Siber Güvenlik Başkanlığı, internet sitelerinin geliştirilmesinde yaygın biçimde kullanılan PHP yazılım altyapısında tespit edilen kritik güvenlik açıklarıyla ilgili kurum ve kuruluşları uyardı. Başkanlık, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespit edilmesi ve olası etkilerin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarının başlatıldığını açıkladı.
Başkanlığın sanal medya hesabından yapılan açıklamada, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiği belirtildi. Açıklamada, kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarından sistemlerini gözden geçirmeleri ve gerekli güvenlik güncellemelerini ivedilikle uygulamaları istendi.
Siber Güvenlik Başkanlığı, dijital altyapıların güvenliği ile kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarının sürdüğünü bildirdi.
İki Kritik Açık İçin Güncelleme Yayımlandı
PHP geliştirme ekibi, sunucuların kontrolünün ele geçirilmesine neden olabilecek iki kritik güvenlik açığını gidermek üzere güncelleme yayımlandığını duyurdu. Ekip tarafından yapılan açıklamada, açıkların önem derecesinin 10 üzerinden 9,2 olarak değerlendirildiği belirtildi.
Açıklamaya göre söz konusu zafiyetler, saldırganların kimlik doğrulaması yapmadan uzaktan zararlı kod çalıştırmasına ve sunucuların kontrolünü ele geçirmesine imkan tanıyabiliyor. Güvenlik açıklarının PHP üzerinden sistemleri etkilediği, riskin özellikle Apache sunucularında kullanılan “mod_php” yapılandırmasında daha yüksek olduğu kaydedildi.
Açıkların PHP’nin “8.5.12”, “8.4.27”, “8.3.36” ve “8.2.35” sürümlerinde giderildiği bildirildi. Tüm kullanıcılara sistemlerini derhal güncellemeleri çağrısı yapıldı.
Eski Sürümler İçin Destek Uyarısı
PHP 8.1 ve daha eski sürümlerin artık resmi güncelleme desteği almadığı hatırlatıldı. Bu sürümleri kullananların desteklenen sürümlere geçmeleri veya yazılım sağlayıcılarından güvenlik yamaları temin etmeleri önerildi.
PHP geliştirme ekibinin bir başka açıklamasında, güvenlik açıklarından birine ilişkin ilk bulguların 2024’te tespit edildiği ancak o dönemde zafiyetin ciddiyetinin somut olarak ortaya konulamadığı aktarıldı.
Açığın giderilmesine yönelik çalışmaların teknik anlaşmazlıklar ve uzman eksikliği nedeniyle birçok kez duraksadığı belirtilen açıklamada, “Aksini iddia etmeyeceğiz. Gecikme, hem güvenlik ekibinin karar alma sürecinden hem de kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlıktı.” ifadesine yer verildi.
Yeni Bulguların Ardından Güncelleme Takvimi Öne Çekildi
Açıklamada, OpenAI şirketinin “Patch the Planet” programı kapsamında yürütülen güvenlik incelemelerinde ağustos ve eylül aylarında, söz konusu açığın nasıl kötü niyetle kullanılabileceğine ilişkin yeni bulgular elde edildiği kaydedildi.
Bu bulguların ardından zafiyetlerin giderilmesine öncelik verildiği, güvenlik açıklarına ilişkin bilgilerin sosyal medyada yayılmasının ardından güncelleme takviminin öne çekildiği aktarıldı.
PHP’deki güvenlik açıklarını tespit eden siber güvenlik şirketlerinden Wiz Research de incelemelerde yapay zeka modellerinden yararlanıldığını açıkladı. Şirket, PHP kaynak kodunda bulunan açıkların karmaşık yapıları nedeniyle daha önce tespit edilmesinin zor olduğunu bildirdi.
Wiz Research açıklamasında, araştırmalarda Gemini 4 Argon ve GPT-5.6 Sol modellerinin kullanıldığı belirtildi. Özellikle Gemini 4 Argon’un açıkların tespiti ve güvenlik yamalarının doğrulanmasında önemli rol oynadığı kaydedildi.