PHP’deki kritik açıklara karşı kurumların vakit kaybetmeden alması gereken önlemler

Bir siber güvenlik şirketi, web sitelerinin ve uygulamaların büyük bölümünün altyapısında yer alan PHP yazılımında tespit edilen kritik güvenlik açıklarını değerlendirdi.

Siber Güvenlik Başkanlığı’nın ulusal ölçekte uyarı yayınladığı açıkların saldırganlara oturum açmadan sunuculara erişme imkanı verebildiğini belirten siber güvenlik şirketi yetkililerinden Alev Akkoyunlu, kurumların vakit kaybetmeden alması gereken 5 önlemi paylaştı.

Akkoyunlu, "PHP, dünya genelinde web sitelerinin, e-ticaret platformlarının ve içerik yönetim sistemlerinin önemli bir bölümünün arka planında çalışan bir programlama dili. PHP geliştiricileri 21 Ekim’de bu altyapıda tespit edilen iki kritik güvenlik açığını kapatan güncellemeleri yayınladı. Uluslararası güvenlik kaynaklarında 'PHP2Shell' adıyla anılan açıklar, saldırganların herhangi bir kullanıcı adı veya şifreye ihtiyaç duymadan, tek bir istekle web sunucusunda kod çalıştırmasına olanak tanıyabiliyor." dedi.

Web isteklerine yanıt veren tüm PHP kurulumlarını etkileyen açıklara yönelik ilk istismar girişimlerinin, açıklar kamuoyuna duyurulmadan önce tespit edildiğini aktaran Akkoyunlu, "Açıkların duyurulmasının ardından Almanya, Fransa, Hollanda ve Finlandiya başta olmak üzere pek çok ülkede kamu kurumları, güncellemeler tamamlanana kadar bazı web sitelerini önlem amacıyla geçici olarak erişime kapattı. Türkiye’de ise Siber Güvenlik Başkanlığı ulusal ölçekte güvenlik taramaları başlattığını açıklayarak kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarını sistemlerini gözden geçirmeye çağırdı." diye ekledi.

“Yama ile saldırı arasındaki süre her geçen gün kısalıyor”

Güncellemelerin ertelenmesinin kurumları doğrudan saldırılara açık hale getirebileceğini vurgulayan Alev Akkoyunlu, bu tür açıklarda zamanın belirleyici olduğunu belirterek, “PHP, kurumların web sitelerinden müşteri portallarına, iç yazılımlarından cihazların yönetim panellerine kadar pek çok sistemin arka planında çalışıyor. Bu açıklarda dikkat çeken nokta, saldırganların herhangi bir oturum açma işlemi yapmadan sunucuya ulaşabilmesi. Açıkları istismar eden bir saldırgan sunucunun kontrolünü ele geçirebiliyor ve bu sunucularda çoğu zaman müşterilere ait bilgiler bulunuyor. Araştırmacılar, açıklardan birinin sunucu belleğindeki diğer kullanıcılara ait şifreleri ve oturum bilgilerini de sızdırabildiğini ortaya koydu. Bu da bir e-ticaret sitesinde alışveriş yapan sıradan bir kullanıcının hesap bilgilerinin bile risk altına girebileceği anlamına geliyor. Üstelik açıklar duyurulmadan önce bile istismar girişimleri kayda geçti. Bu nedenle güncellemelerin vakit kaybetmeden uygulanması büyük önem taşıyor.” dedi.

Alev Akkoyunlu, PHP’deki kritik açıklara karşı kurumların alması gereken 5 önlemi şöyle paylaştı:

"1. PHP kullanan tüm sistemlerinizi tespit edin. Kurumunuzun web sitesi, e-ticaret platformu, müşteri portalı ve iç yazılımları başta olmak üzere PHP çalıştıran tüm sunucuların envanterini çıkarın. Uzun süredir güncellenmeyen eski uygulamaları, test ortamlarını ve cihazların web tabanlı yönetim panellerini de bu listeye dahil edin. Barındırma hizmeti kullanıyorsanız sağlayıcınızla iletişime geçerek sistemlerinizin güncellenip güncellenmediğini teyit edin.

2. Güncellemeleri vakit kaybetmeden uygulayın. PHP geliştiricilerinin 21 Ekim’de yayınladığı 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri bu açıkları kapatıyor. Güncellemenin ardından PHP servisini mutlaka yeniden başlatın, aksi halde sunucu eski kodu çalıştırmaya devam edebilir. Daha eski bir sürüm kullanıyorsanız işletim sistemi dağıtımınızın veya destek sağlayıcınızın yayınladığı güvenlik yamalarını kontrol edin. Resmi desteği sona ermiş sürümler için kalıcı çözüm, desteklenen bir sürüme geçmek olacaktır. Geçici ayar değişiklikleri riski azaltsa da açıkları tamamen kapatmadığı için güncellemenin yerini tutmaz.

3. Hemen güncellenemeyen sistemlere erişimi kısıtlayın. Güncellemenin gecikeceği sistemlerde yönetim arayüzlerine ve kritik PHP servislerine erişimi güvenlik duvarı kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle sınırlandırın. Yurt dışından erişim ihtiyacı bulunmayan sistemleri uluslararası trafiğe kapatın. Kritik önemde olmayan ve kısa sürede yamalanamayan sistemleri ise geçici olarak erişime kapatmayı değerlendirin.

4. Sistemlerinizi ihlal izlerine karşı kontrol edin. Açıklara yönelik istismar girişimleri güncellemeler yayınlanmadan önce başladığı için, yama uygulamak tek başına yeterli olmayabilir. Sunucularınızda beklenmedik dosyalar, yeni oluşturulmuş kullanıcı hesapları, olağan dışı ağ bağlantıları ve web sunucusu kayıtlarındaki şüpheli istekler gibi işaretleri inceleyin. Şüpheli bir bulgu tespit ettiğinizde ilgili sistemi ağdan ayırarak uzman desteği alın.

5. Yama yönetimini ve tehdit tespitini tek bir çözümle güçlendirin. Yüzlerce sistemin güncelliğini manuel olarak takip etmek, kritik açıkların gözden kaçmasına yol açabiliyor."