Yaygın kullanımlı programlama dili PHP'de iki kritik güvenlik açığının keşfedilmesi, dünya genelinde zincirleme bir tepkiye yol açtı. Hükümet kurumlarından özel kuruluşlara, eğitim platformlarından kültür sitelerine kadar geniş bir yelpazede internet siteleri ya güncelleme yapılana dek geçici olarak kapatıldı ya da kullanıcılara acil uyarılar iletildi. ABD'nin önde gelen güvenlik kurumları FBI ve NSA'nın ortak açıklamasıyla kamuoyunun gündemine giren kriz, kısa sürede küresel bir siber güvenlik meselesine dönüştü.
Açık Nasıl Ortaya Çıktı?
The Wall Street Journal'ın haberine göre güvenlik şirketi Calif, ağustos ayında yapay zeka yardımıyla PHP'deki güvenlik açığını tespit etti. Bu bulgu daha sonra basına sızdırıldı ve konunun kamuoyuna yansımasıyla birlikte dünya genelinde kurumlar art arda uyarı açıklamaları yapmaya başladı. PHP Vakfı, güvenlik açıklarını kapatan düzeltmeleri ve sistemlerin nasıl güncelleneceğine dair talimatları kamuoyuyla paylaştığını duyurdu. Yapay zeka şirketi OpenAI ise bir blog yazısında, son iki ay boyunca PHP'deki güvenlik açıklarını gidermek amacıyla araştırmacılar ve çeşitli uzmanlardan oluşan bir gruba öncülük ettiğini açıkladı.
FBI ve NSA'dan Kritik Uyarı
ABD Federal Soruşturma Bürosu FBI ve Ulusal Güvenlik Ajansı NSA, PHP'de iki kritik güvenlik açığının tespit edildiğini kamuoyuyla paylaştı. FBI'ın siber suçlar birimi, söz konusu açıkların kötü niyetli kişilerin PHP üzerinden uzaktan kod çalıştırmasına olanak tanıyabileceğini ve bunun hassas verilerin ile ağların güvenliğini tehlikeye atabileceğini vurguladı. Dünyadaki internet sitelerinin yaklaşık yüzde 70'ini destekleyen PHP'de güvenlik yamalarını hemen uygulayamayan kurum, kuruluş ve bireylere sitelerini çevrim dışı bırakmaları tavsiye edildi.
Avrupa Ülkelerinde Peş Peşe Kapatmalar
Güvenlik açıklarının basına yansımasının ardından Avrupa'da birçok ülke harekete geçti. Danimarka Siber Güvenlik ve Dayanıklılık Kurumu, sistem sahiplerine en kısa sürede güncelleme yapmaları çağrısında bulunurken güncellemenin mümkün olmadığı durumlarda sistemlerin geçici olarak çevrim dışı bırakılmasını tavsiye etti.
Norveç Ulusal Güvenlik Kurumu yayımladığı uyarıda, PHP'deki açıkların yetkisiz kişilerin parola ya da giriş işlemine gerek kalmaksızın etkilenen tüm sistemlerin kontrolünü ele geçirebileceğini belirtti. Norveç yayın kuruluşu NRK, bu süreçte Norveç Dijitalleşme Müdürlüğü ve eğitim ile araştırma sektöründe güvenli giriş ile veri paylaşımı için kullanılan Feide platformunun devre dışı kaldığını aktardı.
Finlandiya Ulusal Siber Güvenlik Merkezi de uyarı yayımlayarak bazı devlet sitelerinin öncelikli güvenlik tedbiri kapsamında devre dışı bırakıldığını açıkladı. Finlandiya medyasının haberlerine göre Helsinki Kitap Fuarı ve Finlandiya Film Vakfı gibi farklı platformlarda da kesintiler yaşandı. Hollanda Başbakanı Rob Jetten ise vatandaşların devlet hizmetlerine erişmek için kullandığı DigiD ve MijnOverheid gibi sitelerin geçici olarak erişime kapatıldığını bizzat duyurdu.
Japonya ve Avustralya da Devrede
Asya-Pasifik cephesinde de benzer adımlar atıldı. Kyodo News'in haberine göre Japonya Sağlık, Çalışma ve Refah Bakanlığı, güvenlik açıklarının ortaya çıkmasının ardından önlem olarak ülke genelindeki uzun süreli bakım hizmeti sağlayıcılarının iletişim bilgilerini barındıran bilgi paylaşım sistemine ait internet sitesini geçici olarak askıya aldı. Japonya Başbakanı Takaiçi Sanae de PHP kullanan internet sitelerinin açığı kapatmaya yönelik güncellemeleri yapması çağrısında bulundu.
Avustralya'da ise siber istihbarat kurumu Avustralya Sinyal Direktörlüğü (ASD), kuruluşları ve bireyleri bu konuda geliştirilecek güncellemeleri ve yamaları uygulamaya hazırlıklı olmaları yönünde uyardı.
PHP Vakfı ve OpenAI Sürece Dahil Oldu
PHP'nin güvenliğinden sorumlu geliştiricilerin yer aldığı PHP Vakfı, tespit edilen açıklara yönelik düzeltmeleri ve güncelleme talimatlarını kamuoyuyla paylaştığını açıkladı. Yapay zeka alanındaki önemli isimlerden OpenAI ise konuya ilişkin yayımladığı blog yazısında, son iki ay boyunca PHP güvenlik açıklarını gidermek amacıyla araştırmacılar ve uzmanlardan oluşan bir gruba liderlik ettiğini belirtti. Bu açıklama, söz konusu güvenlik krizinin yalnızca devlet kurumlarını değil, teknoloji dünyasının önde gelen aktörlerini de doğrudan ilgilendirdiğini ortaya koydu.
Sıkça Sorulan Sorular
PHP nedir ve neden bu kadar kritik bir öneme sahip?
PHP, internet sitelerini ve uygulamaları desteklemek için yaygın biçimde kullanılan bir programlama dilidir. FBI'ın açıklamasına göre dünya genelindeki internet sitelerinin yaklaşık yüzde 70'i bu dil üzerine inşa edilmiştir; bu da PHP'de keşfedilen güvenlik açıklarının son derece geniş bir alanı etkileyebileceği anlamına gelmektedir.
Tespit edilen güvenlik açıkları ne tür tehlikelere yol açabilir?
FBI'ın siber suçlar birimine göre söz konusu açıklar, kötü niyetli kişilerin PHP programlama dili üzerinden uzaktan kod çalıştırmasına olanak tanıyabilir. Norveç Ulusal Güvenlik Kurumu ise yetkisiz kişilerin parola veya giriş işlemine gerek duymadan etkilenen tüm sistemlerin kontrolünü ele geçirebileceğini uyarısında belirtmiştir.
Güvenlik açığı ilk olarak nasıl ve ne zaman keşfedildi?
The Wall Street Journal'ın haberine göre güvenlik şirketi Calif, ağustos ayında yapay zeka yardımıyla PHP'deki güvenlik açığını tespit etti. Bulgular daha sonra basına sızdırıldı ve bu gelişmenin ardından dünya genelinde kurumlar art arda uyarı açıklamaları yapmaya başladı.
Sitesini hemen güncelleyemeyen kişi ve kurumlar ne yapmalı?
FBI, internet sitelerini hemen güncelleyemeyen kurum, kuruluş ve bireylere sitelerini çevrim dışı hale getirmelerini tavsiye etti. Danimarka Siber Güvenlik ve Dayanıklılık Kurumu da güncellemenin mümkün olmadığı durumlarda sistemlerin geçici olarak kapatılmasını önerdi. PHP Vakfı ise düzeltmeler ve güncelleme talimatlarını kamuoyuyla paylaştığını açıkladı.
OpenAI'nin bu süreçteki rolü nedir?
OpenAI, konuya ilişkin yayımladığı blog yazısında son iki ay boyunca PHP'deki güvenlik açıklarını gidermek amacıyla araştırmacılar ve çeşitli uzmanlardan oluşan bir gruba öncülük ettiğini belirtti. Şirket bu süreçteki rolünü kamuoyuyla doğrudan paylaşmış olmakla birlikte, teknik ayrıntılar kaynakta yer almamaktadır.
