Bir güvenlik araştırmacısı, 21 Ekim'de yayımlanan güvenlik güncellemelerinin ardından PHP 8.5.12 sürümünü çalıştıran bir sunucuyu uzaktan ele geçirebildiğini öne sürdü. X'te paylaşım yapan araştırmacı, iddiasını internet üzerinden sunucuya komut gönderebildiğini gösteren kısa bir videoyla destekledi.
PHP geliştiricileri 21 Ekim'de PHP 8.5.12 ile birlikte 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Resmî duyuruya göre bu güncellemeler, kötü niyetli kişilerin hiçbir şifreye ihtiyaç duymadan sunucuda istedikleri kodu çalıştırmasına imkân tanıyan iki kritik açığı kapatıyordu. Açıklar PHP'nin bellek yönetimindeki hatalardan kaynaklanıyordu. PHP Foundation, sorunu geçici olarak önlemenin bir yolu olmadığını, tek güvenli seçeneğin güncellemek olduğunu açıkladı.
Araştırmacının GitHub sayfasında paylaştığı bilgilere göre yeni yöntem, güncellemenin kapattığı bellek hatalarıyla ilgili değil. Saldırı, PHP'nin ziyaretçi oturumlarını kaydetme biçimindeki bir mantık zincirine dayanıyor. Araştırmacı, bu yaklaşımın temelini başka bir araştırmacının daha önceki çalışmasına bağlıyor.
Yöntemin işe yaraması için birkaç koşulun aynı anda bir araya gelmesi gerekiyor. Sunucunun oturum bilgilerini kaydederken ve okurken farklı ayarlar kullanması, dosya yükleme ilerlemesini izleyen bir özelliğin açık olması ve sitenin kendi kodunda saldırganın faydalanabileceği belirli bir parçanın bulunması şart. Araştırmacı bunu PHP'nin çekirdeğindeki bir açık yerine mantık hatası olarak tanımlıyor. İddia için şimdiye kadar ayrı bir CVE numarası, yani resmî güvenlik açığı kaydı da açılmadı.
X ve Hacker News'teki tartışmalarda pek çok geliştirici, sorunun PHP'den çok site kodundan kaynaklandığı görüşünde birleşti. @symbix gibi kullanıcılar, ziyaretçiden gelen bilgiyi kontrolsüz biçimde kullanan sitelerin zaten risk altında olduğunu hatırlattı. PHP güvenlik ekibi veya bağımsız bir güvenlik şirketi ise yeni iddiayı doğrulayan bir açıklama yapmadı.
Türkiye'de de PHP açıkları gündemin üst sıralarına çıktı. Cumhurbaşkanlığına bağlı Siber Güvenlik Başkanlığı, 21 Ekim'de yayımladığı TR-26-1372 kodlu bildirimle ulusal çapta güvenlik taramaları başlattığını duyurdu. Başkanlık, kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarından PHP kullanan sistemlerini belirleyip gecikmeden güvenli sürümlere yükseltmelerini istedi. Bildirimde ayrıca yönetim panellerine ve kritik PHP servislerine dışarıdan erişimin yalnızca yetkili IP adresleriyle sınırlandırılması, yurt dışından erişime ihtiyaç duymayan sistemlerin ise uluslararası trafiğe kapatılması tavsiye edildi.
Başkanlık bir gün sonra yaptığı açıklamada e-Devlet Kapısı'na ilişkin incelemelerin sonucunu paylaştı. Açıklamada, 69 milyonu aşkın kullanıcıya hizmet veren e-Devlet Kapısı'nda PHP altyapısında tespit edilen kritik güvenlik açıklarına ilişkin gerçekleştirilen incelemelerde hizmetlerin güvenliğini olumsuz etkileyen herhangi bir sorun tespit edilmediği belirtildi. Başkanlığın uyarıları güncellemeyle kapatılan iki kritik açığa yönelikti; araştırmacının yeni iddiası hakkında kurumdan henüz bir değerlendirme gelmedi.
Kısacası mevcut bilgiler, her PHP sitesinin tehlikede olduğu anlamına gelmiyor. Saldırı, belirli ayarlara ve hatalı yazılmış site koduna sahip sunucularda mümkün görünüyor. Yine de site yöneticilerine yapılan çağrı değişmiyor: PHP'yi en güncel sürüme yükseltmek, oturum ayarlarını tutarlı tutmak ve ziyaretçiden gelen bilgilerin doğrudan dosya olarak çalıştırılmasına izin veren kodları temizlemek, hem kapatılan açıklara hem de bu yeni iddiaya karşı en etkili önlem olarak öne çıkıyor.
