Uzmanlar, güncellemelerin geciktirilmemesi ve sistemlerin kontrol edilmesi gerektiğini vurguluyor. PHP geliştiricileri, 21 Ekim’de kritik güvenlik açıklarını gidermeye yönelik güncellemeler yayımladı. Uluslararası güvenlik kaynaklarında “PHP2Shell” adıyla anılan açıklar, saldırganların kullanıcı adı ve şifre olmadan web sunucularında kod çalıştırmasına imkân tanıyabiliyor.
Siber Güvenlik Başkanlığı’nın da ulusal ölçekte uyarıda bulunduğu açıklar üzerine Bitdefender Türkiye Distribütörü Laykon Bilişim Operasyon Direktörü Alev Akkoyunlu, kurumların vakit kaybetmeden uygulaması gereken beş önlemi paylaştı.
Açıklar saldırı riski oluşturuyor
Web siteleri, e-ticaret platformları ve içerik yönetim sistemlerinde yaygın olarak kullanılan PHP altyapısındaki güvenlik açıklarına yönelik ilk istismar girişimlerinin, açıklar kamuoyuna duyurulmadan önce tespit edildiği bildirildi.
Açıkların duyurulmasının ardından Almanya, Fransa, Hollanda ve Finlandiya başta olmak üzere çeşitli ülkelerde bazı kamu kurumlarının web siteleri, güncellemeler tamamlanana kadar önlem amacıyla geçici olarak erişime kapatıldı. Türkiye’de ise Siber Güvenlik Başkanlığı güvenlik taramalarının başlatıldığını duyurarak kamu kurumlarını, kritik altyapı işletmecilerini ve özel sektörü sistemlerini kontrol etmeye çağırdı.
“Yama ile saldırı arasındaki süre her geçen gün kısalıyor”
Açıkların oluşturduğu riske dikkat çeken Alev Akkoyunlu, saldırganların oturum açmadan sunuculara erişebilmesinin önemli bir tehdit oluşturduğunu belirtti.
Akkoyunlu, konuyla ilgili şu değerlendirmede bulundu:
“PHP, kurumların web sitelerinden müşteri portallarına, iç yazılımlarından cihazların yönetim panellerine kadar pek çok sistemin arka planında çalışıyor. Bu açıklarda dikkat çeken nokta, saldırganların herhangi bir oturum açma işlemi yapmadan sunucuya ulaşabilmesi. Açıkları istismar eden bir saldırgan sunucunun kontrolünü ele geçirebiliyor ve bu sunucularda çoğu zaman müşterilere ait bilgiler bulunuyor. Araştırmacılar, açıklardan birinin sunucu belleğindeki diğer kullanıcılara ait şifreleri ve oturum bilgilerini de sızdırabildiğini ortaya koydu. Bu da bir e-ticaret sitesinde alışveriş yapan sıradan bir kullanıcının hesap bilgilerinin bile risk altına girebileceği anlamına geliyor. Üstelik açıklar duyurulmadan önce bile istismar girişimleri kayda geçti. Bu nedenle güncellemelerin vakit kaybetmeden uygulanması büyük önem taşıyor.”
PHP açıklarına karşı alınması gereken 5 önlem
1. PHP kullanan sistemleri belirleyin
Kurumların öncelikle web siteleri, e-ticaret platformları, müşteri portalları ve iç yazılımları dahil olmak üzere PHP çalıştıran tüm sunucularını belirlemesi gerekiyor. Uzun süredir güncellenmeyen uygulamalar, test ortamları ve cihazların web tabanlı yönetim panelleri de envantere dahil edilmeli. Barındırma hizmeti kullanan kurumların, sistemlerin güncel olup olmadığını hizmet sağlayıcılarıyla teyit etmesi öneriliyor.
2. Güvenlik güncellemelerini uygulayın
PHP geliştiricilerinin 21 Ekim’de yayımladığı 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleri, söz konusu açıkları gideriyor. Güncellemenin ardından PHP servisinin yeniden başlatılması gerekiyor. Daha eski sürümleri kullanan kurumların işletim sistemi dağıtımları veya destek sağlayıcıları tarafından yayımlanan güvenlik yamalarını kontrol etmesi önem taşıyor.
Resmi desteği sona eren sürümlerde ise desteklenen bir sürüme geçilmesi öneriliyor. Geçici ayar değişikliklerinin riski azaltabileceği ancak açıkları tamamen kapatmadığı, bu nedenle güncellemelerin yerini tutmadığı belirtiliyor.
3. Güncellenemeyen sistemlerin erişimini sınırlandırın
Güncellemenin hemen uygulanamadığı sistemlerde yönetim arayüzleri ve kritik PHP servislerine erişim, güvenlik duvarı kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle sınırlandırılmalı. Yurt dışından erişim gerektirmeyen sistemlerde uluslararası trafik kapatılmalı. Kısa sürede güncellenemeyen ve kritik önemde olmayan sistemlerin geçici olarak erişime kapatılması da değerlendirilmeli.
4. Olası saldırı izlerini araştırın
Güvenlik açıklarının güncellemeler yayımlanmadan önce istismar edilmeye başlanması nedeniyle yalnızca yama yüklemek yeterli olmayabilir. Kurumların sunucularında beklenmedik dosyaları, yeni oluşturulan kullanıcı hesaplarını, olağan dışı ağ bağlantılarını ve web sunucusu kayıtlarındaki şüpheli istekleri incelemesi gerekiyor.
Şüpheli bir bulguya rastlanması halinde ilgili sistemin ağdan ayrılması ve uzman desteği alınması öneriliyor.
5. Yama yönetimini ve tehdit tespitini güçlendirin
Çok sayıda sistemin güncelliğini manuel olarak takip etmek, kritik güvenlik açıklarının gözden kaçmasına neden olabiliyor. Bu nedenle yama yönetimi ve tehdit tespit süreçlerinin güçlendirilmesi önem taşıyor.
Bitdefender GravityZone platformu, yama yönetimi özellikleriyle güncel olmayan yazılımların tespit edilmesine ve güncellemelerin merkezi olarak uygulanmasına yardımcı oluyor. Platformun uç nokta algılama ve yanıt (EDR) yetenekleri ise sunuculardaki şüpheli faaliyetlerin tespit edilmesini ve saldırılara hızlı müdahale edilmesini sağlıyor.
