ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yaygın olarak kullanılan PHP web yazılımında iki ciddi güvenlik açığının aktif olarak istismar edildiğini doğruladı ve ABD hükümetindeki sivil federal kurumları sistemlerini üç gün içinde düzeltmeye zorladı.
Bu acil düzeltme uyarısı, uzun süredir var olan PHP web programlama dili bakım ekibinin bu iki açığa yönelik düzeltmeleri yayınlamasından bir hafta önce yayınlandı. Bu açılar, saldırganların şifre olmadan internet üzerinden hassas sistemlere uzaktan erişmesine izin veriyor. PHP yazılımının, web'e yönelik sunucuların yaklaşık %70'inde kullanıldığı rapor ediliyor ve bu da büyük sayıda web sitesi ve uygulamayı tehdit altına alıyor. Açığın ciddiyeti, bazı hükümetlerin ve büyük şirketlerin düzeltmeleri yapmak için web sitelerini kapatmasına neden oldu.
Bu açıklar, bir kez istismar edildiğinde ciddi hasarlara neden olabilecek şekilde "ciddi" olarak sınıflandırılmış olsa da, güvenlik araştırmacıları ilk başta kullanılabilecek bir saldırı geliştirmenin kolay olmadığını, ancak imkânsız olmadığını belirtti. Şimdi gerçek saldırıların varlığı doğrulandı ve bu durum, kurumların kötü niyetli erişimler, hizmet kesintileri ve veri sızıntılarını önlemek için sistemlerini en kısa sürede düzeltmeleri konusunda daha büyük bir baskı yarattı.
CISA, Pazartesi günkü açıklamasında bu zafiyetleri kullanan kimse hakkında ayrıntı vermedi, ancak açıklamasından kısa bir süre önce güvenlik araştırmacıları, PHP zafiyetlerinin kullanımda olduğu kanıtlarını bulduklarını belirtmişti.
PHP2Shell olarak adlandırılan bu zafiyetler, yıllardır fark edilmeyen bir yazılım kusurudur. İlk olarak iki yıl önce keşfedildi, ancak yazılımı bakımlayan non-kâr amaçlı vakıf, hackerların bu zafiyetleri kullanmanın pratik bir yoluna sahip olmadığını belirterek daha önce tamir etmedi. Bu yılın başlarında, güvenlik araştırma şirketi Calif'in araştırmacıları, bir AI modeli yardımıyla bu uzun süredir gizli kalan iki zafiyeti kullanmanın yolunu buldu.
PHP'deki bu iki açığı, henüz keşfedilmemiş ya da yıllardır öncelikli olarak bırakılmış sayısız açıktan sadece bir parçasıdır; AI modellerinin açıkları bulma ve kullanma yetenekleri arttıkça, özellikle birden fazla hata bir araya getirilerek exploited edildiğinde, bu açıklar artık risk teşkil etmektedir.
PHP, interneti ve modern teknolojiyi destekleyen eski web teknolojilerinden biridir; ancak yıllardır yetersiz kaynak ve finansmanla karşı karşıya kalmıştır, bu da PHP gibi açık kaynak projelerinin güvenlik incelemelerini yapmasını zorlaştırmıştır ve bu incelemeler, açıkları daha erken keşfetmiş olabilirdi.