PHP güvenlik açıklarına yönelik saldırılar günler önce başladı

PHP programlama dilinde tespit edilen iki kritik güvenlik açığı, kamuoyuna duyurulmadan önce istismar edilmeye çalışıldığı ortaya çıktı. Amazon Web Services (AWS) araştırmacıları, bu açıkları hedef alan ilk saldırı girişimlerinden birinin 17 Ekim'de, yani duyurudan dört gün önce tespit edildiğini bildirdi. Açıkların 21 Ekim'de kamuya duyurulmasının ardından, saldırı girişimlerinin internet genelinde hızla yayıldığı ifade edildi.

Saldırılar güvenlik yamalarından önce başladı

Araştırmacılar, bu durumu incelemek amacıyla kasıtlı olarak savunmasız bırakılan sistemlerden oluşan bir honeypot (tuzak sunucu) kullanarak geriye dönük analiz yaptılar. Saldırı girişiminin, AWS'nin ticari bir anonimleştirme ağıyla bağlantılı bir IP adresinden geldiği belirtildi. Bu tür ağlar, gerçek bağlantı kaynağının gizlenmesine olanak tanıyarak saldırganların izini sürmeyi zorlaştırıyor.

AWS Bilgi Güvenliği Direktörü CJ Moses, saldırının duyurulmadan önce anonim bir IP adresi üzerinden gerçekleştirilmesinin, bir tehdit aktörüne işaret ettiğini vurguladı. Ancak saldırganın bu açıkları nasıl öğrendiği konusunda henüz net bir bilgi bulunmuyor.

PHP2Shell saldırıları yayılıyor

Araştırmacılar, resmi açıklama öncesinde honeypot sistemlerine birden fazla istismar girişimi yapıldığını tespit etti. Farklı anonimleştirme sağlayıcıları üzerinden gelen bu girişimler, farklı saldırı amaçlarına işaret ediyor ve birden fazla tehdit aktörünün açıkları hedef almış olabileceğini gösteriyor. Ancak, tespit edilen her girişimin gerçek sistemlerde başarılı olup olamayacağı henüz kesinleşmiş değil.

AWS, saldırıların teknik analizinin devam ettiğini ve tüm girişimlerin başarıya ulaşıp ulaşamayacağının bilinmediğini belirtiyor. CJ Moses, PHP2Shell açıklarının artık internet genelinde yaygın olarak istismar edildiğini ve bu nedenle savunmasız PHP sistemlerinin belirlenip güvenlik yamalarının uygulanmasının önem taşıdığını ifade etti.

Saldırı girişimleri milyonları aştı

Cloudflare'e göre, PHP güvenlik açıklarına yönelik saldırı girişimleri şu anda milyonları aşmış durumda. Geçmişte, saldırganlar güvenlik açığına ilişkin teknik ayrıntıların veya çalışan bir kavram kanıtı kodunun yayımlanmasını bekliyordu. Ancak günümüzde yapay zeka destekli analiz araçları sayesinde bu bağımlılık ortadan kalkmış durumda.

Yapay zeka, bir güvenlik yamasındaki kod değişikliklerini veya yayımlanan teknik duyuruları inceleyen saldırganların, açığın nasıl istismar edilebileceğini daha kısa sürede anlamasını sağlıyor. Böylece, gelişmiş teknik bilgiye sahip olmayan kişiler bile daha önce uzmanlık gerektiren saldırı yöntemlerini geliştirebiliyor.

Moses, bir güvenlik yamasının yayımlanmasıyla çalışan bir istismar yönteminin geliştirilmesi arasındaki sürenin giderek kısaldığını belirtiyor. Yapay zeka destekli analiz, saldırganların teknik ayrıntıların açıklanmasından sonra saatler, hatta dakikalar içinde harekete geçmesini mümkün kılıyor. Bu durum, siber güvenlik alanında ciddi tehditler oluşturuyor.