Site geliştirmekten çok anlamam. Ama bu PHP olayının arka planında karanlık işler döndüğüne eminim. İsterseniz komplo teorisi diyin. Ama bence değil. Hatta o "AI'lar şurayı burayı hackledi" olaylarının perde arkasındakilerden biri bu.
2024: PHP geliştiricileri, bellek yönetimindeki bir sorunun ilk işaretlerini fark etmiş. Henüz somut bir uzaktan kod çalıştırma yöntemi bulamamışlar.
1 Ağustos 2026: Calif adlı güvenlik şirketi PHP'yi olası açıklar için incelemeye başlamış.
11 Ağustos: Calif 2024'teki PHP Foundation'ın fark ettiği aynı sorundan yararlanarak uzaktan kod çalıştırmayı mümkün kılan bir saldırı yöntemini bildirmiş. OpenAI da AYNI GÜN bağımsız olarak aynı temel sorunu bildirmiş. (Aynı gün olması çok enteresan. İki firma yıllardır devam eden açığı aynı gün raporluyor, tesadüfe bak.)
24 Ağustos: Wiz, ilgili güvenlik sorunları hakkında bildirimde bulunmuş.
18 Eylül: OpenAI ek saldırı yöntemleri bildirmiş.
21 Eylül: PHP ekibi sonunda açığı kabul edip(lütfetmişler) yama üzerinde çalışmaya başlamış.
20 Ekim: PHP ekibi detay vermeden 22 Ekim'de bazı açıkların kapatılacağını duyuruyor.
20 Ekim: Güvenlik açığı sızdırılarak kimlik numaraları internette dolaşmaya başlıyor. Neden sızdırıldı belli değil. Önce petecooper diye biri paylaşıyor, sonra Calif firması saldırıyı gösteren video yayınlıyor, sonra Chainguard firması da düzeltmeyi içeren paketleri yayımlıyor. Hadi biri sızdırır anlarsın, peki bu firmalar nasıl sızıntıya ortak oluyor? Bir günde birden fazla kurum ve kişi el birliğiyle koordine şekilde açığı ortalığa döküyor. Sanki el birliğiyle PHP ekibini kıskaca alıp yamayı hızlandırmaya çalışıyorlar gibi. En olası açıklama bu bana göre.
21 Ekim: PHP ekibi güvenlik yamalarını 1 gün öne çekerek yayımlıyor.
Yani kendileri 2024'ten beri bir sorun olduğunun farkındalar. Açığı tam olarak tespit edebildiler mi belli değil ancak 2 ay öncesinden beri ise kesin olarak biliyorlar. Ve birçok kurum da bu sürede açığın farkında. PHP ekibi 2 ay oyalanıyor. Kendi açıklamalarına göre "güvenli bir düzeltme üzerinde ekip içinde anlaşmanın aylarca sürmesi" yüzünden bu kadar gecikiyor. Bu sürede güvenlik firmaları ve AI firmaları açığı biliyor. AI firmaları muhtemelen de bu açığı sonuna kadar kullanıyor. O 2 ayda ne oldu? Bence asıl sorun bu. Hatta bu firmaların açığı buldukları gibi bildirdiklerini de sanmıyorum. OpenAI 11 Ağustos'ta bunu bildirmiş olabilir ama belki de çok önceden keşfetmişlerdi. Sorun şu ki bu açık çok temel bir açık, websitesi "hack"lemekten ibaret değil, onu aşıp direkt sunucuda kod çalıştırmaya izin veriyor. Bu açık AI firmalarının elinde neler için kullanıldı, benim merak ettiğim o. Ve PHP ekibi nasıl bu kadar yavaş davrandı. "Yanlış bir düzeltme eski uygulamaları bozabilir, performansı düşürebilir veya yeni güvenlik açıkları yaratabilirdi. Ayrıca üçüncü taraf eklentilerle uyumluluğu korumak gerekiyordu. Birkaç farklı çözüm üzerinde çalışıldı ancak uzlaşma odaklı karar alma biçimi nedeniyle çalışmalar tekrar tekrar durdu ve başladı." açıklamasını ben yemiyorum. Bu kadar kritik açıklar için ne olursa olsun bu kadar yavaş davranmazsın. Hele ki AI firmaları bu açığı biliyorlarsa. Bu kadar kurum bu açıkları 2 aydır bilirken NSA falan bilmiyor mudur? Bence AI firmaları ve NSA gibi kurumlar o 2 ayda bu açığın içinden geçtiler. En az 2 ay. 1 senedir "bizim ajanımız da şuraları hacklemiş yaa" diye gerine gerine paylaşım yapan AI firmaları bu açığı hem keşfedip hem de kullanmamış olamazlar. NSA gibi kurumları zaten hiç söylemiyorum bile, işleri bu. Ki; OpenAI da kendi açıklamasında bu açıklar için "ABD hükümetinin birden fazla birimiyle, CISA'yla ve uluslararası ortaklarla koordinasyon kurduğunu" söylüyor, yani PHP Foundation'ın bu açıkları düzeltmesini beklemek yerine yaymışlar, Amerikan devlet kurumları bu açıkları biliyordu, uluslararası belirsiz kurumlar biliyordu, AI firmaları biliyordu, amaç "kritik sistemleri korumak ve savunma önlemlerini yayımlanmadan önce hazırlamak"mış. Yersen. "AI firmaları ve istihbarat servislerimizce el birliğiyle internetin içinden geçtik" diyemezler tabi.
Bizim fon krizine benzemiş biraz🙂. Bakan bir sene önceden haberimiz var diye açıklama yapıyor ama "nedense" bu bir senede bir şey yapılmıyor. Sonra bazıları erkenden haber alıp fondan çıkıyor. Bazıları az bazıları çok bazıları daha çok vurgun yapıyor. Olan inanan küçük yatırımcıya oluyor.
Dünden beri şunu düşünüyorum, abi yıllardır bir çok yazılımda açıkları var zaten, bu olay niye bu kadar küresel bir olaya dönüştü? Japonya Başbakanı bile açıklama yapmış.
1. Bu kritik bir açık.
2. PHP çok kullanılıyor.
3. Piyasadaki tüm PHP sürümleri etkileniyor.
@ozgurg Microsoft dünyada en çok kullanılan işletim sistemi. İnanılmaz açıklar da keşfediliyor. Bütün hükümetlerin offline olduğunu hiç görmedim. Üstelik işletim sistemine sızıldığında çok daha büyük riskler yok mu?
@erhanm Sunucuların çoğu Linux ve bir yerlerde illa PHP var. Bunlar sunucu olduğu için internete de açıklar. Memurun iş görmek için kullandığı Windows durumunda değiller, o memurun kullandığı yazılımın bağlandığı yer yani sunucu risk altında.
@ozgurg 🤗
@erhanm Ben de size katılıyorum; bu açığın inanılmaz derece sansasyonel bir haber hâline getirildiğini düşünüyorum. Microsoft tarafında çıkan açıkları bir kenara bıraksak bile, 2018 yılında işlemcilerde ortaya çıkan Meltdown ve Spectre krizleri bilişim tarihinin en sarsıcı donanım felaketleriydi. Etkilenen işlemci oranı neredeyse %90 ila %100 civarındaydı.
Onlar küresel ölçekte kıyas kabul etmez derecede devasa krizlerdi. Bence bu PHP konusunun yazılım dünyasında sanki onlardan bile büyükmüş gibi bu kadar köpürtülmesi oldukça abartılı.
Yine de şunun altını çizmek lazım: Açık kaynak kodlu sistemlerden korkmak yerine, ne yaptığı belirsiz kapalı kaynak yazılımlardan çekinmek çok daha mantıklı bir yaklaşımdır.
@nefrit Hayır. Meltdown ve spectre bunun yanında o kadar ciddi değil. PHP açığı remote code execution şeklinde çalışıyor. Yani isteyen websitesi üzerinden uzaktan sunucuda direkt kendi kodunu çalıştırabiliyor. Bununla her haltı yapabilirsin, tüm sunucuyu ele geçirebilirsin. IP adresini bilmen yeterli. Bundan daha kritik bir açık zor bulunur. Meltdown ve spectre'de saldırganın o bilgisayarda önce kod çalıştırmanın yolunu bulması gerekiyordu, yani önce o sistemi "hack"leyebilmesi gerekiyordu. Ondan sonra sistemdeki bellek verilerine ulaşılıyordu. PHP doğrudan sunucuda kod çalıştırılmasına izin veriyor yani tüm sunucuyu istediğin gibi uzaktan kullanabilirsin, Meltdown ve spectre'de önce hem o bilgisayara girmiş olman lazım, sonra da eline geçen sadece hassas bellek verileri, tam sistem kontrol değil. Tam tersine, PHP açığı kıyas kabul etmez derecede daha büyük.
@protego sen de 2 gün önce shitshow demiştin. Okudukça adamlar haklıymış beyler kıvamına gelmişsin 😀
@erhanm Yok. Yanlış anlama oldu galiba 😀 "organize şekilde kontrolsüz fiyasko" gibi bir anlamı var shitshow'un. Ben de o anlamda kullandım 🙂
@protego ben yanlış anlamışım 🙂
@protego Evet uzaktan kod çalıştırmanın doğrudan dışarıdan yetki vermesi teoride korkutucu görünebilir, ancak iş ölçek, mimari sarsıntı ve sistemik risk boyutuna geldiğinde Meltdown ve Spectre ile kıyaslanamaz bile.
PHP açığı sadece PHP kullanan belirli sunucuları etkilerken; Meltdown/Spectre dünyadaki işlemcilerin %90+ oranını, tüm bulut sağlayıcılarını, telefonları ve kişisel bilgisayarları evrensel olarak vurdu.
Meltdown’ın en korkunç yanı, aynı fiziksel makineyi paylaşan farklı müşterilerin sanal sunucu izolasyonunu delerek komşu makinelerin belleğini okuyabilmesiydi. Yani saldırganın sisteme ayrıca sızmasına gerek kalmadan, aynı bulut havuzunda komşu olman yeterliydi.
Meltdown ve Spectre'de birde işin çözüm maliyeti vardı: Bir PHP RCE açığı bir ini ayarıyla veya yama (update) ile anında kapatılabiliyor. Ancak Meltdown donanım hatası olduğu için OS çekirdeğine atılan ağır yamalar yüzünden dünyadaki milyonlarca sunucunun performansı kalıcı olarak %5-%30 düştü; şirketler sırf bu yüzden milyonlarca dolarlık ekstra donanım yatırımı yapmak zorunda kaldı.
Bu PHP açığı da evet bir açıktır; ama Meltdown ve Spectre küresel bilişim endüstrisinin temellerini sarsan donanımsal bir depremdi. İkisi aynı ligde bile değil.
@nefrit Uzun vadeli performans etkisi olarak Meltdown ve Spectre daha etkilidir o doğru, ona itirazım yok. Ama açık tehlikesi olarak PHP çok daha büyük bir şey. Kendin parolayla girdiğin sunucuna başkaları parolasız giriyor.
Yakında duyarız sitemizi ai hekledi.
Tüm müşterilerimize ai adına özürlerimizi sunarız .
Açığı kapatmak diyoruzda belkide çok temel bir mimari sorunu var ve düşündüğünüz gibi çözmek kolay değildir.
Bende de işin içinde düşman/rakip karşı devlet sorunu şüphesini uyandırdı. Senelerdir birilerinin, kendi ekiplerinin kullandığı bu açığı başka bir karşı devlet ekibinin de tespit edip, kullanmaya başladığını anladılar. Bu sebeple hemen kapatılması için işi hızlandırdılar.