PHP2Shell güvenlik açığından kaynaklanan etkiler, hükümetlerin önlem olarak web sitelerini çevrimdışına çekmesiyle ve güvenlik firmalarının dünyadaki sitelerin kabaca yüzde 70'ini destekleyen PHP programlama dilini çalıştıran web sitelerine karşı milyonlarca istismar girişiminde bulunduğunu bildirmesiyle internetin son yıllardaki en büyük koordineli acil durum müdahalelerinden birine dönüştü.
Saatler İçinde Milyonlarca Suistimal Girişimi For more context on this story, see our ongoing latest AI developments.
The Guardian'a göre Cloudflare CEO'su Matthew Prince, şirketinin güvenlik açığının açığa çıkmasından sonraki ilk 45 dakika içinde on binlerce istismar girişimi kaydettiğini, iki saat içinde yüz binlere ve "şu anda milyonlara" yükseldiğini söyledi. Cloudflare ayrıca kusurun kamuya duyurulmasından önceki 10 saat içinde binlerce deneme görüldüğünü bildirdi; bu ayrıntı, ifşanın nasıl ele alındığına dair endişeleri artırdı.
Amazon Tehdit İstihbaratı, PHP2Shell'in "şu anda vahşi doğada geniş çapta istismar edildiğini" ve PHP geliştiricilerinin Çarşamba günü düzeltmeyi yayınlamasından önce bile, birden fazla aktörün bu güvenlik açığından yararlanmanın yollarını bulmak için çeşitli girişimlerde bulunduğunu tespit ettiğini söyledi. Surrey Üniversitesi'nden güvenlik profesörü Alan Woodward gazeteye, kusurun yamanın yayınlanmasından bir gün önce ortaya çıktığını belirterek, "birisi kediyi çantadan çıkardı" dedi.
Hükümetler Siteleri Yama İçin Çevrimdışına Alıyor
Tepki alışılmadık derecede sert oldu. Birleşik Krallık'ta siber güvenlik bakanı Liz Lloyd, Parlamento'ya 32 hükümet hizmetinin çevrimdışına alındığını söyledi ve bu hareketin, güncellemeler uygulanırken büyük ölçüde tedbir amaçlı olduğunu açıkladı. Downing Street, halka açık hiçbir kritik hizmetin etkilenmediğini ve bazı sınırlı hizmetlerin geçici olarak kullanılamayabileceğini söyledi ancak bunun, bunların saldırıya uğradığı anlamına gelmediğini vurguladı.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi, etkilenen kuruluşlara 50.000 uyarı gönderdi ve başarılı saldırılara ilişkin herhangi bir rapor almadıklarını söyledi. Ajans, güvenlik açığının boyutunu "benzeri görülmemiş" olarak nitelendirdi ve yamanın eski sistemleri çalıştıran bazı kuruluşlar için işe yaramayacağı ve bunların tamamen değiştirilmesi gerekeceği konusunda uyardı. Geçici kesintilerden etkilendiği bildirilen siteler arasında BBC'nin Hainler programı web sitesi, İnternet Arşivi, Wikipedia ve 4Chan yer aldı.
Amerika Birleşik Devletleri'nde Ulusal Güvenlik Ajansı, bu kusurun saldırganların web sunucularının kontrolünü ele geçirmesine, hassas verileri çalmasına, hizmetleri kesintiye uğratmasına ve güvenliği ihlal edilmiş ağlara daha derinlere inmesine olanak verebileceğini belirten bir tavsiye niteliğinde uyarı yayınladı. Ajans, "Siber aktörlerin büyük olasılıkla PHP2Shell'i silah haline getireceğini" belirterek, risklerin "ABD hükümet daireleri ve kurumları genelinde derhal yama yapılmasını gerektirecek kadar ciddi olduğunu" da sözlerine ekledi.
Acil durum müdahalesi hızla sınırları aştı. Güney Kore acil müdahale tedbirlerini etkinleştirdi, özel sektör siber güvenlik uyarı seviyesini yükseltti ve on binlerce şirkete rehberlik yayınladı. Çin sanayi bakanlığı, kuruluşları sistemlerini incelemeye, PHP'nin en son güvenli sürümüne yükseltmeye ve şifreleri ve anahtarları değiştirmeye çağırdı. Japonya Başbakanı, işletmeleri güvenlik açığını gidermeye veya sitelerini kapatmaya teşvik etti.
PHP2Shell'e Neden Tarihi Deniliyor?
NCSC'nin eski genel müdürü Ciaran Martin, kusuru "çok kötü" ve "beş yıl içinde keşfedilen en ciddi güvenlik açığı" olarak nitelendirdi. Güvenlik açığını ortaya çıkaran araştırma kuruluşlarından biri olan Wiz, bunun tartışmasız şimdiye kadar keşfedilen en ciddi yazılım kusurlarından biri olduğunu söyledi.
Güvenlik açığının kaynağı, onu yapay zeka güvenliği açısından bir dönüm noktası haline getiren şeydir. Wiz'e göre, temeldeki PHP kusurları onlarca yıldır mevcuttu, ancak bunların gerçekten sömürülebilir olduğunu göstermek, insan araştırmacıların pratikte başarabilecekleri düzeyde son derece karmaşık bir adımlar zinciri gerektiriyordu. Şirket, blog yazısında "Frontier AI modelleri bu engeli önemli ölçüde azaltarak uzun süredir devam eden bir kusuru istismara dönüştürdü" diye yazdı.
NSA'nın uyarısı, saldırganların erişimle neler yapabileceğine odaklanıyor. İnternet altyapısı uzmanı Michał Woźniak, The Guardian'a, büyük web sitelerinin değerli bilgi işlem gücünü, sunucuları ve IP adreslerini kontrol etmesi nedeniyle, düşman aktörlerin açığa çıkan sitelerin "kaynaklarını ele geçirebileceğini" söyledi. Kripto madencileri, enerji yoğun hesaplamaları ücretsiz olarak çalıştırmak için sunucuları ele geçirebilirken, suç grupları, izini sürülemeyen saldırılar başlatmak için ele geçirilen sitelerin içine yerleşebilir. Çoğu durumda site sahiplerinin bu uzlaşmanın farkında bile olmayacağını belirtti.
Alarm Ortasında Dikkat Edilmesi Gereken Bir Not
Herkes hasarın oluştuğuna inanmıyor. Siber güvenlik şirketi Calif'te araştırmacı olan ve kusurun keşfedilmesinde kilit rol oynayan Ryan Austin, The Guardian'a "şu anda istismarın yaygınlaştığı ya da yaygınlaştığı görülmediğini" söyledi. İngiliz Ticaret Odaları, kesintinin İngiliz firmaları için henüz önemli zorluklara yol açmadığını söyledi.
Ancak eski GCHQ şefi Sir David Omand, aralarında Rusya ve Çin'in de bulunduğu devlet düşmanlarının, savunmalar tam olarak devreye girmeden önce bu açıktan yararlanmaya çalışabilecekleri konusunda uyardı; bu, ifşa ile tam iyileştirme arasındaki pencerenin internetin en çok açığa çıktığı zaman olduğunu hatırlattı.
Site Operatörleri Şimdi Ne Yapmalı?
Hala açıkta olan kuruluşlar için kurumların yönlendirmeleri tutarlıdır: PHP'nin en son yamalı sürümüne hemen yükseltin, yamaların temiz bir şekilde uygulandığını ve sistemlerin düzeltmeyi kabul edemeyecek kadar eski olduğunu doğrulayın, bunları yalıtın veya değiştirin. NCSC'nin bazı eski sistemlere hiçbir şekilde yama uygulanamayacağı yönündeki uyarısı, bu güvenlik açığının uzun vadede mevcut acil durumun çok ötesinde de devam edeceğini gösteriyor.
Bölüm aynı zamanda yapay zeka destekli saldırı araştırmalarıyla ilgili bir tartışmayı da çözüme kavuşturuyor. Bir hafta önce teorik olan şey artık küresel bir olaya dönüştü: Bir yapay zeka sistemi onlarca yıldır açıklanmayan hataları silah haline getirmenin bir yolunu buldu ve internetteki her hükümet artık haftasını temizlik yaparak geçiriyor.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
