- Dünya genelinde PHP yazılımındaki güvenlik açıkları, milyonlarca internet sitesini siber saldırı riskiyle karşı karşıya bıraktı.
- Özellikle güncellenmeyen sitelerde kişisel veriler ve ödeme bilgileri tehlike altında.
- Kıdemli Adli Bilişim Uzmanı Mustafa Sansar, kullanıcılara güvenlik önlemleri konusunda uyarılarda bulunarak tehdidin yıllarca sürebileceğini belirtti.
Dünya genelinde internet sitelerinin yaklaşık yüzde 69'unda kullanılan PHP yazılımındaki kritik güvenlik açıkları, siber saldırı endişesini artırdı. Palo Alto Networks'ün Unit 42 ekibi, dünya genelinde etkilenme ihtimali bulunan 22,6 milyondan fazla açık sistem tespit etti. gdh’a değerlendirmelerde bulunan Kıdemli Adli Bilişim Uzmanı Mustafa Sansar, kişisel verilerin ve ödeme bilgilerinin çalınmasından fidye yazılımlarına kadar birçok risk bulunduğunu belirterek alınması gereken önlemleri tek tek anlattı.
PHP nedir, güvenlik açıkları nasıl zarar verebilir?
1995 yılından beri kullanılan PHP, internet sitelerinin arka planında çalışan bir programlama dili. Üyelik girişlerinin kontrol edilmesi, verilerin alınması ve alışveriş tutarlarının hesaplanması gibi işlemlerde kullanılıyor. Siber Güvenlik Uzmanı Mustafa Sansar'a göre güvenlik açıklarının kullanılması halinde saldırganlar, internet sitelerinin sunucularında komut çalıştırabiliyor. Kişisel verileri ve ödeme bilgilerini çalabiliyor, sistemlere yeniden erişmek için arka kapılar yerleştirebiliyor. Ele geçirilen sunucular kripto para madenciliğinde veya ziyaretçilere yönelik saldırılarda kullanılabiliyor. Saldırganlar kurumların iç ağlarına sızarak fidye yazılımları bulaştırabiliyor ve hassas bilgileri ele geçirebiliyor.
En çok hangi internet siteleri risk altında?
PHP kullanan ve güncellenmemiş tüm internet siteleri risk altında. Ancak tehlikenin boyutu sistemlerin altyapısına ve güncelliğine göre değişiyor. Sansar'a göre eski PHP sürümlerini kullanan siteler ilk sırada yer alıyor. Kart bilgilerini barındıran e-ticaret siteleri, küçük işletmeler, yerel yönetimler, okullar, dernekler ve vakıflar da risk taşıyor. Özellikle bakımı yapılmayan sistemler ile Apache mod_php kullanan sunucular dikkat gerektiriyor. Büyük platformlar ise genellikle daha hızlı korunabiliyor. WordPress'in arkasındaki Automattic şirketi, WordPress.com ve WordPress VIP platformlarının korunduğunu açıkladı. Ancak bu güvence, WordPress'i kendi sunucusunda veya farklı barındırma şirketlerinde kullanan siteleri kapsamıyor.
İnternet sitelerinin güvenliği nasıl sağlanabilir?
Güvenlik açıklarına karşı kalıcı çözüm, PHP yazılımının güncellenmesi. PHP geliştiricileri, sistem ayarlarındaki değişikliklerin açıkları tamamen kapatmadığını belirtiyor. Sansar, özellikle ilk 24 ila 48 saatte kullanılan PHP sürümlerinin belirlenmesini ve güncellemelerin yapılmasını öneriyor. Güncelleme sonrasında servislerin yeniden başlatılması gerekiyor. Güncelleme yapılamıyorsa sistemlerin geçici olarak kapatılması tavsiye ediliyor. Ayrıca sistemlerin daha önce saldırıya uğrayıp uğramadığı kontrol edilmeli. İhlal tespit edilmesi halinde KVKK kapsamındaki bildirim yükümlülükleri yerine getirilmeli. Uzun vadede ise düzenli güncelleme, veri yedekleme ve sistemlerin birbirinden yalıtılması önem taşıyor. Barındırma şirketleri ile yazılımcıların güvenlik sorumluluklarının da açıkça belirlenmesi gerekiyor.
Vatandaşlar bir sitenin saldırıya uğradığını nasıl anlayabilir?
Bir internet sitesinin ele geçirildiğini anlamak her zaman mümkün değil. Çünkü saldırganlar iz bırakmadan hareket edebiliyor ve site normal şekilde çalışmayı sürdürebiliyor. Ancak tanıdık bir sitenin kullanıcıyı bahis, kumar veya sahte çekiliş sayfalarına yönlendirmesi tehlike işareti olabiliyor. Beklenmedik açılır pencereler, uygulama indirme talepleri ve sahte tarayıcı güncelleme uyarıları da şüphe oluşturuyor. Sansar, hiçbir meşru internet sitesinin kullanıcıdan bilgisayarında komut çalıştırmasını istemeyeceğini vurguluyor. Ödeme sayfasının değişmesi, kart bilgilerinin tekrar istenmesi veya açıklanamayan ödeme hataları da dikkat gerektiriyor. Kart hareketlerinde bilinmeyen harcamaların görülmesi ve şüpheli mesajlar alınması da olası saldırı işaretleri arasında.
Kullanıcıların şifrelerini değiştirmesi gerekiyor mu?
PHP güvenlik açıkları nedeniyle herkesin şifresini değiştirmesi gerekmiyor. Çünkü sorun kullanıcıların cihazlarında değil, internet sitelerinin sunucularında bulunuyor. Sansar, ele geçirilmiş ve güncellenmemiş bir sitede yeni şifrelerin de çalınabileceğine dikkat çekiyor. Siber Güvenlik Başkanlığı'nın açıklamasına göre e-Devlet Kapısı'nda bir sorun tespit edilmedi. Bu nedenle e-Devlet şifrelerinin topluca değiştirilmesini gerektiren doğrulanmış bir durum bulunmuyor. Ancak kullanılan bir hizmet veri ihlali yaşandığını duyurursa şifre hemen değiştirilmeli. Aynı şifrenin farklı hesaplarda kullanılması veya bilinmeyen cihazlardan giriş bildirimi alınması da önlem alınmasını gerektiriyor. Özellikle e-posta hesaplarının korunması büyük önem taşıyor. Kritik hesaplarda farklı ve güçlü şifreler, iki adımlı doğrulama, geçiş anahtarı ve güvenilir şifre yöneticileri öneriliyor.
Siber saldırılardan korunmak için hangi önlemler alınmalı?
Kullanıcıların banka ve kart hareketlerini düzenli kontrol etmesi, SMS bildirimlerini açık tutması ve internet alışverişlerinde sanal kart veya düşük limitli kart kullanması öneriliyor. Ayrıca 3D Secure onayları dikkatle incelenmeli, cihazlar ve tarayıcılar güncel tutulmalı. E-posta veya SMS ile gelen acil şifre değiştirme bağlantılarına tıklanmamalı. Bilinmeyen uygulamalar indirilmemeli, güvenlik uyarısı veren sitelere girilmemeli ve kart bilgileri güvenilir olmayan sitelere kaydedilmemeli. Sansar, sosyal medyadaki doğrulanmamış saldırı listelerine itibar edilmemesi gerektiğini belirtiyor. Şüpheli durumların bankalara ve Ulusal Siber Olaylara Müdahale Merkezi'ne (USOM) bildirilmesi öneriliyor. İnternet sitesi sahiplerinin ise barındırma şirketlerine başvurarak kullandıkları PHP sürümünü ve 21 Ekim'deki güvenlik güncellemelerinin uygulanıp uygulanmadığını öğrenmesi gerekiyor.
Siber güvenlik tehdidi ne kadar süre devam edecek?
Mustafa Sansar'a göre önümüzdeki iki ila dört hafta en kritik dönem olabilir. Yapay zekâ destekli araçlarla saldırı kodlarının daha hızlı geliştirilebilmesi, otomatik saldırı girişimlerinin artması riskini taşıyor. Ancak çalışan saldırı kodlarının kamuya yayılıp yayılmadığı konusunda farklı açıklamalar bulunuyor. Uzun vadede ise güncellenmeyen sistemler tehlike oluşturmaya devam edecek. PHP'nin 2019'da duyurulan CVE-2019-11043 açığının yıllar sonra bile kullanılması, 2024'teki CVE-2024-4577 açığının fidye yazılımı saldırılarına dahil edilmesi ve Log4Shell saldırılarının sürmesi bu riski ortaya koyuyor. Sansar, büyük kurumların tehlikeyi birkaç hafta içinde büyük ölçüde kontrol altına alabileceğini, ancak bakımı yapılmayan küçük sitelerin ve eski sistemlerin yıllarca hedef olabileceğini belirtiyor. Daha önce ele geçirilen sistemler, güncelleme yapılsa bile risk taşıyabiliyor. Bu nedenle saldırıların etkileri önümüzdeki aylarda ortaya çıkabilecek veri ihlalleriyle de görülebilir.