankıları sürüyor.
REKLAM
REKLAM
Kriz nedeniyle Belçika, Hollanda, Finlandiya, Fransa ve Almanya'da bazı kamu kurumları, limanlar ve işletmeler, sistemlerini güvenli hale getirmek amacıyla internet sitelerini geçici internete kapattı.
ABD, İngiltere, Avustralya ve Japonya'nın siber güvenlik kurumları, PHP kullanan kuruluşlara acil güncelleme çağrısında bulundu. ABD Ulusal Güvenlik Ajansı (NSA) da güvenlik yamalarını hemen uygulayamayan kuruluşlara sistemlerini geçici olarak internetten ayırmalarını tavsiye etti.
Türkiye'de Siber Güvenlik Başkanlığı, acil kodlu uyarı yayımlarken, Japonya Başbakanı Takaichi Sanae'nin de web sitesi sahiplerine doğrudan güvenlik çağrısı yapması dikkatleri çekti.
PHP'nin geliştiricileri ise başlangıçta 22 Ekim'de yayımlanması planlanan güvenlik güncellemelerini, açıkların ayrıntılarının önceden sızması üzerine 21 Ekim'de kullanıma sundu. Bunun nedeni, beklenen güvenlik önlemlerinden önce söz konusu açıkların bilgisinin internete sızdırılması.
Güvenlik açıkları yamadan önce sızdırıldı
Aslında güvenlik araştırmacılarının PHP gibi yaygın kullanılan sistemlerde kritik açıklar bulması yeni bir olgu değil. Araştırmacılar yapay zeka araçlarını da kullanarak sıklıkla güvenlik taramaları yapıyor ve tespit edilen açıklar, ilgili sistemin geliştiricilerine iletiliyor. Böylece geliştiriciler de "güvenlik yamaları" yayımlayarak, o açıkları gidermeye çalışıyor.
PHP'de tespit edilen iki kritik güvenlik açığının (CVE-2026-109618 ve CVE-2026-109619) keşfinde de üç ana araştırma ekibi rol oynadı: Siber güvenlik şirketi Calif ile yapay zeka şirketleri OpenAI ve Wiz. Araştırmacılar yapay zekayı kullanarak 10 yılı aşkın süredir gözden kaçan kritik açıkları yakaladı.
Güvenlik açıklarının keşfedilmesinin ardından araştırmacılar PHP'nin geliştiricileriyle iletişime geçti.
Normal koşullarda bu tür kritik açıkların teknik ayrıntıları, yazılım geliştiricilerine sorunu giderecek güncellemeleri hazırlamaları için zaman tanımak amacıyla gizli tutuluyor. Yani bu açıkları tespit eden araştırmacılar, gerekli önlemler alınana dek sessiz kalıyor ve ancak önlemlerin alınmasının ardından kamuoyuna durumu açıklıyor.
Ancak PHP2Shell açıklarının önemli teknik ayrıntıları, planlanan açıklama tarihinden önce internet forumlarına ve sosyal medyaya sızarak dolaşıma girdi.
PHP Vakfı, güvenlik açıklarıyla ilgili bilgilerin sızması üzerine güncelleme takvimini bir gün öne çekmek zorunda kaldı.
Sızıntının kesin kaynağı bilinmemekle birlikte kayda geçen bazı hadiseler dikkat çekiyor.
Zira vakıf, Calif'in işlevli bir saldırı yöntemini gösteren videoyu yanlışlıkla yayımladığını, daha sonra videonun kaldırılmasına rağmen kopyalarının dolaşımda kaldığını açıkladı.
Yazılım tedarikçisi Chainguard'ın da güvenlik düzeltmelerini içeren yazılım paketlerini resmi açıklamadan önce yayımladığı belirtildi.
PHP Vakfı, bu durumun saldırganların güvenlik yamalarını inceleyerek açıkların nasıl kullanılabileceğini anlamasına fırsat vermiş olabileceğini bildirdi.
Amazon: 'Saldırı girişimleri dört gün önce başladı'
Amazon'un tehdit istihbaratı ekibi, PHP2Shell açıklarının kamuoyuna duyurulmasından önce saldırı girişimlerinin başladığına ilişkin bulgular elde etti.
Amazon, 17 Ekim'de MadPot adlı siber saldırı izleme sistemine yönelik bir istismar girişimi tespit ettiğini açıkladı. MadPot, saldırganların faaliyetlerini incelemek için gerçek sistemleri taklit eden tuzak sunuculardan oluşuyor.
Amazon'a göre 17 Ekim'deki girişim, Avustralya konumlu görünen ve kimlik gizleme hizmetiyle bağlantılı bir IP adresinden gerçekleştirildi. Bu tarihte güvenlik açıkları henüz kamuoyuna duyurulmamıştı.
Saldırganın güvenlik açıklarına ilişkin bilgileri nasıl elde ettiği ise bilinmiyor.
Şirket, 21 Ekim'de de farklı IP adreslerinden birden fazla saldırı girişimi kaydetti.
Sonraki saatlerde siber güvenlik şirketi Hadrian, açıkların geniş çapta istismar edilmeye başlandığını bildirirken Cloudflare, müşterilerini hedef alan saldırı trafiği tespit ettiğini açıkladı.
Web altyapısı sağlayıcısı Pantheon ise açıkları araştıran 60 binden fazla şüpheli isteği engellediğini duyurdu.
Ancak bu bulguların tamamı başarılı saldırılar anlamına gelmiyor. Bir sisteme yönelik saldırı girişiminin tespit edilmesi, saldırganın sunucuyu ele geçirdiğini veya verileri çaldığını tek başına kanıtlamıyor.
Milyonlarca sunucu güncellenmeyi bekliyor
Siber güvenlik şirketi VulnCheck'in araştırması, internete açık 2,6 milyondan fazla sunucuda PHP tespit edildiğini ortaya koydu.
Bunların 700 binden fazlasının PHP 3.x ile 7.3 arasındaki eski sürümleri kullandığı, yaklaşık 400 bininin ise 7.4, 8.0 veya 8.1 sürümlerinde çalıştığı belirtildi.
Bu sürümlerin önemli bir bölümü PHP'nin resmi güvenlik desteği kapsamı dışında kalıyor. Yani yeni güvenlik güncellemeleri almayan sürümlerden oluşuyor.
PHP geliştiricileri 8.2, 8.3, 8.4 ve 8.5 sürümleri için güvenlik güncellemeleri yayımladı. Eski sürümleri kullanan kuruluşların ise desteklenen sürümlere geçmesi veya kullandıkları yazılım dağıtımının sağladığı güvenlik düzeltmelerini uygulaması gerekiyor.
Öte yandan, güncellemelerin dünya genelindeki bütün sistemlere ulaştırılması zaman alabilir.
Çünkü PHP yalnızca internet sitelerinde kullanılmıyor, farklı yazılım paketlerinin, barındırma hizmetlerinin ve kurumsal sistemlerin içinde de yer alabiliyor.
The Guardian'a konuşan, Sophos'un tehdit istihbaratından sorumlu başkan yardımcısı Don Smith'e göre asıl zorluk yalnızca güncelleme yapmak değil, kuruluşların PHP'nin hangi sistemlerinde çalıştığını tespit edebilmesi.
Surrey Üniversitesi'nden siber güvenlik uzmanı Alan Woodward ise aynı gazeteye yaptığı açıklamada, bakımı yeterince yapılmayan internet sitelerinin haftalar, hatta aylar boyunca savunmasız kalabileceği uyarısında bulunuyor.
Yapay zeka siber saldırıları da hızlandırıyor
PHP2Shell krizi aynı zamanda yapay zekanın siber güvenlik üzerindeki çift yönlü etkisini gösteriyor. Yapay zeka sistemleri, yazılım kodlarını analiz ederek insanların yıllarca fark edemediği güvenlik açıklarını kısa sürede ortaya çıkarabiliyor. Ancak aynı teknolojiler saldırganların da işini kolaylaştırabiliyor.
Örneğin bir güvenlik güncellemesi yayımlandığında saldırganlar eski ve yeni yazılım sürümlerini karşılaştırarak hangi kodların değiştirildiğini inceleyebiliyor. Yapay zeka destekli analizler, bu değişikliklerden hareketle güvenlik açığının nasıl istismar edilebileceğini anlamayı hızlandırabiliyor.
Amazon'dan CJ Moses, geçmişte saldırganların çoğunun başkaları tarafından hazırlanmış saldırı araçlarının yayımlanmasını beklediğini, yapay zeka sayesinde bu bağımlılığın azaldığını belirtiyor.
Moses'a göre teknik ayrıntıların açıklanmasıyla çalışan saldırı araçlarının geliştirilmesi arasındaki süre giderek kısalıyor.
İnternetin temelindeki yazılımları kim koruyor?
PHP2Shell krizi, internet altyapısının önemli bir bölümünün sınırlı kaynaklarla geliştirilen açık kaynaklı yazılımlara bağımlılığını da yeniden gündeme getirdi.
PHP ücretsiz olarak kullanılabiliyor ve geliştirilmesi büyük ölçüde topluluk katkılarıyla finanse ediliyor.
The Guardian'ın aktardığına göre PHP Foundation, tam ve yarı zamanlı toplam 13 mühendisin katkısıyla faaliyet gösteriyor. Buna karşılık bu yazılım, milyonlarca internet sitesinin ve çok sayıda kritik dijital hizmetin temelinde yer alıyor.
Bazı uzmanlar, internetin temel teknolojilerinin bakımının yalnızca gönüllü geliştiricilere ve bağışlara bırakılmasının uzun vadeli güvenlik riskleri oluşturabileceğine dikkat çekiyor.
Avustralyalı siber güvenlik araştırmacısı Andrew Cullen'a göre şirketlerin, dijital altyapılarında hangi açık kaynaklı bileşenleri kullandıklarını bilmesi ve bu projelerin sürdürülebilirliğine katkıda bulunması gerekiyor. Cullen, The Conversation'da kaleme aldığı yazıda, açık kaynaklı yazılımların finansmanının kritik bir siber güvenlik yatırımı olarak görülmesi gerektiğini savunuyor.
Güvenlik kuruluşlarının ortak uyarısı ise net: PHP kullanan sunucuların güncellenmesi, güncellenemeyen kritik sistemlerin geçici olarak internetten ayrılması ve olası saldırı izlerinin araştırılması gerekiyor.