‘Kara Ekim’: PHP programlama dilinde ciddi açıklar keşfedildi

PHP programlama dilinde keşfedilen ciddi bir açığın ardından sektör yöneticileri, bir “güvenlik açığı tsunamisi” yaşanabileceği konusunda uyarıyor. 

Siber güvenlik dünyasının önde gelen isimleri, bu hafta ortaya çıkarılan büyük bir güvenlik açığının ardından tehlikeye dikkat çekiyor. 

Uzmanlar, yapay zeka araçlarının önümüzdeki aylarda küresel internet altyapısındaki daha temel zayıflıkları gün yüzüne çıkaracağını öngörüyor.

Perşembe akşamı konuyla ilgili görüşlerini paylaşan yöneticiler arasına katılan Sam Altman, “Artık tüm hataları yamayabileceğimizi sanmıyorum” ifadesini kullandı. 

Araştırmacıların, milyonlarca web sitesinde kullanılan ve belki de yıllardır yamalanmamış bir kodlama dilindeki kritik kusurları tespit etmek için yapay zekadan yararlandığı bu döneme “Kara Ekim” adı veriliyor. 

Teknoloji dünyasının yöneticileri, yapay zekanın güvenlik açıklarını hem tespit etmek hem de bunlardan yararlanmak için daha önce görülmemiş bir ölçekte ve hızda kullanılabileceği konusunda uyarıyor.

Anthropic şirketinin Bilgi Güvenliğinden Sorumlu Başkan Yardımcısı Jason Clinton’a göre, önümüzdeki aylar bir “güvenlik açığı tsunamisine” sahne olacak. 

Clinton, Perşembe akşamı X platformunda yaptığı paylaşımda, “Kritik altyapıları yamamak için yeterli zamanımız olmayacak” dedi. Salesforce CEO’su Marc Benioff da bu görüşe katılarak durumu “kırmızı alarm” (code red) olarak nitelendirdi.

Cloudflare CEO’su Matthew Prince ise yapay zekanın, güvenlik açıklarını bulma ve tespit etme konusunda benzersiz bir yeteneğe sahip olduğunu belirtti. 

Prince’e göre bu durum, güvenlik camiasının söz konusu açıkları gidermek için yeterince hızlı hareket edememesi nedeniyle felaketle sonuçlanabilecek bir sürece yol açabilir. “Sanki gökyüzü üzerimize yıkılıyormuş gibi hissettirecek. Elimden hiçbir şey gelmiyormuş gibi hissettirecek.

Önümüzdeki iki yıl, internet genelindeki güvenlik açıklarını bulmak için sonsuz bir sabra sahip yeni araçlarla son derece, ama son derece yoğun bir şekilde dolu olacak,” diye yazdı X platformundaki bir gönderisinde.

Siber güvenlik uzmanları aylardır, yapay zekânın güvenlik açıklarını çok daha kolay tespit edebilme yeteneğiyle ortaya çıkabilecek bir “açık kıyameti” (vulnpocalypse) konusunda uyarılarda bulunuyordu. 

Ancak araştırmacıların, 21 Ekim’de duyurulan kadar temel ve kritik bir güvenlik açığını yapay zekâ kullanarak tespit edebilmeleri, “Kara Ekim” (Black October) dönemine denk geldi.

PHP adlı programlama dilinde, milyonlarca web sitesini yıllardır bilgisayar korsanlarına karşı savunmasız bırakmış olabilecek devasa açıklar bulundu. Bazı uzmanlar, internetteki tüm sitelerin yüzde 70’inin saldırı riski altında olduğunu tahmin ediyor.

Ne var ki, yapay zekânın güvenlik açıklarını benzeri görülmemiş bir hızla tespit etmek için kullanılacak olması kadar, kötü niyetli kişilerin de bu açıkları yine benzeri görülmemiş bir hızla istismar etmek için yapay zekâdan yararlanacak olması teknoloji dünyasının önde gelen isimlerini endişelendiriyor.

PHP’deki bu açıkları istismar etmeye yönelik girişimler şimdiden başladı.

Açıkların duyurulmasının ardından, ABD ve Birleşik Krallık’taki kamu kurumlarına ve özel sektöre ait birçok web sitesi, yamaları uygulamak için geçici olarak erişime kapatıldı. 

ABD Ulusal Güvenlik Ajansı (NSA), PHP tabanlı tüm sitelere acilen gerekli yamaları uygulamaları çağrısında bulundu. NSA, kötü niyetli siber aktörlerin bu açıkları kullanarak sunuculara yetkisiz erişim sağlamaya çalışabileceği konusunda uyardı.

Uyarıda, “Böyle bir erişim yolu, saldırganların hassas verileri çalmasına, hizmetleri aksatmasına veya ağın daha derinlerine sızmasına olanak tanıyabilir” ifadesi yer aldı.

Prince, X platformundaki bir paylaşımında, güvenlik sağlayıcısı CloudFlare’in, PHP’deki güvenlik açıklarının duyurulmasından önceki 10 saat içinde binlerce kişinin bu açıkları istismar etmeye çalıştığına dair kanıtlar tespit ettiğini belirtti.

Prince, “Duyurudan sonraki 45 dakika içinde bu sayı on binlere, 2 saat içinde yüz binlere, şu anda ise milyonlara ulaştı” diye yazdı.

Yapay zeka güvenliği platformu Wiz’deki araştırmacılar, bir blog yazısında, bunun “PHP’de —ve hatta belki de yazılım tarihinde— keşfedilmiş en ciddi güvenlik açıklarından biri” olduğunu ifade ettiler.

Araştırmacılar, “Temeldeki kusurlar onlarca yıldır mevcuttu; ancak bunların istismar edilebilir olduğunu kanıtlamak, insan araştırmacıların pratik olarak başarabileceklerinin sınırında, son derece karmaşık bir dizi adım gerektiriyordu” değerlendirmesinde bulundular.

The Guardian