Dünya genelinde milyonlarca internet sitesi ve web uygulamasının altyapısında kullanılan PHP’de tespit edilen kritik güvenlik açıkları, sunucu sistemlerinin siber saldırılara karşı savunmasız kalmasına neden olabilecek bir risk oluşturuyor. Belirli koşullarda kullanıcı adı ya da şifre gerektirmeden kötü amaçlı kod çalıştırılmasına imkân tanıyabilen açıklar, kamu hizmetleri ve kişisel verilerin güvenliği açısından da endişeye yol açtı.
RASGAM Başkanı ve siber güvenlik uzmanı Ersin Çahmutoğlu, GZT’ye yaptığı değerlendirmede açığın olası sonuçlarını, Türkiye’deki durumu ve kurumlar ile kullanıcıların alabileceği önlemleri anlattı.
Açıklar Çok Sayıda Sistemi Etkileyebilir
PHP’deki güvenlik açıkları, tek bir internet sitesini değil, aynı teknolojiyle çalışan çok sayıda sistemi etkileyebiliyor. Açıkların belirli şartlarda istismar edilmesi hâlinde saldırganlar, savunmasız sunucularda yetkisiz kod çalıştırabiliyor.
Başarılı bir saldırı sonucunda internet sitelerinin içerikleri değiştirilebilirken hassas bilgiler ele geçirilebiliyor ve sistemlere zararlı yazılımlar yerleştirilebiliyor. Bu nedenle risk, yalnızca sitelerin çalışıp çalışmamasıyla sınırlı kalmıyor. Kişisel verilerin korunması ve çevrim içi hizmetlerin kesintisiz sunulması da tehdit altında bulunuyor.
Avrupa’da Önlem Amaçlı Erişim Kesintileri
21 Ekim’de Almanya, Fransa, Hollanda, Belçika ve Finlandiya gibi Avrupa ülkelerinde bazı kamu hizmetleri ve internet sitelerinde erişim kesintileri yaşandığı bildirildi. Hollanda’nın e-Devlet hizmetlerinin de risk nedeniyle kapatıldığı aktarıldı.
Çahmutoğlu, bu tür kesintilerin her zaman bir siber saldırının gerçekleştiği anlamına gelmediğine dikkat çekti. Kurumların güvenlik güncellemelerini tamamlayana kadar sistemlerini geçici olarak devre dışı bırakmasının önleyici bir siber güvenlik tedbiri olabileceğini belirtti.
Avrupa Birliği’nin siber güvenlik kurumlarının da gerekli güncellemeleri hemen uygulayamayan kuruluşlara internet erişimini geçici olarak kapatmalarını tavsiye ettiğini ifade eden Çahmutoğlu, bu uygulamaların saldırı gerçekleşmeden önce riski azaltmaya yönelik olduğunu kaydetti.
Türkiye’deki Durum İçin Kesinlik Vurgusu
Avrupa’daki gelişmelerin ardından Türkiye’de, e-Devlet başta olmak üzere kamu hizmetlerinin erişime kapatılıp kapatılmayacağı sorusu gündeme geldi. Çahmutoğlu, Türkiye’de şu ana kadar benzer bir kesinti yaşanmamasının muhtemel nedenleri arasında gerekli yazılım güncellemelerinin yapılmış olmasını veya farklı siber güvenlik önlemlerinin uygulanmasını gösterdi.
Ancak bu değerlendirmenin kendi yorumu olduğunu ve kesin bir bilgiye dayanmadığını vurguladı. Türkiye’deki gelişmeler kapsamında Cumhurbaşkanlığı Siber Güvenlik Başkanlığı’nın 21 Ekim akşamı ulusal ölçekte güvenlik taramaları başlattığı ve ilgili kuruluşlara acil güvenlik bildirimleri gönderdiği belirtildi.
Kişisel Veriler İçin Dolaylı Risk
PHP güvenlik açıkları öncelikle vatandaşların telefonlarını veya bilgisayarlarını değil, internet sitelerinin çalıştığı sunucu altyapılarını hedefliyor. Bu nedenle temel teknik sorumluluk, sistemleri işleten kurumlar ile sunucu yöneticilerine düşüyor.
Bununla birlikte savunmasız sistemlere yetkisiz erişim sağlanması, bu altyapılarda tutulan kişisel verilerin ve kullanıcı bilgilerinin ele geçirilmesi riskini beraberinde getiriyor. Kamu hizmetleri, bankacılık, e-ticaret, sağlık ve eğitim alanlarında faaliyet gösteren kuruluşların sistemlerinin etkilenmesi hem veri güvenliğini hem de hizmetlerin sürekliliğini tehlikeye atabiliyor.
Çahmutoğlu, Yeni Zelanda Ulusal Siber Güvenlik Merkezi’ne söz konusu açıkların aktif olarak istismar edildiğine ilişkin raporların iletildiğini de hatırlattı.
Kullanıcılar Hangi Önlemleri Almalı?
Çahmutoğlu, açığın doğrudan kullanıcı cihazlarını hedef almadığını ancak vatandaşların kişisel bilgilerini korumak için dikkatli olması gerektiğini belirtti. Hizmetlerde geçici kesintiler yaşanması hâlinde sosyal medyada dolaşan doğrulanmamış paylaşımlar yerine ilgili kurumların resmî açıklamalarının takip edilmesi gerektiğini vurguladı.
Hangi internet sitelerinin ne ölçüde etkilendiğine ilişkin yeterli bilgi bulunmadığı için kullanıcıların hesap güvenliğine dikkat etmesi önem taşıyor. Şifrelerin belirli aralıklarla güncellenmesi genel bir güvenlik önlemi olarak öne çıkarken, Çahmutoğlu bu olay özelinde şifre değiştirmenin zorunlu olmadığını, ancak ek tedbir olarak uygulanabileceğini söyledi.
Güncellemelerin Uygulanması Kritik
Açıklara karşı en önemli adım, kurumlar ve sunucu yöneticileri tarafından PHP’nin yayımladığı ilgili güvenlik güncellemelerinin uygulanması. Açıkların giderilmesi ve sistemlerin güvenli hâle getirilmesi, olası saldırıların önlenmesi açısından kritik önem taşıyor.
Çahmutoğlu, vatandaşların şifrelerini değiştirmesinin tek başına yeterli bir çözüm olarak görülmemesi gerektiğine işaret etti. Sistemlerin etkilenip etkilenmediğinin belirlenmesi ve gerekli teknik önlemlerin alınması öncelikle ilgili kurumların sorumluluğunda bulunuyor. Türkiye’deki sistemler üzerindeki etkiye ilişkin ayrıntılar netleştikçe, alınacak önlemlerin de bu doğrultuda değerlendirilmesi gerekiyor.