PHP2Shell ve ‘Kara Çarşamba’nın gösterdikleri

Bilgi teknolojileri dünyası yaygın kullanılan yazılımlarda keşfedilen kritik açıklar nedeni ile geçen çarşamba gününü “Kara Çarşamba” olarak anmaya başladı. Nasıl anmasın ki? Modern webin yüzde 70’ten fazlasının üzerine inşa edildiği PHP’de saldırganların sisteme kolayca erişilebilmesini sağlayan ve PHP2Shell olarak adlandırılan iki ayrı açık, daha yamaları yayımlanmadan kamuya açıldı. Daha PHP açığının dumanı tüterken Node.js, NGINX, Go ve Gitlab’dan kritik açık haberleri geldi. Yetmedi, Hindistan kökenli sertifika sağlayıcısı eMudhra’nın 8 ayrı ara sertifikasının anahtarlarının ele geçirildiği duyuruldu. Söz konusu anahtarlar normalde 116 basamaklı bir sayıya karşılık gelen 384-bit entropi içermesi gerekirken eMudhra’nın anahtarları 3 ile 8-bit arası entropiye sahip 256’dan küçük sayılardı. Anahtarlardan biri sadece “4” idi.

Olağanüstü bir seferberlikle farklı işletim sistemleri ve dağıtımlardaki farklı yazılım sürümleri için yamalar hazır edildi. Bu sırada webin en yaygın koruma kalkanlarından Cloudflare açıkların kullanılmaması için çeşitli tedbirleri devreye soktu. Hazır edilen yamalar kuruldu. Japon başbakanına ve ABD Milli Güvenlik Ajansına gecenin bir yarısı açıklama yaptıracak denli uykuları kaçırtan açıklar büyük bir zarara yol açmadan çözüldü.

Yukarıda anlattığım buz dağının görünen yüzü. Medya da ağırlıklı olarak PHP açıklarına odaklandığından yaygın anlatı da bu şekilde ilerledi. Bu anlatıya şekil veren uzmanların bir kısmının BBC’nin PHP’yi hiç duymamış “uzman”ı kalibresinde olduğunu, bazı yayınların ellerinde bir veri olmadan “milyonlarca sitenin” açıklar yamanana kadar kapalı kaldığını iddia etmelerini buraya not olarak düşelim. Yazılımlarda açıklar ortaya çıkar ve bunlar yamanır, bu işin doğal akışı. Ancak bu akışta değişen başka parametreler var. LLM’lere dayalı sistemlerle yazılım açıklarının tespiti özellikle son aylarda ciddi şekilde ilerleme kaydetti. Bugüne dek CVE numarası verilen tüm açıkların yüzde 3.7’sine karşılık gelen 14 bin 934 açık geçen ay keşfedildi. Bu ay CVE numarası verilen açık sayısı daha ayın tamamlanmasına bir hafta varken 12 bin 688’i buldu. Kıyas açısından geçen yılın eylül ayında keşfedilen açık sayısı 4 bin 200, ekim ayında keşfedilen açık sayısı 4 bin 300 civarında. Buradan çıkartılacak projeksiyon az çok belli: Önümüzdeki günlerde daha çok sayıda “Kara Çarşamba” yaşayacağız.

PHP açıkları başta olmak üzere Kara Çarşamba’nın açıklarının çoğu sunucu tarafı zafiyetleriydi ve sunucuların başındaki kişiler tarafından düzeltildi. Bu noktada eMudhra’da yaşanan ahmaklık diğer açıklardan ciddi şekilde ayrılıyor. eMudhra’nın da sağlayıcısı olduğu sertifikalar web iletişiminde karşı tarafın gerçekten ilgili sunucu, site vb. olduğunu kanıtlamakta kullanılıyor. Bu kanıtlama işinin önemli bir parçası ise sertifika sağlayıcının güvenilir olması. Anahtarların keşfedilip tarayıcının güveneceği sahte sertifikalar oluşturulabilmesi kullanıcıların sahte sitelere vb. kolayca yönlendirilebilmesi anlamına geliyor. Bunu engellemenin ana yolu ise kullanıcı tarafındaki yazılımlarda sertifika sağlayıcılara dair güven bilgilerinin güncellenmesi. Yani yazılımların kullanıcı tarafında da güncellenmesi. İşletim sistemi parçalarından tarayıcılara pek çok yazılımın sahipleri ilgili güncellemeleri yayımlamış olsa da bu güncellemelerin kullanıcı tarafında ne zaman yapılacağının meçhul olması eMudhra’nın yarattığı tehlikeyi de büyütüyor.

Modern webin dişe dokunur bir kısmı çoğu ciddi bir karşılık beklemeden geliştirilmiş, katkı sunulmuş açık kaynaklı projeler üzerinde yükseliyor. Gelinen tabloda bu projelerin geliştiricileri bir yandan ciddi bir kısmı yalapşap hazırlanmış kod katkılarıyla diğer yandan da bir anda üçe katlanan açık keşifleri ile uğraşmak durumunda. Bu gidişatın sonu emek/zaman/karşılık olarak açık kaynak yazılım geliştirmenin giderek sürdürülemez hale gelmesi olabilir.