Dünya genelinde yaygın kullanım alanına sahip PHP yazılım dilindeki güvenlik açığı, Avrupa’da kamu kurumlarına ait internet sitelerinin de aralarında bulunduğu çok sayıda internet sitesini etkiledi. Başta Avrupa Birliği (AB) kurumlarının yoğun olarak bulunduğu Belçika olmak üzere Hollanda, Fransa, Almanya ve Finlandiya gibi ülkelerde kamuya ait birçok internet sitesi tedbir amacıyla kapatıldı.

SİBER GÜVENLİK BAŞKANLIĞI: "SORUN TESPİT EDİLMEDİ

Siber Güvenlik Başkanlığı, "PHP altyapısında tespit edilen kritik güvenlik açıklarına ilişkin gerçekleştirilen incelemelerde, hizmetlerin güvenliğini olumsuz etkileyen herhangi bir sorun tespit edilmedi. Vatandaşlarımız, e-Devlet Kapısı üzerinden sunulan kamu hizmetlerinden güvenli ve kesintisiz şekilde yararlanmaya devam ediyor" açıklamasında bulundu.

e-Devlet Kapısı'nda, PHP altyapısında tespit edilen kritik güvenlik açıklarına ilişkin gerçekleştirilen incelemelerde, hizmetlerin güvenliğini olumsuz etkileyen herhangi bir sorun tespit edilmedi.

PHP ADLI YAZILIMDA İKİ GÜVENLİK AÇIĞI

Siber güvenlik uzmanları tarafından yakından takip edildiği belirtilen sorun, dünya genelinde yoğun olarak kullanılan PHP adlı yazılım dilinde rastlanan iki güvenlik açığının tespit edilmesiyle ortaya çıktı. "PHP2Shell" olarak adlandırılan ve yüksek risk taşıyan güvenlik zafiyetlerinin, belirli şartlarda saldırganlara kullanıcı kimlik doğrulaması olmaksızın uzaktan kod çalıştırma imkanı sağlayabildiği değerlendiriliyor.

YAVUZ BİLGİN SELİM ANLATTI: "PHP NEDİR"

Söz konusu güvenlik açıklarının hem site sahiplerine hem kullanıcılara ne gibi sorunlar yaratabileceğini ve nelere dikkat edilmesi gerektiğini BilginPro kurucu ortağı Yavuz Selim Bilgin Odatv'ye anlattı:

"PHP, internet sitelerinin arka planında çalışan bir programlama dili. Dünyadaki web sitelerinin yaklaşık yüzde 70'i PHP ile çalışıyor. WordPress gibi en yaygın site altyapıları da buna dahil. Ortaya çıkan açıklar PHP'nin kodunda en az 2012'den, PHP 5.4 sürümünden beri duruyordu ve yıllarca fark edilmedi.

"YAPAY ZEKÂ, YILLARCA FARK EDİLMEYEN AÇIKLARI BULUYOR"

Son dönemde yapay zekânın kullanımıyla birlikte güvenlik tarafı çok hareketlendi. Araştırmacılar popüler yazılımları artık yapay zekâ modelleriyle tarıyor. Eskiden gözden kaçan açıklar bu sayede bulunuyor. Bu açıkları da Ağustos ayında birbirinden bağımsız iki ayrı güvenlik ekibi buldu. İki ekip de yapay zekâ modellerinden yararlandı, bunlar arasında OpenAI ve Google'ın modelleri var.

"SALDIRGANA ŞİFRESİZ ŞEKİLDE SUNUCUYA ERİŞİM İMKÂNI VERİYOR"

Açığın nasıl çalıştığını da kısaca anlatayım. Saldırgan hedeflediği bir web sitesine özel olarak hazırlanmış bir istek gönderiyor. Bu istek web sitesinde sıradan bir form doldurulmuş gibi görünüyor. Sunucu isteği işlerken açık tetikleniyor ve saldırgan, hiçbir giriş bilgisine ihtiyaç duymadan sitenin çalıştığı sunucuda komut çalıştırabiliyor. Araştırmacılar bunun WordPress ve Drupal gibi yaygın sistemler üzerinde çalıştığını da gösterdi. Bu sayede sunucudaki dosyaları ve veritabanı bilgilerini okumak, hatta oradan aynı ağdaki başka sunuculara geçmek mümkün olabilir. Bu yüzden bu açıklar 10 üzerinden 9,2 puanla en kritik sınıfta yer alıyor.

"NORMALDE AÇIKLAR DÜZELTİLDİKTEN SONRA DUYURULUR, BU KEZ ÖNCEDEN SIZDI"

Normalde böyle açıklar, düzeltmesi yani 'yaması' hazır olana kadar gizli tutulur. Amaç, güncelleme yayınlanmadan önce kötü niyetli kişilerin açığı öğrenip saldırılarda kullanmaması. Bu açıklar da PHP ekibine Ağustos ayında bildirilmişti. Ancak bu kez detaylar, güncelleme yayınlanmadan önce sosyal medyada dolaşmaya başladı ve ciddi bir paniğe yol açtı. Birçok resmi kurum, güncelleme hemen yapılamıyorsa internete açık sistemlerin geçici olarak erişime kapatılmasını önerdi. PHP ekibi de güncellemeyi planlanandan bir gün önce, 21 Ekim'de yayınladı.

"AVRUPA'DA KAMU SİTELERİ ÖNLEM OLARAK KAPATILDI"

Her yazılımda bu tür açıklar çıkabilir, bugüne kadar da çıkıyordu. Ancak bu olayı farklı kılan, PHP'nin yaygınlığı ve açığın seviyesi. Türkiye'de de dünyada da haber sitelerinden e-ticarete, kamu kurumlarının sitelerine kadar her yerde kullanılıyor. Güncelleme tamamlanana kadar önlem olarak birçok kamu sitesi kapatıldı: Hollanda'da Ulusal Siber Güvenlik Merkezi'nin kendi sitesi dahil birçok kamu sitesi, Fransa'da İçişleri Bakanlığı'nın siteleri, Finlandiya'da ise devletin kamu ağ hizmetleri. Wikipedia bile bazı sistemlerini kapattı. Dünya genelinde bir çok kamu kurumu bununla ilgili açıklamalar yaptı. 21 Ekim akşamı T. C. Siber Güvenlik Başkanlığı da konuyla ilgili X platformunda bir paylaşım yaptı.

"BU AÇIK DAHA ÖNCE KULLANILDI MI… KESİN BİLMENİN YOLU YOK"

Belki birileri bu açığı yıllar önce fark etti ve kullandı ya da kullanmadı. Bunu kesin olarak bilmenin yolu maalesef yok. Sunucuların geçmiş kayıtlarını geriye dönük inceleyip bu tür istekler gelmiş mi diye bakabilirsiniz. Ama bu kayıtlar genellikle sınırlı bir süre saklanıyor, on yılı aşkın bir geçmişi taramak genellikle mümkün değil. Bir çok küçük çaplı sitenin altyapısı zaten bu kadar sıkı olarak korunmuyor ve kayıt tutulmuyor.

Benzer başka açıklar da olabilir. Bu tür açıklar artık eskisinden çok daha hızlı bulunuyor, duyuruluyor ve düzeltiliyor. Önümüzdeki dönemde farklı altyapılar için de benzer haberleri daha sık görebiliriz.

"ESAS RİSK KİŞİSEL VERİLER"

Bir sitenin ele geçirilmesinin farklı sonuçları olabilir. Güvenlik önlemleri yetersizse en basit olarak saldırgan ana sayfaya 'Bu site hacklenmiştir' gibi bir mesaj koyabilir. Haber siteleri için en tehlikelisi bu tür bir açıkla sisteme erişim sağlayıp kendini fark ettirmeden uzun süre sahte haberler yayınlaması ve gerçek haberlerin silinmesi gibi kötüye kullanımlardır. Geçmişte bunun farklı örneklerini de gördük.

Ama son kullanıcıyı asıl ilgilendiren taraf kişisel veriler. Örneğin saldırganlar bir e-ticaret sitesinin sunucusuna ve veritabanına ulaşırsa kimin ne aldığı, adres, telefon, TC kimlik numarası ve fatura bilgileri ele geçirilebilir. Vatandaş verisi tutan kamu sistemlerinde ise etki çok daha geniş olur. Ya da yine saldırgan, site sahibi fark etmeden siteye bir kod yerleştirip formlara girilen bilgileri kendisine gönderebilir.

"BİR SÜRE İNTERNETE GİRMEYİN" PAYLAŞIMLARI DOĞRU MU

Veri sızıntıları son dönemde sık gündeme geliyor. Çalınan veriler 'sorgu paneli' adı altında yasa dışı yollarla satılıyor. Dolayısıyla herkesin bu konuda bir endişesi var.

Ama bir yanlış anlaşılmayı da düzeltmek lazım: Bir web sitesine girdiniz diye başınıza bir şey gelmesi çok düşük bir ihtimal. Bu açık sizin telefonunuzu ya da bilgisayarınızı değil, sitelerin sunucularını hedefliyor. Sosyal medyada 'Bir süre internete girmeyin' diye paylaşımlar yapılıyor, bu doğru değil. Kullanıcıların yapabileceği en iyi şey her zaman olduğu gibi bilgisayar ve telefonlarını güncel tutmak, korsan yazılım kullanmamak, aynı şifreyi birden fazla sitede kullanmamak, iki adımlı doğrulamayı açmak gibi önlemler. Ek olarak bu dönemde bankanız ya da başka bir kurum adıyla gönderilebilecek sahte SMS ya da e-postalara karşı biraz daha dikkatli olmakta fayda var.

SİTE SAHİPLERİ NE YAPMALI

Site sahiplerinin ilk işi PHP kurulumlarını 21 Ekim'de yayınlanan güncel sürümlere yükseltmek. Kendi teknik ekibi olmayanlar barındırma (hosting) firmalarına bugün şunu sormalı: 'Sitemiz hangi PHP sürümünde çalışıyor, güncelleme yapıldı mı?' Asıl risk eski sürümlerde. PHP kullanan sitelerin yaklaşık yarısı artık resmi güvenlik güncellemesi almayan sürümlerde çalışıyor. Bu sürümler için PHP'nin resmi bir düzeltmesi yok; bazı Linux dağıtımları ve paket sağlayıcıları kendi kullanıcıları için düzeltme yayınladı, ama bu her kurulumu kapsamıyor. Kalıcı çözüm güncel bir sürüme geçmek. Duyuruları yakından takip etmek ve önerilen tedbirleri almak bu dönemde çok kritik.

OSMAN DEMİRCAN: "VERİ SIZINTISINA NEDEN OLMUŞSA KİŞİSEL VERİLER ÇALINMIŞ OLABİLİR"

Konuya dair Siber Güvenlik Uzmanı ve Teknoloji Programı Sunucusu Osman Demircan ise, bu açığın dolandırıcılık faaliyetleri için nasıl kullanabileceğine dair örnekler vererek vatandaşların dikkat etmesi gerekenleri anlattı:

"Son kullanıcıyı yani vatandaşı kesinlikle ilgilendiren bir durum değil. Bu tamamen kurumsal bir konu. PHP yazılımında kaynaklanan bu açığı sadece kurumlar kapatabilir. Fakat bu açık tespit edilmeden önce, kötü niyetli kişiler tarafından bu açık tespit edilmiş olabilir. Çok da fazla kişisel verinin çalınmış olma ihtimali var ki bu, geriye dönük araştırmalar da açığa çıkacak. Şimdi uzmanlar öncelikle açığı kapatmaya, sonrasında da 'bir veri sızıntısına neden olmuş mu bu güvenlik açığı' bunu araştıracaklar. Eğer ki herhangi bir veri sızıntısına neden olmuşsa bu güvenlik açığı, çok büyük bir ihtimalle kişisel veriler çalınmış olabileceği anlamına geliyor. Bu da başta dolandırıcılık olmak üzere birçok faaliyette zaten aktif olarak kullanılıyor.

"GELEN TELEFONLARA DİKKAT EDİN… TELEFONU KAPATIN, O KURUMU KENDİNİZ ARAYIN"

Vatandaşların bugünden sonra gelen telefonlara dikkat etmesi gerek. Örneğin bir bankadan ya da sigorta şirketinden gelmiş gibi aranan numaralarda, önlerine verilen o çok sayıda ve doğru kişisel veri, o kişileri meşru hale getirmemeli. Yani telefonu kapatacaklar. Arandığı iddia edilen kurumu kendileri arayacaklar ve 'Beni siz mi aradınız' diyecekler.

"YAPAY ZEKA İYİ ELLER DE Mİ: KÖTÜ NİYETLİLER DE KULLANIYOR MU"

Bu güvenlik açığını yapay zeka tespit etti. Güvenlik araştırmacılarının neredeyse bir saniyede binlerce kat hızla çalışan yapay zeka, onlardan daha önce bunu keşfetti. Ve bir insanı bunu keşfetme olasılığı gerçekten çok zor. Çünkü zor bir açık. Birden fazla katmanı olan bir açık bu. Konu böyle olduğunda da yapay zeka aslında iyi ellerde böyle Kullanılıyor, çok güzel. Ama bu açık 'yapay zekayı kötü niyetliler de kullanıyor mu' şeklinde bir soru da karşımıza çıkartıyor. Çünkü bir silah bir polisin elinde güven verirken aynı silah suçlunun elinde bize korku veriyor. Bu tamamen aynı mantıkla çalışıyor.

"YAPAY ZEKANIN GELİŞİMİNDE ÜLKELERİN YENİ KANUN OLUŞTURMASI ŞART"

Bu anlamda yapay zekanın gelişiminin daha kontrol altına alınması ve ülkelerin bu konuda birlik içerisinde yeni kanunlar oluşturması şart. Yoksa önümüzdeki günlerde gerçekten çok ciddi ve öngörülemeyen sorunlarla da karşı karşıya kalabiliriz. Özellikle yapay zekanın siber güvenlik ve siber güvenlik açıklarını bulma konusundaki bu etkinliği, kötü niyetli kişilerin elinde gerçekten çok çok ciddi bir silaha dönüşebilir.

"TEKNİK BİR ANALİZE İHTİYAÇ VAR"

Güvenlik testlerinin yapılmasına ihtiyaç var. Geriye dönük yapılan araştırmalarda ve sitelere giriş çıkış kayıtlarında, internet trafiklerinde açığa çıkacak bir şey. Yani teknik bir analize ihtiyaç var. Bu dün çıkan bir olay değil. Bu daha önceden kötü niyetli kişiler tarafından tespit edilip de sömürülmüş bir güvenlik açığı olabilir. Bu noktada zaten hani vatandaşın kişisel verisi çalındıysa herhangi bir alışveriş sitesinden ya da başka bir yerden, dolandırıcılık için kullanılabilir. Buna karşı daha uyanık olmaları lazım. Yani zaten gün içinde karşılaşıyorlar. Daha da fazla karşılaşma olasılıkları olabilir. Yani ben bir olasılıktan bahsediyorum.

"KVKK BU KONUDA ÇOK SERT… KURUMLAR RAPOR ETMEZSE BÜYÜK CEZİ YAPTIRIMLARI VAR"

Bu açıkları bence öğrenebileceğiz. Çünkü KVKK (Kişisel Verileri Koruma Kurumu) bu konuda çok sert. Ulusal Siber Olaylara Müdahale Merkezi ekipleri, Siber Güvenlik Başkanlığı ve diğer kurumları doğrudan bu konunun üzerine çok gidiyorlar. KVKK herhangi bir sızıntısı olduysa bunun raporlanmasını zorunlu kılıyor kurumlara. Raporlamazlarsa ve o kurum tarafından tespit edilirse, çok daha büyük cezai yaptırımlara maruz kalabilirler. Bu anlamda geriye dönük araştırmalarda böyle bir sonuç çıkarsa, kurum zaten müşterisini korumak için bunu söylemek zorunda. Geçmişte de zaten bu tarz sızdırılan verilerde dürüstçe herkes açıklamasını yaptı. Zaten o çalınan biri öyle ya da böyle açığa çıktığında, o verinin kaynağı de bunu rapor etmeyen bir firma olarak görüldüğünde, çok daha korkunç cezai yaptırımları olur."

Odatv.com