PHP, Kritik RCE Zafiyetleri İçin Acil Yama Yayınladı
PHP, dilin kendisinde bulunan iki kritik zafiyet için acil güncellemeler yayınladı. Bu zafiyetler, bir saldırganın hesap sahibi olmadan web sunucusunda kod çalıştırmasına olanak tanıyor.
Özet: PHP, dilin kendisinde bulunan iki kritik zafiyet için acil güncellemeler yayınladı. Bu zafiyetler, bir saldırganın hesap sahibi olmadan web sunucusunda kod çalıştırmasına olanak tanıyor.
Bu haber, PHP dilinin kendisinde keşfedilen ve acil yama gerektiren iki kritik uzaktan kod çalıştırma (RCE) zafiyetini duyuruyor. Bu tür zafiyetler, web uygulamalarının temelini oluşturan dil seviyesinde olduğu için çok geniş bir etki alanına sahiptir. Zafiyetlerin aktif olarak istismar edilmeye başlandığı belirtiliyor.
Zafiyetlerin teknik detayları tam olarak açıklanmasa da, “PHP2Shell” olarak adlandırılması, muhtemelen PHP’nin yorumlama veya request işleme mekanizmalarındaki bir açıklıktan kaynaklandığını düşündürüyor. Bu tür RCE zafiyetleri genellikle input validation eksiklikleri, deserialization hataları veya memory corruption gibi nedenlerle ortaya çıkar. Saldırgan, özel hazırlanmış bir HTTP isteği ile sunucuda rastgele komutlar çalıştırabilir.
Canlı sistemlerde PHP kullanan tüm web sunucuları ve uygulamaları doğrudan risk altındadır. Bu zafiyetler, kimlik doğrulaması gerektirmeden kod çalıştırma yeteneği sunduğu için, saldırganların sistemlere sızması için çok kolay bir yol sağlar. Altyapı ekiplerinin, PHP versiyonlarını derhal güncellemeleri ve yama geçiş süreçlerini hızlandırmaları hayati önem taşır.
Güvenlik duvarları (WAF) ve intrusion detection/prevention sistemleri (IDS/IPS) bu tür saldırıları kısmen engelleyebilir, ancak en kesin çözüm PHP’nin güncel versiyonlarına geçmektir. Ayrıca, PHP uygulamalarının çalıştığı ortamların en az ayrıcalık (least privilege) prensibiyle yapılandırıldığından emin olunmalıdır.
🔗 Kaynak: The Hacker News
📡 Takip edilen kaynaklar ve akış: Radar