PHP'de iki kritik açık: PHP2Shell için güncelleme ve önlem çağrısı

PHP altyapısında tespit edilen ve PHP2Shell adı verilen iki kritik açık için çok sayıda ülkenin kurumu uyarı yayımladı. Açığın yamalar çıkmadan önce istismar edilmeye başlandığı bildirildi.

ShiftDelete.Net'in haberine göre PHP altyapısında iki kritik güvenlik açığı belirlendi. Güvenlik çevrelerinde PHP2Shell olarak anılan açıklar nedeniyle Türkiye'de Siber Güvenlik Başkanlığı'nın yanı sıra Almanya, Fransa ve Hollanda gibi ülkelerin kamu kurumları ile güvenlik otoriteleri uyarı yayımladı. Bazı ülkelerin, sistemler güncellenene kadar bazı kamu sitelerini önlem olarak geçici süreyle erişime kapattığı aktarıldı.

Haberde, açığın saldırganlara kullanıcı adı ya da şifre gerekmeden, dışarıdan gönderilen tek bir istekle web sunucusunda yetkisiz kod çalıştırma imkânı tanıdığı belirtildi. PHP'nin isteği işlemesi sırasında bellekte bir sızıntı ve kod çalıştırma açığının oluştuğu ifade edildi. İstismar girişimlerinin resmî güvenlik yamaları yayımlanmadan önce başladığı, dolayısıyla durumun 'Zero-Day' saldırısı olarak nitelendirildiği kaydedildi.

Haberde, internetteki sitelerin yaklaşık %70-80'inin arka planda PHP kullandığı hatırlatıldı. Otomatik bot yazılımlarının PHP çalıştıran sunucuları sürekli taradığı, bu nedenle küçük işletmelerin ve kişisel blogların da risk altında olduğu vurgulandı.

Sunucusunu kendisi yöneten kullanıcılara yönelik öneriler arasında, kullanılan sürüme uygun olarak 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerinden birine geçilmesi yer aldı. Güncellemeden sonra php-fpm veya apache/nginx servisinin yeniden başlatılması gerektiği, aksi halde sunucunun bellekteki açıklı kodu çalıştırmayı sürdüreceği belirtildi. Desteklenmeyen eski sürümlerde geçici çözüm yerine sürüm yükseltilmesi önerildi.

Hemen güncelleme yapılamayan sistemlerde yönetim panellerine ve kritik PHP servislerine erişimin güvenlik duvarı üzerinden yalnızca kendi IP adreslerine sınırlandırılması önerildi. Saldırılar yama öncesinde başladığı için sunucularda yeni oluşturulmuş kullanıcılar, beklenmeyen dosyalar, olağan dışı ağ bağlantıları ve web sunucusu günlüklerinde şüpheli istekler olup olmadığının kontrol edilmesi, anormallik halinde sistemin ağdan izole edilmesi gerektiği ifade edildi. cPanel, DirectAdmin veya paylaşımlı hosting kullananların ise hizmet sağlayıcılarıyla iletişime geçmesi tavsiye edildi.