Web güvenliği sektörü, dünya genelinde milyonlarca sitenin ve iletişim sisteminin güvenliğini tehdit eden iki ciddi güvenlik açığının keşfedilmesinin ardından büyük bir alarm durumu yaşıyor. Siber güvenlik uzmanları, devasa temizlik ve bakım çalışmaları gerektirebilecek geniş çaplı saldırı olasılığına karşı uyarıda bulunuyor.
Ciddi PHP Açığının Detayları
İlk sorun, WordPress ve Drupal gibi popüler içerik yönetim sistemlerini doğrudan etkileyen PHP programlama dilindeki kritik bir yazılım açığıyla ilgilidir. PHP Vakfı (PHP Foundation), 10 üzerinden 9,2 ile yüksek tehlike seviyesi olarak sınıflandırılan iki açığı gidermek için güvenlik yamaları yayınlandığını duyurdu ve kullanıcıları güncellemeler için acilen hazırlık yapmaya çağırdı.
Bu ihtiyati güncellemeler, WordPress, MediaWiki, Symfony ve Drupal'in en son sürümleri dahil olmak üzere web sunucularında kod çalıştıran PHP2Shell adlı bir aracı belgeleyen bir videonun dolaşıma girmesinin ardından geldi. Siber güvenlik şirketi watchTowr, 2004 yılında yayınlanan 5. sürümden itibaren tüm PHP sürümlerini etkileyen açığın varlığını doğruladı; bu durum, saldırganların kendi kodlarını çalıştırmasına ve etkilenen sunucuların kontrolünü potansiyel olarak ele geçirmesine olanak tanıyor.
Dijital TLS Şifreleme Sertifikalarındaki Zayıflık
İlgili bir gelişmede, internet altyapısı dijital şifreleme sertifikalarıyla (TLS) ilgili başka bir krizle karşı karşıya. Hindistan merkezli eMudhra şirketi, Mozilla, Microsoft, Apple ve Chrome gibi büyük tarayıcılar tarafından benimsenen güvenilir köklere bağlı olan sekiz ara yetki sertifikasının ele geçirildiğini duyurdu.
Temel tehlike, ele geçirilen sertifikalar için özel şifreleme anahtarlarının, olağan 384 bit standart yerine yalnızca 3 ila 8 bit arasında değişen boyutlarla son derece zayıf olmasında yatmaktadır. Bu zayıf anahtarlar, saldırganların çok sınırlı sayıda olasılığı test ederek verilerini kurtarmasına olanak tanıyor ve bu da onların alan adı kimlik bilgilerini sahtesini yapmalarına, sunucuları taklit etmelerine ve veri trafiğini engellemelerine imkan tanıyor.
Kullanıcılar ve Site Yöneticileri İçin Pratikte Neler Değişiyor?
- Acil durum prosedürleri: Site ve içerik yönetim sistemi yöneticileri, acil yazılım güncellemelerini uygulamak için acele etti; bu durum, bakım işlemleri sırasında PHP tabanlı bazı sitelerin geçici olarak kapanmasına neden olabilir.
- Tarayıcı hamleleri: Mozilla, Google ve Apple ele geçirilen sertifikaları tarayıcularında engelledi; ancak güvenlik uzmanları, iptal bilgilerini hemen doğrulamadıkları için bazı macOS işletim sistemi araçlarının bu sertifikalara güvenmeye devam ettiği konusunda uyardı.
- Beklenen risklerin boyutu: Şifreleme mühendisleri bu krizi, 2014 yılında ortaya çıkan ünlü Heartbleed açığından boyut olarak daha büyük kapsamlı temizlik çalışmaları gerektirebileceği şeklinde nitelendirdi. Şu anda en büyük riskler kurumsal VPN'ler ve nesnelerin interneti (IoT) cihazları üzerinde yoğunlaşıyor.