Bir programlama lisanı olan PHP‘deki “ciddi güvenlik açıklarına” ait haberlerin akabinde dünya çapında hükümet siteleri de dahil olmak üzere çok sayıda internet sitesine önlem hedefiyle erişim kısmen ya da büsbütün askıya alındı.
İnternet siteleri ve kurumsal uygulamalarda kullanılan PHP programlama dilinde tespit edilen iki kritik güvenlik açığına karşı dünya genelinde yeni tedbirler devreye alınırken kurum ve kuruluşlar açıkların giderilmesi için güncellemelere odaklandı.
Güvenlik araştırmacıları tarafından raporlanan bu iki kritik zafiyet, berbat niyetli şahısların sunuculara uzaktan yetkisiz erişim sağlamasına, ziyanlı kod (malware) çalıştırmasına ve hassas kullanıcı bilgilerini ele geçirmesine imkan tanıyabiliyor. E-ticaret sitelerinden kurumsal web sayfalarına, ferdî bloglardan devasa data tabanlarına kadar geniş bir yelpazede kullanılan PHP’deki bu açıklar, yazılım güncellemelerinin ve proaktif siber güvenlik tedbirlerinin ne kadar hayati olduğunu bir defa daha gözler önüne seriyor. Uzmanlar, tüm sunucu yöneticilerini PHP sürümlerini ivedilikle en son yayınlanan yamalarla güncellemeye çağırıyor.
PHP NEDİR VE NE İŞE YARAR?
PHP (Hypertext Preprocessor), bilhassa web geliştirme süreçleri için tasarlanmış, HTML kodlarının içerisine gömülebilen, sunucu taraflı (server-side) ve geniş çapta kullanılan açık kaynaklı bir betik lisanıdır. PHP, dünyadaki milyonlarca internet sitesinin çalışmasını sağlayan, açık kaynaklı temel bir programlama lisanı. Birinci olarak 1990’lı yıllarda geliştirilen PHP, bugün internet sitelerinin yaklaşık yüzde 70’inde kullanılıyor.
İnternet dünyasının temel yapı taşlarından biridir. Günümüzde WordPress, Joomla, Drupal, Magento üzere dünyanın en tanınan içerik idare sistemleri (CMS) ve e-ticaret altyapıları PHP tabanlı olarak çalışır.
PHP, sunucu tarafında çalışarak data tabanı kontaklarını (MySQL, PostgreSQL vb.) kurar, kullanıcı kayıt formlarını işler, çerezleri yönetir ve dinamik, etkileşimli web sayfalarının anlık olarak oluşturulmasını sağlar. Elhasıl, internette gezinirken etkileşimde bulunduğunuz, data girişi yaptığınız birçok sitenin arkasında sessizce çalışan ve sistemin ayakta kalmasını sağlayan temel motor PHP’dir.
PHP’DE GÜVENLİK AÇIĞI NE ANLAMA GELİYOR?
PHP’de bir güvenlik açığı (vulnerability) bulunması, bu lisanın kod mimarisinde, işleyiş mantığında yahut varsayılan yapılandırmasında siber saldırganlar tarafından berbata kullanılabilecek bir zayıflık yahut yanılgı olduğu manasına gelir. Bu son tespit edilen iki kritik zafiyet üzere durumlarda, tehlikenin boyutu çok yüksektir. Keşfedilen bu son iki kritik zafiyet, temel olarak “Uzaktan Kod Çalıştırma” (Remote Code Execution – RCE) sınıfına girmektedir. Bu açık sayesinde saldırganlar, olağan koşullarda erişimleri olmayan bir sunucuya özel olarak hazırlanmış ziyanlı komut belgeleri (payload) gönderebilmekte ve sunucu üzerinde istedikleri süreci yapabilme yetkisi kazanabilmektedirler.
SİTEMİ PHP GÜVENLİK AÇIKLARINDAN NASIL KORURUM?
Güvenlik açıkları, vatandaşların ferdî bilgilerinin bulunduğu internet siteleri ve çevrim içi hizmetler açısından risk oluştursa da bu durum ferdî bilgilerin ele geçirildiği manasına gelmiyor.
Bilişim uzmanları, vatandaşların bu süreçte paniğe kapılmak yerine temel dijital güvenlik tedbirlerini uygulamasının ehemmiyet taşıdığını belirtiyor.
Bu cins kritik risklerden korunmanın en tesirli ve birincil yolu, güncelleme yapmaktır. Web sitenizin barındırıldığı hosting sunucusunun PHP sürümünün her vakit en yeni ve yamalanmış versiyonda tutulması mecburidir. Hosting sağlayıcınızla irtibata geçerek sunucunuzun inançlı sürüme yükseltildiğini teyit etmelisiniz. Ek olarak, sitenizin önüne bir Web Uygulama Güvenlik Duvarı (WAF) pozisyonlandırmak, kuşkulu trafikleri ve ziyanlı kod enjeksiyonlarını (SQLi, XSS) sunucuya ulaşmadan evvel filtreleyerek ekstra bir kalkan oluşturacaktır.
GÜVENLİK AÇIĞINA KARŞI ÜLKELER NE GİBİ ÖNLEMLER ALDI?
Uluslararası ölçekte güvenlik ihtarlarının yayımlanmasıyla birçok ülke çeşitli önlemlere odaklandı.
Bu kapsamda, ABD Federal Soruşturma Bürosu (FBI) ve ABD Ulusal Güvenlik Ajansı (NSA), iki kritik güvenlik açığının tespit edildiği konusunda ikazda bulundu.
Hollanda, vatandaşlık hizmeti sunan siteleri erişime kapattı.
Fransa, valiliklerin internet siteleri için emsal kararları uygulamaya aldı.
Danimarka, Norveç ve Finlandiya sistem kullanıcılarına yönelik ikazlar yayımladı.
Japonya Başbakanı Takaiçi Sanae, PHP kullanan internet sitelerine açığı düzeltmeye yönelik güncelleme daveti yaptı.
Güney Kore, siber kriz ikaz düzeyini yükseltirken kamu kurumları ve şirketlerden sistemlerini inançlı hale getirmeleri ve açıkları gidermek için gerekli güncellemeleri yapmaları ikazında bulundu.
TÜRKİYE’DE PHP KRİZİ İÇİN HANGİ ÖNLEMLER ALINDI?
Türkiye’de risklerin önlenmesi amacıyla Cumhurbaşkanlığı Siber Güvenlik Başkanlığı ilgili kurum ve kuruluşları bilgilendirdi. Kamu kurumları ve özel bölüm kuruluşlarına PHP altyapılarını denetim etmeleri, üretici tarafından yayımlanan güvenlik güncellemelerini uygulamaları ve inançlı sürümlere geçmeleri yönünde davette bulunuldu.
Ulusal ölçekte güvenlik taramaları ve teknik takip çalışmaları sürüyor.
e-Devlet Kapısı’nda, PHP altyapısında tespit edilen kritik güvenlik açıklarına ait gerçekleştirilen incelemelerde, hizmetlerin güvenliğini olumsuz etkileyen rastgele bir sorun tespit edilmedi.
