Temmuz 2004’te güvenlik araştırmacısı Stefan Esser, PHP’deki kritik bir açığı bildirdi. Dünya genelindeki web sitelerinin %70’ini güçlendiren bu programlama dilinde bulunan açık, saldırganların şifreleri okumalarına, veritabanlarını çalmalarına veya tüm web sitelerini ele geçirmelerine olanak tanıyordu. Ancak, Esser’in uyarısı on yıllar boyunca göz ardı edildi. 2020’de başka bir araştırmacı benzer bir sorun keşfetti ve PHP yöneticileri kısmi bir düzeltme yayınladı. 2024’te benzer bir PHP açığı daha bulundu fakat bu sorun çözülmeden kaldı. İnternetin temeli için bu kadar ciddi bir tehdidin 22 yıl boyunca neden çözülmediği merak ediliyor.
YENİ AÇIKLARIN KEŞFİ
30 Temmuz’da AI güvenlik şirketi Calif, OpenAI’nin yeni “Patch the Planet” güvenlik inisiyatifinin katkısıyla PHP üzerindeki bir zayıflığı araştırmaya karar verdi. Başlangıçta kritik bir şey bulmayı beklemiyorlardı. 1 Ağustos’ta PHP’nin zayıflıklarını hedef alan bir saldırı yöntemi keşfettiler. Ardından, birkaç gün içinde başka yöntemler buldular. Bu ayın ilerleyen günlerinde, Google destekli güvenlik şirketi Wiz, PHP zayıflıkları için yeni açıklıklar keşfetti. Çarşamba günü, bu zayıflıklar için bir yamanın yayınlandığı ve şirketlerin bulgularını kamuoyuna açıkladığı belirtildi. Wiz, bunu yazılım tarihindeki en ciddi zayıflıklardan biri olarak tanımladı.
GÜVENLİK ENDİŞELERİ
Güvenlik topluluğu, sosyal medyada bu durumu eleştirerek, “güvenlik endişelerimizin haklı çıktığını” belirtti. Carnegie Mellon Üniversitesi’nden bilgisayar mühendisliği profesörü Vyas Sekar, “Güvenlik endüstrisi, AI’nın bu tür şeyleri çok hızlı yapabileceği konusunda uzun zamandır uyarıda bulunuyor. Bu, birçoklarının ilki olabilir. Bu bir uyanış çağrısıdır” dedi. Sekar, PHP benzeri daha birçok zayıflığın keşfedilmeyi beklediğini vurguladı.
AI VE HACKERLARIN İLİŞKİSİ
AI araçlarının yaygın kullanımı, hackerların potansiyel güvenlik açıklarından faydalanmalarını kolaylaştırdı. Bu durum, Anthropic gibi bazı AI şirketlerini, güvenlik açıklarını ortaya çıkardığı için model dağıtımını durdurmaya itmişti. Ancak Calif araştırmacısı Ryan Austin, kullandıkları AI modellerinin genel olarak halka açık olduğunu belirtti. Fieldwork AI CEO’su Nick Rogers, “Yorulmak bilmeyen AI, güvenlik ihlallerini daha hızlı çözebiliyor. İnsanlar için zor olan bu iş, AI için sadece bir oyun” dedi.
PHP'NİN KRİTİK ROLÜ
PHP, internetin çoğunu güçlendiren bir motor olarak görülüyor. Çarşamba günü yamalanmadan önce ciddi bir açığı vardı. Bu zayıflık, bir saldırganın PHP’nin web sitelerini çalıştırma yöntemini manipüle etmesine olanak tanıyordu. Araştırmacılar, AI’yi bu probleme yönlendirdiklerinde, hızlıca birkaç çözüm buldular. Bir çözüm, PHP’nin sıkıştırılmış dosyalarla ilgili ölçüm yöntemlerindeki uyumsuzluğu kullanıyordu, diğeri ise derinlemesine iç içe geçmiş dosya yapılarıyla PHP’nin dizin yapısını aşırı yükleyerek bellek hatası yaratıyordu.
GÜVENLİK SORUNLARI DEVAM EDİYOR
Yamanın uygulanmasıyla birlikte tehlikenin ortadan kalkmadığına dikkat çekildi. CrowdStrike’dan Adam Meyers, birçok eski PHP sürümünün hâlâ kullanıldığını ve yamanın tüm sorunları çözmediğini ifade etti. Yamanın yayınlanmasından önce açığın sızdırılması, binlerce saldırıya yol açtı. Meyers, “Kötü niyetli kişiler açığı bulmak zorunda değil; durumu sonradan silahlandırabilirler” dedi.
GELECEK İÇİN STRATEJİLER
OpenAI, PHP yaması hakkında daha güvenli kod yazılması gerektiğini belirtti. Ancak bu, mevcut web uygulamaları için pratik bir çözüm değil. Meyers, “PHP’den başka bir programlama diline geçmek oldukça maliyetli bir süreç” dedi. Güvenlik topluluğunun yaklaşımında bir paradigma değişikliği gerektiği vurgulandı. Her iş operasyonunun yüksek risk taşıdığı kabul edilmeli ve güncel yazılım güncellemeleri yapılmalıdır. Şashanka, “Her şey potansiyel bir zayıflık. Güvenlik ihlallerine karşı daha dikkatli olunmalı” dedi.