ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yaygın olarak kullanılan PHP web yazılımındaki iki kritik güvenlik açığının hackerlar tarafından aktif olarak sömürüldüğünü doğruladı. CISA, ABD hükümetine bağlı sivil kurumların sistemlerini üç gün içinde düzeltmeleri talimatını verdi. Bu acil yama uyarısı, PHP'nin geliştiricilerinin iki hataya yönelik yamaları yayınlamasından yaklaşık bir hafta sonra geldi. Bu hatalar, internet üzerinden şifreye gerek kalmadan saldırganların uzaktan savunmasız sistemlere sızmasına olanak tanıyor. İnternet erişimli sunucuların yaklaşık yüzde 70'inde PHP yazılımının kullanıldığı bildiriliyor, bu da büyük web sitelerini ve uygulamalarını risk altına sokuyor. Hataların ciddiyeti, bazı hükümetlerin ve büyük şirketlerin sitelerini onarmak için çevrimdışı bırakmalarına neden oldu. Hatalar kritik olarak derecelendirilse de, yani sömürüldüklerinde oldukça zararlı olabilecekleri anlamına gelse de, güvenlik araştırmacıları savunmasız sistemlere saldırmak için çalışan bir sömürü aracı geliştirmenin başlangıçta zorlu olduğunu ancak imkansız olmadığını belirtti. Güncel istismar tespitleri, kötü niyetli ele geçirmeleri, kesintileri ve veri ihlallerini önlemek için kuruluşlar üzerinde sistemlerini yamalamaları yönünde ek baskı oluşturuyor. CISA, Pazartesi günkü açıklamasında hataları kimin sömürdüğüne dair ayrıntı vermedi, ancak bu açıklama güvenlik araştırmacılarının PHP hatalarının sömürüldüğüne dair kanıt bulduklarını söylemelerinin ardından geldi. PHP2Shell olarak bilinen hatalar, yıllarca keşfedilmeyen yazılımdaki güvenlik açıklarını sömürüyor. Hatalar ilk olarak iki yıl önce ortaya çıkarılmıştı, ancak yazılımı yöneten kar amacı gütmeyen vakıf, hackerların bunları sömürmeleri için pratik bir yol olmadığını ve bu nedenle hataların yamalanmadığını belirtmişti. Ancak bu yılın başlarında, güvenlik araştırma firması Calif'teki araştırmacılar, bir yapay zeka modelinin yardımıyla iki uyuyan güvenlik açığını sömürmenin bir yolunu keşfetti. PHP'deki bu iki hata, henüz keşfedilmemiş veya yıllardır önceliklendirilmeyen sayısız güvenlik açığından sadece birkaçı. Ancak yapay zeka modellerinin birden fazla kusuru bir araya getirme dahil olmak üzere güvenlik açıklarını bulma ve sömürme yeteneklerindeki ilerlemeler nedeniyle artık risk oluşturuyorlar. PHP, interneti ve modern teknolojileri ayakta tutan ancak yıllardır yetersiz kaynak ve finansmana sahip olan çok sayıda eski web teknolojisinden biridir. Bu durum, PHP gibi açık kaynaklı projelerin daha erken kusurları ortaya çıkarabilecek güvenlik incelemeleri için ödeme yapmasını zorlaştırıyor.
