Hackerlar, PHP’deki Güvenlik Açıklarını Yamalanmadan Birkaç Gün Önce İstismar Ettiler

Çarşamba günü, yaygın olarak kullanılan bir web betik dili olan PHP’deki iki kritik güvenlik açığını gidermek için internette yaşanan çılgın telaşın, tüm saldırıları durdurmak için çoktan geç kaldığı, yeni açıklanan ayrıntılardan anlaşılıyor.

Çarşamba günü PHP’deki iki kritik güvenlik açığına yönelik düzeltmelerin yayınlanması, sistem yöneticileri ve güvenlik personelinin savunmasız web sitelerini ve uygulamaları tespit edip yamalamak için acele etmesine neden olurken, saldırganlar ise kaçınılmaz olarak bu düzeltmeleri tersine mühendislik yoluyla inceleyerek bu açıkları nasıl istismar edebileceklerini öğrenmeye çalıştılar. Hatta bazı hükümetler ve diğer gruplar, yamaları uygulamaya fırsat bulamadan hedef alınmamak için, düzeltmelerin yayınlanacağını öngörerek önemli web sitelerini proaktif olarak kapattılar.

Ancak Çarşamba günü bu tür aktif istismar faaliyetlerinin tespit edilmesinin yanı sıra, Çarşamba akşamı Amazon Web Services tarafından yayınlanan araştırma, en az bir aktörün, topluca PHP2Shell olarak bilinen bu güvenlik açıklarından yararlanmaya 17 Ekim’de, yani Çarşamba günü kamuoyuna duyurulmasından dört gün önce, girişimde bulunduğunu ortaya koymaktadır.

AWS analistleri, 17 Ekim’de gerçekleşen bu saldırı girişimini Çarşamba günü, araştırmacıların saldırı yöntemlerini ve eğilimlerini incelemelerine yardımcı olan, 'bal küpü' olarak adlandırılan, kasıtlı olarak güvenlik açığı bırakılmış web sunucuları veya diğer dijital tuzaklardan birindeki faaliyetleri incelerken tespit ettiler. Bu girişim, AWS’nin 'ticari bir anonimleştirme ağı' ile bağlantılı olduğunu belirttiği bir IP adresinden geldi; başka bir deyişle, bir proxy ağı veya VPN.

AWS’nin bilgi güvenliği baş sorumlusu CJ Moses, araştırma yazısında şöyle belirtti: “Bu güvenlik açığı yayın yasağı altındayken, anonimleştirilmiş bir IP adresinden bir honeypot’a yönelik saldırı, bu faaliyetin bir tehdit aktörü tarafından gerçekleştirildiğini akla getiriyor; ancak aktörün, açıklanmadan önce istismar bilgilerini nasıl elde ettiği hala belirsizliğini koruyor.”

PHP2Shell için kavram kanıtı niteliğindeki istismar kodları Çarşamba günü kamuoyuna sızmaya başladı; bunlardan bazıları, Doğu Saati ile sabah 10’da yapılacak kamuya açıklanma öncesinde birkaç saat içinde ortaya çıkmış gibi görünüyordu. Açıklamaya kadar geçen saatlerde, AWS araştırmacıları, bal tuzaklarının çeşitli sağlayıcılar kullanılarak anonimleştirilmiş ve görünüşe göre farklı saldırı hedeflerine yönelik çok sayıda istismar girişimine maruz kaldığını belirttiler; bu durum muhtemelen birden fazla farklı aktörün varlığını işaret ediyor. Moses, “Teknik analiz devam ediyor ve bu girişimlerden herhangi birinin gerçek sistemlerde başarılı olup olmayacağı henüz belli değil,” diye yazdı. Ayrıca, “PHP2Shell şu anda yaygın olarak istismar ediliyor,” diye ekledi.

PHP Vakfı, WIRED’ın yorum talebine hemen yanıt vermedi.

17 Ekim’deki istismarın nasıl gerçekleştiği veya nereden kaynaklandığı belirsiz olsa da, AWS, bu bulguların, güvenlik açığı analizini hızlandırabilen ve teknik açıdan daha az yetkin aktörlerin yeni istismar yöntemlerini hızla geliştirmesine olanak tanıyan yapay zeka araçlarına küresel erişim göz önüne alındığında, koordineli güvenlik açığı açıklamasının nasıl gelişmesi ve hızlanması gerektiğini vurguladığını belirtmektedir.

Moses, “Yamanın yayınlanmasından işlevsel bir istismarın ortaya çıkmasına kadar geçen süre, yapısal nedenlerden dolayı kısalıyor,” diye yazdı. “Geçmişte gözlemlediğimiz istismarların çoğu, halka açık bir kavram kanıtı yayınlandıktan sonra gerçekleşiyordu. Az sayıda yetenekli aktör istismar kodları geliştiriyordu ve diğer herkes onları bekliyordu. Bu bağımlılık zayıflıyor. Yapay zeka destekli analiz, bir yama farkını veya güvenlik uyarısını çalışan bir istismara dönüştürmeyi daha ucuz hale getiriyor. Sonuç olarak, bir güvenlik açığının teknik detayları açıklandığında daha fazla aktör saatler, hatta dakikalar içinde harekete geçebiliyor.”

Bu yazı ilk olarak WIRED sitesinde yayınlanmış ve Samet Kelebek tarafından İngilizceden çevrilmiştir.