21 Ekim’de PHP’de iki kritik güvenlik açığı duyuruldu. PHP, sunucu tarafı dili bilinen web sitelerinin yüzde 69’unda çalışıyor; WordPress siteleri de bunun içinde. Açıklar, saldırganın giriş yapmadan, tek bir istekle sunucuda kod çalıştırmasına izin veriyor. ABD’nin siber güvenlik ajansı CISA kurumlara “hemen yamalayın” çağrısı yaptı.
Bu yazı açığın teknik ayrıntısıyla ilgili değil. Her yıl yenisi çıkan açıklar karşısında bir sitenin nasıl kurulması ve nasıl bakılması gerektiğiyle ilgili.
Açık çıkması normal.
Her yazılımda açık bulunur. PHP de, WordPress de düzenli olarak güvenlik güncellemesi yayınlar. Asıl risk açığın kendisi değil; yamanın yayınlandığı an ile sitenizin yamalandığı an arasındaki süre.
O süre kısalıyor.
Google’ın güvenlik birimi Mandiant, bir açığın duyurulmasından saldırıda kullanılmasına kadar geçen ortalama sürenin 2018-2019’da 63 gün olduğunu, 2023’te 5 güne indiğini ölçtü. Bu kez daha da hızlıydı: Amazon’un tuzak sunucuları, açık duyurulmadan dört gün önce bir saldırı denemesi kaydetti.
Açığı inceleyen araştırmacılara göre yapay zekânın bunda payı var: yıllardır duran bir hatayı çalışan bir saldırıya dönüştürmek artık çok daha kolay. Aynı araçlar savunanları da hızlandırıyor. Ama yalnızca biri o işi gerçekten yapıyorsa.
Sistem nasıl kurulmalı?
- Desteklenen sürümler. Desteği bitmiş sürümler (PHP 8.1 ve öncesi) bu açık için yeni bir sürüm almadı. Eski sürümde çalışan bir site, bir sonraki açıkta seçeneksiz kalır.
- Az parça. Her eklenti, her tema, her ek yazılım bakımı gereken bir kapı. Kullanılmayan kaldırılır.
- Önde bir kalkan. Sitenin önündeki bir güvenlik duvarı yamanın yerini tutmaz ama zaman kazandırır. Cloudflare bu açık için ücretsiz kullanıcılar dahil herkese kural yayınladı.
- Yedek ve geri dönüş. Bir güncelleme bir şeyi bozarsa dakikalar içinde eski hâle dönebilmek.
Bakım nasıl olmalı?
- Takip. Kullandığınız yazılımların güvenlik duyurularını biri düzenli olarak okuyor.
- Önceliğe göre hız. Her güncelleme aynı derecede acil değil; kritik olan saatler içinde, diğerleri planlı olarak uygulanır.
- Sahiplik. “Site kimde?” sorusunun tek bir cevabı var. Kurulduktan sonra kimsenin bakmadığı site en büyük risk.
Nereden başlamalı?
Kendi sitenize bakın:
- Siteniz PHP’nin hangi sürümünde çalışıyor?
- En son ne zaman güncellendi?
- Bir açık duyurulduğunda bunu sizin için kim takip ediyor?
Bu soruların cevabı net değilse konuşalım. Kısa bir tanışma görüşmesiyle başlıyoruz.