İnternet siteleri ve kurumsal uygulamaların altyapısında kullanılan PHP programlama dilinde tespit edilen kritik güvenlik açıkları, dünya genelinde siber güvenlik alarmına yol açtı. Bazı koşullarda saldırganların kullanıcı doğrulamasına gerek kalmadan uzaktan kod çalıştırmasına olanak tanıyabileceği değerlendirilen zafiyetler nedeniyle kamu kurumları başta olmak üzere çok sayıda kuruluş güvenlik önlemlerini artırdı.
The Wall Street Journal’ın (WSJ) haberine göre, güvenlik şirketi Calif’in ağustos ayında yapay zekâ desteğiyle tespit ettiği açıklar, kısa süre önce basına yansıdı. Gelişmelerin ardından çeşitli ülkelerdeki kurumlar uyarılar yayımlarken bazı internet siteleri de olası saldırıların önüne geçmek amacıyla geçici olarak devre dışı bırakıldı.
Türkiye’de ulusal çapta güvenlik taraması başlatıldı
Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, PHP altyapısındaki kritik güvenlik açıklarına karşı önleyici çalışmalarını devreye aldı. Başkanlık, kamu kurumları başta olmak üzere Türkiye genelindeki sistemlerde güvenlik taramalarının başlatıldığını ve ilgili kuruluşlara acil güvenlik bildirimlerinin iletildiğini açıkladı.
Açıklamada, "PHP2Shell" olarak adlandırılan güvenlik zafiyetlerinin yüksek risk taşıdığı vurgulandı. Söz konusu açıkların, belirli koşullarda saldırganlara kimlik doğrulaması olmaksızın uzaktan kod çalıştırma imkânı sağlayabileceği belirtildi. Bu durumun internete açık sistemlerde yetkisiz erişim, veri ihlalleri ve dijital hizmetlerin kesintiye uğraması gibi sonuçlar doğurabileceği kaydedildi.
Başkanlığın açıklamasında şu ifadelere yer verildi:
"Dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıkları tespit edilmiştir.
Başkanlığımız, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlatmış, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerini iletmiştir.
Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır.
Dijital altyapılarımızın güvenliği ve kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarımız sürmektedir."
ABD’den sistemlerin güncellenmesi çağrısı
ABD Federal Soruşturma Bürosu (FBI) ve Ulusal Güvenlik Ajansı (NSA), PHP’de iki kritik güvenlik açığı tespit edildiğine ilişkin uyarılarda bulundu. FBI’ın siber suçlarla mücadele birimi, söz konusu açıkların kötü niyetli kişilerin uzaktan kod çalıştırmasına imkân tanıyabileceğini ve hassas verilerle ağların güvenliğini tehlikeye atabileceğini bildirdi.
FBI, PHP altyapısını kullanan ve sistemlerini hemen güncelleyemeyen kurum, kuruluş ve kişilere internet sitelerini geçici olarak çevrim dışı bırakmaları tavsiyesinde bulundu. PHP Vakfı ise güvenlik sorunlarını gidermeye yönelik düzeltmelerin ve sistemlerin nasıl güncelleneceğine ilişkin talimatların yayımlandığını duyurdu.
Avrupa’da kamu siteleri geçici olarak kapatıldı
Güvenlik açığına ilişkin uyarıların ardından Avrupa’da da çok sayıda kurum önlem aldı. Danimarka Siber Güvenlik ve Dayanıklılık Kurumu, sistem yöneticilerine güncellemeleri mümkün olan en kısa sürede uygulamaları çağrısında bulundu. Güncelleme yapılamayan sistemlerin geçici olarak çevrim dışı bırakılması önerildi.
Norveç Ulusal Güvenlik Kurumu, zafiyetlerin yetkisiz kişilerin parola veya giriş işlemi olmadan etkilenen sistemlerin kontrolünü ele geçirmesine yol açabileceği uyarısını yaptı. Norveç yayın kuruluşu NRK, Norveç Dijitalleşme Müdürlüğü ve eğitim ile araştırma sektöründe kullanılan Feide sisteminin de erişime kapatılan platformlar arasında bulunduğunu aktardı.
Finlandiya Ulusal Siber Güvenlik Merkezi de bazı devlet sitelerinin tedbir amacıyla devre dışı bırakıldığını açıkladı. Ülkedeki medya kuruluşları, kamu kurumlarının yanı sıra Helsinki Kitap Fuarı ve Finlandiya Film Vakfı gibi farklı internet sitelerinde de erişim sorunları yaşandığını bildirdi.
Hollanda Başbakanı Rob Jetten ise vatandaşların kamu hizmetlerine erişmek için kullandığı DigiD ve MijnOverheid platformlarının geçici olarak erişime kapatıldığını duyurdu.
Fransa’da valiliklerin internet siteleri kapatıldı
Fransa’da da güvenlik önlemleri kapsamında valiliklerin internet sitelerine geçici olarak erişim engeli getirildi. Fransa İçişleri Bakanlığı, Ulusal Bilgi Sistemleri Güvenlik Kurumunun (ANSSI) talebi üzerine çok sayıda internet sitesinin tedbir amacıyla bakıma alındığını bildirdi.
Bakanlığın açıklamasında, dünya genelinde yaygın kullanılan PHP programlama dilinde duyurulan kritik güvenlik açığının ardından bu kararın alındığı belirtildi. Valiliklerin acil durum duyurularına, kararlarına ve talimatlarına sosyal medya hesapları veya ilanlar aracılığıyla ulaşılabileceği kaydedildi.
Bakanlık, güvenlik güncellemelerinin mümkün olan en kısa sürede tamamlanması için çalışmaların sürdüğünü açıkladı.
Japonya ve Avustralya’dan da uyarı
Japonya Sağlık, Çalışma ve Refah Bakanlığı, uzun süreli bakım hizmeti sağlayıcılarının iletişim bilgilerini içeren bilgi paylaşım sistemine ait internet sitesini önlem amacıyla geçici olarak askıya aldı. Japonya Başbakanı Takaiçi Sanae de PHP kullanan internet sitelerinin güvenlik güncellemelerini uygulaması çağrısında bulundu.
Avustralya Sinyal Direktörlüğü (ASD) ise kurumları ve bireyleri, yayımlanacak güvenlik güncellemeleri ile yamaları uygulamaya hazır olmaları konusunda uyardı.
OpenAI da konuya ilişkin blog yazısında, son iki ay boyunca PHP’deki güvenlik açıklarının giderilmesi amacıyla araştırmacılar ve çeşitli uzmanlardan oluşan bir gruba öncülük ettiğini belirtti. Dünya genelinde güvenlik güncellemeleri ve önleyici tedbirlere yönelik çalışmalar sürüyor.
Kaynak: Milliyet
