Tahminlere göre web sitelerinin %70'ini çalıştıran programlama dili PHP'deki iki kritik açık, araştırmacıların hataların saldırganlara parola olmadan sunucuların kontrolünü verebileceğini göstermesinin ardından bu hafta küresel bir yamalama telaşı başlattı.
Açıklar, güvenlik firmaları Wiz ve Calif ile birlikte çalışan OpenAI modelleri kullanılarak bulundu. Grup, hata setine PHP2Shell takma adını verdi. Açıklardan biri 14 yıldır dilde duruyordu.
Açık neye izin veriyor
Saldırganlar, kimlik doğrulama olmadan etkilenen web sunucularını ele geçirebiliyor ve parolalar ile oturum verilerini barındırabilecek belleği okuyabiliyordu. PHP, WordPress, Drupal ve uzun bir özel site listesinin altında yer aldığı için maruziyet yalnızca teknoloji şirketlerine değil hastanelere, perakendecilere ve devlet portallarına da uzanıyor.
Wiz, ciddiyeti web'in büyük bölümünde verileri açığa çıkaran 2014 şifreleme hatası Heartbleed ile karşılaştırdı. Araştırmacılar, açığın insan analistlerin sömürebileceği sınırda kalacak kadar zor, ancak saldırı adımlarını kendi başına yürütebilen bir yapay zeka ajanı için kolay olduğunu söyledi.
Kuruluşlara harekete geçmelerini kim söyledi
ABD Ulusal Güvenlik Ajansı ve Avrupa Birliği'nin siber güvenlik ajansı derhal yamalama yapılmasını tavsiye etti. Her ikisi de hızla güncellenemeyen sistemlerin çevrimdışı alınması gerektiğini söyledi. Bazı Avrupa hükümet siteleri tam da bunu yaptı ve kamu hizmetlerinin bir kısmı bir gün boyunca karanlıkta kaldı.
Cloudflare'in teknoloji direktörü Dane Knecht, şirketin yama kamuya açılmadan önce erken saldırı girişimleri gördüğünü söyledi. OpenAI, yöneticilerin bir kurulumun açığa maruz kalıp kalmadığını kontrol etmek için çalıştırabileceği bir araç yayımladı.
Açıklama neden aceleye geldi
Ayrıntılar bu hafta çevrimiçi sızdı ve PHP'nin bakımcılarını uyarıyı ve güncellemeyi planlanandan önce yayımlamaya zorladı. Bu, uyarı ile sömürü arasındaki boşluğu kısalttı; savunucuların en çok güvendiği boşluk da budur.