Güvenlik açıkları, internet siteleri oluşturmak için 2000'li yıllardan bu yana uluslararası çapta kullanılan PHP adlı bir programlama dilinde bulunuyor.
Dünya genelindeki hükümetler ve siber güvenlik kurumları, çarşamba günü bu keşfin sonuçlarını sınırlamak için harekete geçti ve internet sitesi işletmecilerine yeni yayımlanan acil güvenlik düzeltmesini yüklemeleri ya da platformlarını çevrimdışı hale getirmeyi değerlendirmeleri çağrısında bulundu.
Açıkları ortaya çıkaran araştırmacıların çalıştığı şirketlerden biri olan siber güvenlik firması Wiz, söz konusu kusurları yapay zeka tarafından şimdiye kadar tespit edilen "en ciddi" güvenlik açığı olarak nitelendirdi.
Açıkların bulunmasında kullanılan teknolojiyi geliştiren OpenAI ise keşfi, "yakın geçmişteki en etkili güvenlik sorunlarından biri" olarak tanımladı.
PHP açığı nedir?
Birçoğumuz PHP'yi, yani "PHP: Hypertext Preprocessor"un kısaltmasını duymamış olabilir, ancak neredeyse herkes onunla her gün etkileşim hâlinde.
PHP; çevrimiçi mağazalar, Wikipedia ve birçok internet sitesinin altyapısını oluşturan içerik yönetim sistemi WordPress dahil olmak üzere çok sayıda platformu çalıştırıyor.
Gorilla Cyber Security Üst Yöneticisi (CEO) Paul Spain, BBC'ye yaptığı açıklamada, Wikipedia gibi bir internet sitesini ziyaret ettiğinizde ihtiyaç duyduğunuz bilgileri toplayan ve bunları internet üzerinde okuyabileceğiniz biçimde sunan kodun PHP olduğunu söyledi.
Ancak saldırganların kimlik doğrulamasına ihtiyaç duymadan etkilenen web sunucularının kontrolünü ele geçirmesine ve hassas verileri çalmasına imkan tanıyabilecek bir kusur nedeniyle PHP ile kodlanan tüm yazılımlar riskli hale geldi.
Spain, yapay zekanın bu tür saldırıları daha kolay ve hızlı hâle getirebileceğini belirterek, açığın "milyonlarca ve milyonlarca" internet sitesini etkileyebileceğini tahmin etti.
Adelaide Üniversitesi'nden siber güvenlik araştırmacısı Jill Slay ise bilgisayar korsanlarının veya ülkelerin bu açığı bir silah hâline getirip internet sitelerindeki özel verilere el koymasının "felaket" olacağını söyledi.
Hangi internet siteleri etkilendi?
Alarm, oyun platformlarından devlet portallarına ve çevrimiçi forumlara kadar dünya genelinde hizmetlerde aksamalara yol açtı.
Buna, çevrimiçi ansiklopedi Wikipedia'nın arkasındaki kuruluş olan Wikimedia da dahil. Kurum, önlem amacıyla bazı sistemlerini devre dışı bıraktı.
Finlandiya hükümeti, Edinburgh Belediyesi ve BBC bazı internet sitelerini ve sayfalarını çevrimdışı hâle getirirken, Hollanda'nın siber güvenlik kurumu da kendi internet sitesini erişime kapattı.
İskoçya'daki belediyeler ve sağlık kurulları da dahil olmak üzere çok sayıda kamu kurumu internet sitelerini geçici olarak kapattı.
Bazı uzmanlar, güvenlik açığının özellikle sınırlı güvenlik kaynaklarına sahip küçük kuruluşlara ait ve yeterince bakım yapılmayan internet sitelerini daha büyük risk altında bırakabileceği uyarısında bulunuyor.
UNSW Sydney'den siber güvenlik araştırmacısı Salil Kanhere, teknik ayrıntıların artık kamuoyuna açıklanıyor olması nedeniyle önümüzdeki haftalarda bu açıkları kullanmaya yönelik daha fazla girişim görülmesinin muhtemel olduğunu söyledi.
Açıklar ortaya çıktıktan sonra ne oldu?
PHP platformunun geliştiricileri, çarşamba günü yıllardır yazılımlarında gizli şekilde varlığını sürdüren açıkları gidermek için güvenlik yamaları yayımladı.
Şirket, "Tüm PHP kullanıcılarına derhal güncelleme yapmaları önemle tavsiye edilmektedir" açıklamasında bulundu.
Dünya genelindeki yetkililer ve güvenlik kuruluşları da platformlarını güvence altına almaları için internet sitesi işletmecilerine benzer uyarılar yaptı.
ABD Ulusal Güvenlik Ajansı (NSA), PHP kullanan tüm kuruluşlara, sistemlerini hemen yamayamıyorlarsa çevrimdışı hâle getirmelerini tavsiye ederek, açığın bir sistemin veritabanını hedef almak için "doğrudan bir yol" sağlayabileceğini belirtti.
Ajans, "Bu riskler, Amerika Birleşik Devletleri hükümetine bağlı tüm bakanlık ve kurumlarda derhal yama uygulanmasını gerektirecek kadar ciddidir" dedi.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi de benzer tavsiyelerde bulunarak kuruluşlardan "bir saldırgan tarafından yüklenmiş arka kapıları" kontrol etmelerini istedi.
Avrupa Birliği ve Avustralya'daki muadil kurumlar da benzer uyarılar yayımladı.
Japonya Başbakanı Sanae Takaichi, kamuya açık internet sitelerinin PHP üzerinde çalışıp çalışmadığının kontrol edilmesi çağrısında bulundu.
Takaichi, X hesabından yaptığı paylaşımda, "Herkesin bu akşam önlem almasına yönelik acil bir çağrımız var" dedi.
"Yamanın hızla uygulanması zor ise internet sitelerinin geçici olarak askıya alınması ve benzeri önlemler riski azaltmanın etkili bir yolu olarak değerlendirilebilir" ifadelerini kullandı.
Ulusal ölçekte güvenlik taraması
Türkiye Siber Güvenlik Başkanlığı da kamu kurumlarını, kritik altyapı işletmecilerini ve özel sektör kuruluşlarını sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini hızla uygulamaları konusunda uyardı.
Başkanlık, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlattığını söyledi.
İlgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiği belirtildi.
Yapay zeka açığı nasıl buldu?
Güvenlik açıkları, Calif ve Wiz adlı güvenlik şirketlerinin araştırmacıları tarafından keşfedildi.
Araştırmacılar, kodları analiz edebilen ve kusurları insanlardan ya da eski sistemlerden çok daha hızlı bulabilen gelişmiş yapay zeka araçları kullandı.
Kanhere, "Modern yazılımlar son derece karmaşıktır ve bazı güvenlik açıkları yıllarca tespit edilemeden kalabilir" dedi.
"Altta yatan hatalar yeni değildi; değişen şey onları bulma kabiliyetimiz oldu" diye ekledi.
Keşfe ilişkin ayrıntıların bu hafta internete sızması, PHP platformunun geliştiricilerini güvenlik açığına ve bunun büyük ölçeğine ilişkin duyuruyu hızla yayımlamak zorunda bıraktı.
OpenAI, bir blog yazısında olayın "yapay zekanın güvenlik açıklarını ortaya çıkarabileceğini" gösterdiğini, ancak aynı zamanda "saldırganların saldırı araçları ve istismar yöntemleri geliştirmesine de hız kazandırabileceğini" belirtti.
ChatGPT'nin geliştiricisi şirket, PHP platformunun güvenli olup olmadığını kontrol eden bir program yayımladığını açıkladı.
Queensland Üniversitesi Siber Araştırma Merkezi'nden Ryan Ko, "Bu açıkların çoğu, geçmişte güvenlik düşünülmeden, işlevsellik ön planda tutularak geliştirilen yazılımlardan kaynaklanıyor" dedi.
Korunmak için ne yapılabilir?
İnternet sitesi sahiplerine, sitelerini PHP'nin en güncel sürümüyle güvence altına almaları çağrısı yapılıyor.
ABD Ulusal Güvenlik Ajansı, önümüzdeki haftalarda "artan farkındalık" gösterilmesini ve yazılım sağlayıcılarının güncellemelerinin yakından takip edilmesini tavsiye etti.
Ajans, "Bu sistemlerle ilgili yamaların uygulanmasında dikkatli olunması hayati önem taşımaktadır" dedi.
Kanhere, sorumluluğun büyük ölçüde internet sitesi yöneticilerinde olduğunu, ancak kullanıcıların da örneğin şifre değiştirme talepleri gibi etkilenen hizmetlerden gelebilecek güvenlik uyarılarına dikkat etmeleri gerektiğini söyledi.
Ayrıca insanların, olayın yarattığı ilgiyi kullanmaya çalışan kimlik avı mesajlarına karşı da dikkatli olması gerektiği uyarısında bulundu.
