Dünya, son iki gündür internet sitelerinde yaşanan PHP açığını tartışıyor. Haber sitelerinden yapay zeka platformlarına kadar hemen hemen internetin uzandığı her şey, PHP'den geçiyor. Ancak kısa süre önce PHP'de ciddi bir güvenlik açığı tespit edildi ve siber güvenlik uyarısı yapıldı.
Amazon'un siber tehdit istihbaratı ekibi, PHP altyapısındaki iki kritik güvenlik açığını hedef alan ilk saldırı girişiminin 17 Ekim'de kaydedildiğini açıkladı. Açıklar, kamuoyuna 21 Ekim'de duyuruldu. Yani saldırılar, açıkların ayrıntıları yayımlanmadan dört gün önce başlamış görünüyor.
Amazon'a göre girişim, şirketin MadPot adlı siber tehdit izleme sistemi tarafından tespit edildi ve kimlik gizlemeye yönelik ticari bir ağ üzerinden yapıldı. Saldırganların açık bilgilerine bu tarihten önce nasıl ulaştığı ise henüz netleşmedi.
Açıklar ne anlama geliyor?
Takip edilen iki açık CVE-2026-109618 ve CVE-2026-109619 kodlarıyla biliniyor. Metne göre, bu açıklar saldırganların kullanıcı adı ya da şifre olmadan savunmasız sunucularda uzaktan kod çalıştırmasına imkan verebiliyor. Her iki açığın risk seviyesi 10 üzerinden 9,2 olarak değerlendirildi.
Açıklar, PHP tabanlı sistemleri etkileyebilir. Metinde WordPress, Drupal ve Joomla gibi platformlar örnek olarak anılıyor. Bu nedenle, bu sistemleri kullanan site sahiplerinin özellikle dikkatli olması gerekiyor.
Saldırılar nasıl ilerledi?
- 17 Ekim: Amazon, ilk saldırı girişimini kaydetti.
- 21 Ekim: Açıkların ayrıntıları duyuruldu. Amazon'a göre aynı gün farklı IP adreslerinden yeni girişimler görüldü.
- Sonrasında: Güvenlik güncellemelerinin yayımlanmasının ardından da girişimlerin devam ettiği bildirildi.
Buna ek olarak Amazon, saldırılarda kullanılan yöntemler ve bağlantı altyapılarının birbirinden farklı olduğunu belirtti. Bu durum, birden fazla saldırgan grubunun harekete geçmiş olabileceğine işaret ediyor.
İnternet güvenliği şirketi Cloudflare da PHP açıklarını hedef alan saldırı trafiği tespit ettiğini açıkladı. Şirket, saldırganların güvenlik duvarlarını aşmak için yöntemlerini değiştirmeye çalıştığını bildirdi. Cloudflare, koruma önlemlerini açıkların resmen duyurulmasından önce devreye aldığını da ekledi.
Site sahipleri ne yapmalı?
Güvenlik açıklarını kapatan PHP sürümleri yayımlandı: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Siz de sitelerinizde olası bir saldırının önüne geçmek için son PHP güncellemelerini mutlaka yapın. Ayrıca 17 Ekim'den itibaren sunucu kayıtlarının şüpheli faaliyetler açısından incelenmesi öneriliyor.
Saldırı girişimlerinin başladığı doğrulansa da bu girişimlerin hangi sistemlerde başarılı olduğu henüz kesinleşmedi. Dolayısıyla, sistemi etkilenmiş olabilecek kurumların kayıtlarını kontrol etmesi önem taşıyor.
PHP yazılımı hakkında çok fazla bilginiz yoksa, web sitenizi yöneten, veya bu işlerde size profesyonel destek verecek birilerinden yardım almanızda fayda var.
Bu sizi nasıl etkiler?
PHP kullanan bir web sitesi, forum ya da içerik yönetim sistemi işletiyorsanız bu açıklar doğrudan sizi ilgilendirebilir. Sitenizin sürümünü kontrol edip güncellemeniz, bu risk için en somut adım olarak öne çıkıyor.
