PHP’DE KRİTİK AÇIK ALARMI
Milyonlarca internet sitesinin altyapısında kullanılan PHP için iki kritik güvenlik açığını gideren güncellemeler yayımlandı.
İnternet sitelerinin altyapısında yaygın biçimde kullanılan PHP yazılımında tespit edilen iki kritik güvenlik açığı için acil yamalar yayımlandı. PHP geliştirme ekibi, 21 Ekim’de duyurduğu güvenlik güncellemeleriyle saldırganların kimlik doğrulaması olmadan uzaktaki sunucularda kod çalıştırmasına imkân verebilen sorunları giderdi. PHP’nin bellek yönetimi ve istekler arasında kalan dahili verilerle ilgili sorunlarından kaynaklanan açıklar, sunucuların güvenliğini tehdit ediyor. Başarılı bir saldırı, etkilenen sistemde web sunucusunun yetkileri kapsamında komut çalıştırılmasına ve hassas verilere erişilmesine zemin hazırlayabiliyor.
DÖRT SÜRÜM İÇİN YAMA
Güvenlik sorunlarını gidermek amacıyla PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri kullanıma sunuldu. PHP ekibi, web isteklerini işleyen tüm sistemlerin kontrol edilmesini ve uygun güvenlik sürümüne geçilmesini öneriyor. Riskin özellikle Apache üzerinde mod_php kullanan sistemlerde daha yüksek olduğu belirtiliyor. Bununla birlikte PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed gibi farklı çalışma ortamları da değerlendirme kapsamına giriyor.
ESKİ SÜRÜMLER İÇİN EK KONTROL
PHP 8.1 ve daha eski sürümler artık PHP projesinden düzenli güvenlik güncellemesi almıyor. Bu sürümleri kullanan kurumların, dağıtım sağlayıcılarının veya uzun süreli destek hizmeti sunan firmaların yayımladığı yamaları kontrol etmesi ya da desteklenen bir sürüme geçmesi gerekiyor. Güvenlik uzmanları, internete açık sunucuların öncelikle güncellenmesini, şüpheli işlemlerin izlenmesini ve üçüncü taraf yazılımların da kontrol edilmesini tavsiye ediyor. Güncelleme yapılmayan sistemlerde güvenlik riski devam ediyor.
