Web sitelerinin değerli bir kısmının arkasında çalışan PHP için bir gün evvel yayımlanan güvenlik güncellemesi, şimdiden yeni bir tartışmanın merkezinde. X’te rafalohaki kullanıcı ismiyle paylaşım yapan bir güvenlik araştırmacısı, güncellenmiş PHP 8.5.12 sürümünü çalıştıran bir sunucuyu uzaktan ele geçirebildiğini öne sürdü. Araştırmacı argümanını, internet üzerinden sunucuya komut gönderebildiğini gösteren kısa bir görüntüyle destekledi.

Güncelleme hangi açıkları kapattı?

PHP geliştiricileri 21 Ekim’de PHP 8.5.12 ile birlikte 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Resmi duyuruya nazaran bu güncellemeler, berbat niyetli bireylerin hiçbir şifreye gereksinim duymadan sunucuda istedikleri kodu çalıştırmasına imkan tanıyan iki kritik açığı kapatıyor. Açıklar PHP’nin bellek idaresindeki yanlışlardan kaynaklanıyordu.

PHP Foundation, sorunu süreksiz olarak önlemenin bir yolu olmadığını, tek inançlı seçeneğin güncellemek olduğunu açıkladı. Bu sebeple yeni sürümlere geçiş, site sahipleri ve barındırma şirketleri için öncelikli iş haline geldi.

Yeni argüman neyi söylüyor?

Araştırmacının GitHub sayfasında paylaştığı bilgilere nazaran yeni sistem, güncellemenin kapattığı bellek yanlışlarıyla ilgili değil. Atak, PHP’nin ziyaretçi oturumlarını kaydetme biçimindeki bir mantık zincirine dayanıyor. Araştırmacı bu yaklaşımın temelini J4ck3LSyN kullanıcı isimli diğer bir araştırmacının daha evvelki çalışmasına bağlıyor.

Ne var ki sistemin işe yaraması için birkaç şartın tıpkı anda bir araya gelmesi gerekiyor. Sunucunun oturum bilgilerini kaydederken ve okurken farklı ayarlar kullanması, belge yükleme ilerlemesini izleyen bir özelliğin açık olması ve sitenin kendi kodunda saldırganın faydalanabileceği belli bir modülün bulunması kural. Araştırmacının kendisi de bunu PHP’nin çekirdeğindeki bir açık yerine “mantık hatası” olarak tanımlıyor. Tez için şimdiye kadar başka bir CVE numarası, yani resmi güvenlik açığı kaydı da açılmadı.

Uzmanlar ne diyor?

X ve Hacker News’teki tartışmalarda pek çok geliştirici, sorunun PHP’den çok site kodundan kaynaklandığı görüşünde birleşti. @symbix üzere kullanıcılar, ziyaretçiden gelen bilgiyi denetimsiz biçimde kullanan sitelerin aslında risk altında olduğunu hatırlattı. PHP güvenlik grubu veya bağımsız bir güvenlik şirketi ise yeni iddiayı doğrulayan bir açıklama yapmadı.

Siber Güvenlik Başkanlığı ne açıkladı?

Türkiye’de de PHP açıkları gündemin üst sıralarına çıktı. Cumhurbaşkanlığı’na bağlı Siber Güvenlik Başkanlığı, 21 Ekim’de yayımladığı TR-26-1372 kodlu bildirimle ulusal çapta güvenlik taramaları başlattığını duyurdu. Başkanlık, kamu kurumları, kritik altyapı işletmecileri ve özel kesim kuruluşlarından PHP kullanan sistemlerini belirleyip gecikmeden inançlı sürümlere yükseltmelerini istedi. Bildirimde ayrıyeten idare panellerine ve kritik PHP servislerine dışarıdan erişimin sadece yetkili IP adresleriyle sonlandırılması, yurt dışından erişime muhtaçlık duymayan sistemlerin ise memleketler arası trafiğe kapatılması tavsiye edildi.

Başkanlık bir gün sonra yaptığı açıklamada ise e-Devlet Kapısı’na ait incelemelerin sonucunu paylaştı. Açıklamada “69 milyonu aşkın kullanıcıya hizmet veren e-Devlet Kapısı’nda, PHP altyapısında tespit edilen kritik güvenlik açıklarına ait gerçekleştirilen incelemelerde, hizmetlerin güvenliğini olumsuz etkileyen rastgele bir sorun tespit edilmedi” sözleri yer aldı. Başkanlığın ihtarları güncellemeyle kapatılan iki kritik açığa yönelik; araştırmacının yeni argümanı hakkında kurumdan şimdi bir kıymetlendirme gelmedi.

Kısacası mevcut bilgiler, her PHP sitesinin tehlikede olduğu yönünde değil. Taarruz, belli ayarlara ve yanlışlı yazılmış site koduna sahip sunucularda mümkün görünüyor. Tekrar de site yöneticilerine yapılan davet değişmiyor: PHP’yi en şimdiki sürüme yükseltmek, oturum ayarlarını dengeli tutmak ve ziyaretçiden gelen bilgilerin direkt belge olarak çalıştırılmasına müsaade veren kodları temizlemek, hem kapatılan açıklara hem de bu yeni teze karşı en tesirli tedbir olarak öne çıkıyor.

Kaynak: Shiftdelete