PHP'deki kritik açık 2024'ten beri biliniyordu, yama krize dönüştü

PHP Foundation’ın resmi açıklamasına göre internetin temel taşlarından PHP’deki kritik güvenlik açığına ilişkin ilk işaretler 2024 yılında Almanya devletinin finanse ettiği bir güvenlik denetimi sırasında tespit edildi. Düzeltmenin aylar boyunca gecikmesi ise vakfın “yapısal başarısızlık” olarak nitelendirdiği sorunları gündeme taşıdı.

Yayımlama sürecindeki aksaklıklar

Güvenlik açığına ilişkin ayrıntıların 20 Ekim’de internete sızdığı sosyal medyada paylaşılan bilgilere göre ortaya çıktı. Chainguard adlı şirketin ambargoyu ihlal ederek düzeltmeyi diğer duyurulardan altı saatten fazla önce paylaştığı ve bir güvenlik şirketinin saldırı senaryosunu gösteren videoyu yanlışlıkla yayımladığı öne sürüldü.

Güvenlik ekibinin sınırlı olması

PHP Foundation’ın açıklamasına atıfta bulunan paylaşımda dünya genelinde bankalar, çevrim içi mağazalar ve kamu hizmetleri tarafından kullanılan dilin güvenliğinin küçük bir geliştirici grubuna dayandığı vurgulandı. PHP’nin güvenliğini sağlayan geliştirici ekibinin sınırlı olması tartışmanın en dikkat çekici noktalarından biri oldu.

Geniş çaplı riskler

PHP internet altyapısında yaygın olarak kullanılan programlama dillerinden biri olduğu için güvenlik açıklarının giderilmesindeki gecikmeler geniş çaplı riskler doğurabiliyor. Özellikle kamu kurumları ve kritik hizmetlerde kullanılan sistemlerin güncel tutulması bu tür açıkların kötüye kullanılmasını önlemek açısından büyük önem taşıyor.

PHP altyapısındaki kritik açığın ardından bazı kamu hizmetleri sistemlerini devre dışı bırakmak zorunda kaldı.