PHP kritik açıklarla sarsılırken eMudhra sertifika krizi interneti tehdit ediyor
Öne çıkanlar
- PHP güvenlik ekibinin duyurduğu 9,2 CVSS puanlı iki kritik güvenlik açığının detayları resmi yamadan önce sızdı.
- WordPress sitelerinin yüzde 35,1'i artık güvenlik güncellemesi almayan eski PHP sürümlerinde çalışıyor.
- eMudhra sertifika sağlayıcısının sekiz ara sertifika anahtarının aşırı zayıf üretildiği tespit edildi ve tarayıcılar güveni kesti.
- Hollanda ve Finlandiya'daki bazı resmi kurumlar olası saldırılara karşı web servislerini geçici olarak kapattı.
PHP güvenlik ekibinin duyurduğu iki kritik uzaktan kod yürütme açığı yamanmadan önce sızdırıldı. CVSS puanı 9,2 olan güvenlik açıklarına yönelik detayların erkenden yayılmasıyla birlikte internet genelinde alarm seviyesi yükseldi. Cloudflare erken saldırı girişimleri tespit ederek tüm müşterileri için geçici web uygulaması güvenlik duvarı kuralları devreye aldı. Hollanda parlamentosu, Finlandiya kamu kurumları, üniversiteler ve çeşitli büyük platformlar önlem amacıyla web sitelerini geçici olarak erişime kapattı.
Krizin boyutunu artıran en büyük etken, internet ekosistemindeki eski PHP sürümlerinin yaygınlığı oldu. Resmi verilere göre WordPress sitelerinin yüzde 35,1'i güvenlik desteği sona eren PHP sürümlerinde çalışıyor ve sitelerin yüzde 16,46'sı halen PHP 7.4 kullanıyor. PHP 8.1 ve daha eski sürümlerin resmi destek almaması, milyonlarca sunucunun doğrudan savunmasız kalma riskini doğurdu. Yetkililer, php.ini ayarlarında değişiklik yapmanın açıkları kapatmaya yetmeyeceğini bildirdi.
İnternet altyapısı bu gelişmeyle uğraşırken eMudhra sertifika otoritesine ait sekiz ara sertifikanın özel anahtarlarının aşırı zayıf üretildiği ortaya çıktı. Normalde 384 bitlik rastgele sayılar olması gereken anahtarların en fazla 8 bitlik değerlerden oluştuğu belirlendi. Mozilla, Google ve Apple bu anahtarlara olan güveni acil olarak kaldırdı. Go dili güncellemelerle anahtarları sert biçimde engellerken, güncellenmeyen IoT cihazları ve işletim sistemi depoları nedeniyle yaklaşık 30 bin sertifikanın taşınması gerekiyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.