güvenlik açıkları
Evvelsi gün, birçok web sitesi ve çevrimiçi hizmet tarafından kullanılan betik dili PHP’de iki kritik güvenlik açığı açıklandı: CVE-2026-109618 ve CVE-2026-109619. Saldırganlar bu açıkları, kimlik doğrulaması gerekmeden PHP çalıştıran herhangi bir sunucuda uzaktan komut yürütmek için kullanabiliyor. Bu istismar yöntemine PHP2Shell adı verildi.
PHP güvenlik ekibi 20 Ekim’de acil bir güncelleme yayınlanacağını duyurdu ve güvenlik açıklarını gideren yamaları hemen ertesi gün yayımladı.
Bu güvenlik açıklarının teknik ayrıntılarını daha önce ele aldık ve şirketlerin ve sunucu yöneticilerinin ne yapması gerektiğini açıkladık. Herhangi bir sunucu çalıştırmadığınız için bu haberi gönül rahatlığıyla atlamış olabilirsiniz; ancak ne yazık ki sorun yalnızca işletmelerle sınırlı değil.
Web sitelerinin yaklaşık %70’i PHP kullanıyor. Bunlar arasında her gün kullandığımız wiki’ler, çevrimiçi mağazalar, web arayüzüne sahip akıllı cihazlar, ev tipi ağa bağlı depolama (NAS) sistemleri, akıllı ev kontrol sistemleri ve çok daha fazlası bulunuyor.
Bugün bu güvenlik açıklarının sizi kişisel olarak nasıl etkileyebileceğini ve riskleri azaltmak için neler yapabileceğinizi açıklıyoruz.
Güvenlik açıkları ev kullanıcılarını nasıl etkileyebilir?
Hesapların ve kişisel verilerin çalınması
Güvenlik açığı, saldırganın sunucu belleğindeki kimlik doğrulama belirteçlerini (tokenları) çalmasına olanak tanır. Bu belirteçler, esasen elektronik geçiş kartları gibi çalışır ve web sitesine kullanıcının zaten oturum açmış olduğunu bildirir. Bunun sonucunda bir saldırgan, parola veya iki faktörlü kimlik doğrulama kodu girmeden başka bir kişinin hesabına erişebilir. Böylece mesajlar, belgeler, teslimat adresleri, sipariş geçmişleri ve diğer gizli bilgiler risk altına girebilir.
Ev cihazlarındaki dosyaların kaybedilmesi
Evinizde güvenlik açığı bulunan bir PHP sürümü kullanan ağa bağlı depolama (NAS) cihazı veya video gözetim sistemi varsa, o da risk altında olabilir. Saldırganlar elde ettikleri erişim düzeyine bağlı olarak erişebildikleri dosyaları kopyalayabilir, silebilir veya şifreleyebilir.
Kötü amaçlı yazılım bulaşması
Bir saldırgan güvenlik açığı bulunan bir web sitesine erişim sağlarsa siteyi neredeyse istediği şekilde kullanabilir: Ziyaretçileri kötü amaçlı bir dosya indirmeye veya kimlik avı bağlantısına tıklamaya ikna edebilir, tehlikeli talimatlar gösterebilir, ödeme formlarını veya oturum açma sayfalarını kötü amaçlı sürümlerle değiştirebilir ve çok daha fazlasını yapabilir. Bunun sonucunda meşru bir web sitesini ziyaret eden biri yalnızca hesabına erişimini kaybetmekle kalmayabilir, para kaybedebilir veya farkında olmadan cihazına kötü amaçlı yazılım bulaştırabilir.
Aşağıda güvenlik açıklarından doğrudan etkilenen bazı hizmetlere örnekler veriyoruz.
PHP güvenlik açıklarından hangi hizmetler etkileniyor?
Jeedom
Jeedom; kullanıcıların aydınlatmayı, sensörleri, ısıtmayı, panjurları ve evdeki IoT cihazlarını kontrol etmelerini sağlayan bir akıllı ev platformudur. Saldırganlar bunu birçok şekilde kötüye kullanabilir: Alarmı devre dışı bırakabilir, ev sahibinin ne zaman evde olmadığını takip edebilir, görüntülü kapı sisteminin kamerasına erişebilir ve daha fazlasını yapabilir.
Geliştiriciler yeni güvenlik açığının uygulamalarını etkilediğini doğruladı ve Jeedom 4.6.2 adlı acil bir güncelleme yayınladı. Güncellemenin çalışması için kullanıcıların onu iki kez çalıştırması gerekiyor. Geliştiricilere göre ev kullanıcıları için tamamen düzeltilmiş bir sürüm önümüzdeki günlerde yayınlanacak.
Her gün kullandığımız web siteleri
Yukarıda belirttiğimiz gibi, web sitelerinin yaklaşık %70’i PHP kullanıyor. Bu, hepsinin savunmasız olduğu anlamına gelmiyor: Risk, kullanılan PHP sürümüne ve site sahiplerinin güncellemeyi zaten yükleyip yüklemediğine bağlı. Avrupa’daki birçok devlet web sitesi yeni güvenlik açığı nedeniyle hizmetlerini şimdiden askıya aldı.
Ne yazık ki bir web sitesi normal çalışıyor gibi görünse bile savunmasız olabilir. Saldırgan, sunucusuna henüz yama uygulanmamış herhangi bir meşru web sitesinin kontrolünü potansiyel olarak ele geçirebilir. Ödeme veya oturum açma sayfalarının sahtelerini oluşturabilir, kötü amaçlı dosyalar barındırabilir ya da kullanıcıları gerçekte kötü amaçlı yazılım olan bir “acil güncellemeyi” indirmeye ikna edebilir.
Sıradan kullanıcıların bu tür talimatların veya dosyaların güvenli olup olmadığını güvenilir bir şekilde kontrol etmesi mümkün değildir. Bu nedenle güvenilir kimlik avı ve kötü amaçlı yazılım koruması kullandığınızdan emin olun. Verilerinizin çalınmış olabileceğinden şüpheleniyorsanız hesap ayarlarınızdan etkin oturumları kontrol edin. Şüpheli etkinlik veya tanımadığınız cihazlar görürseniz tüm etkin oturumları kapatın ve parolanızı değiştirin. Bir parola yöneticisi kullanın; ezberlemek zorunda kalmayacağınız, gerçekten güçlü ve benzersiz parolalar oluşturmanıza yardımcı olur.
Video oyunları
Oyuncular için kötü haber: Sunucularında PHP kullanan bazı video oyunları da risk altında. Saldırganların hesaplarınızı ele geçirmesini istemiyorsanız oyun platformlarınızın, mağazalarınızın ve hesaplarınızın parolalarını güncellediğinizden emin olun.
Güncellemeleri uygulamak için zaman kazanmak isteyen bazı geliştiriciler hizmetlerini geçici olarak çevrimdışı hale getirdi. Final Fantasy XIV, Pokemon Champions, Bandai Namco Entertainment oyunları, Uma Musume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond ve daha birçok oyun acil bakıma alındı. Nintendo Switch Online ile GOG ve Steam mağazaları da etkilendi.
Ne yazık ki daha ağır sonuçlar da yaşandı. Dün World Quest geliştiricileri, oyunun 15 yılın ardından tamamen kapatılacağını duyurdu: Oyun, düzeltilmesi son derece zor ve maliyetli olacak eski bir altyapıya dayanıyordu. Aynı nedenle mobil oyun Please Save My Pandemonium! da on yılı aşkın bir sürenin ardından kapatıldı.
Ev tipi ağa bağlı depolama (NAS)
“Ev bulutları” son yıllarda haklı olarak popüler hale geldi: Birçok kullanıcı verilerinin yedeklerini çevrimiçi ortam yerine evinde saklamayı tercih ediyor. NAS cihazları üreten çok sayıda şirket bulunuyor ve bunlardan en az üçü — QNAP, Synology ve ASUSTOR — güvenlik açıklarının kendi ürünlerini etkilediğini açıkladı. Ev sunucuları, ağ depolama sistemleri ve medya sunucuları için kullanılan Unraid işletim sistemi için de bir güncelleme yayımlandı.
QNAP
Üretici, güvenlik açıklarının NAS işletim sistemlerinin çeşitli sürümlerini — QTS ve QuTS hero — ve QuMagie, Note Station 3 ile QVR Surveillance uygulamasının belirli sürümlerini etkilediğini doğruladı. Başarılı bir saldırı; fotoğrafları, belgeleri, notları ve kamera kayıtlarını riske atabilir.
Yayın sırasında QNAP hâlâ güncellemeler üzerinde çalışıyordu; dolayısıyla temel öncelik NAS cihazını geçici olarak internetten ayırmak. QNAP; yönlendiricide port yönlendirmeyi devre dışı bırakmayı, NAS’ın otomatik olarak port açmasını engellemeyi ve yönetim paneline erişimi yalnızca ev ağından veya bir VPN üzerinden sağlamayı öneriyor.
Synology
Her iki güvenlik açığının da PHP 7.3, 7.4 ve 8.0–8.4 paketlerinin yanı sıra Mail Station ve Synology Calendar uygulamalarında bulunduğu resmen doğrulandı. PHP 7.4 ve üzeri sürümler ile Mail Station ve Synology Calendar için düzeltmeler yayımlandı. PHP 7.3 düzeltilmeyecek. Şirket ayrıca işletim sistemine entegre PHP bileşenine cihaz dışından erişilemediğini ve bu nedenle saldırı riskinin çok düşük olduğunu özellikle belirtiyor.
ASUSTOR
ASUSTOR da her iki güvenlik açığını resmen doğruladı ve PHP 7, 7.3, 7.4 ve 8.1 paketlerini App Central’dan hemen kaldırdı. Şirket; verilerinizi derhal yedeklemenizi, eski PHP paketlerini kaldırmanızı ve PHP 8.3 veya 8.4 kullanmanızı öneriyor.
Unraid
Bugün yayımlanan işletim sistemi güncellemesinde PHP, güvenlik açıklarına yönelik düzeltmeleri içeren 8.4.27 sürümüne yükseltildi. Geliştiriciler tüm kullanıcıların Unraid 7.3.4’e güncelleme yapmasını öneriyor. Kendi PHP kurulumuna sahip konteynerlerin ayrıca güncellenmesi gerekiyor: İşletim sistemindeki yeni PHP sürümü, konteynerlerin içindeki PHP kurulumunun yerini almıyor.
Yayın sırasında TerraMaster, UGREEN, Buffalo veya Western Digital gibi diğer büyük üreticilerin cihazlarının bu güvenlik açıklarından etkilendiğine dair herhangi bir kamuya açık doğrulama bulamamıştık; yalnızca forumlardaki kullanıcı tartışmalarına rastladık.
Ancak şu ana kadar yalnızca bazı NAS üreticilerinin sorunu doğrulamış olması, cihazlarınızın güvende olduğunu garanti etmez; özellikle de cihazlarınız oldukça eskiyse veya daha az bilinen ya da artık faaliyet göstermeyen bir üreticiden geliyorsa. Böyle bir durumda önce cihazları internetten ayırın ve yalnızca yerel ağdan erişilebilir halde tutun, ardından güvenlik açıklarından etkilenip etkilenmediklerini araştırın.
Nextcloud bulut depolama
Nextcloud, kendi bulut depolama alanınızı oluşturmanızı sağlayan ücretsiz ve açık kaynaklı bir platformdur ve Google Drive, Dropbox ve Microsoft OneDrive’a alternatif olarak kullanılabilir. Dosyaları cihazlar arasında saklamanıza ve senkronize etmenize, diğer kullanıcılarla paylaşmanıza ve belgeler, fotoğraflar, takvimler ve kişiler üzerinde çalışmanıza olanak tanır. Veriler, üçüncü taraf bir şirketin sunucuları yerine kendi sunucunuzda veya NAS cihazınızda saklanabilir.
Nextcloud’da önemli veriler saklıyorsanız bulut örneğinizin nasıl yapılandırıldığını kontrol edin. Nextcloud All-in-One kullanıyorsanız güvenlik açığının giderildiği 14.4.1 sürümüne güncelleyin.
Nextcloud kurulumunuz farklı şekilde yapılandırıldıysa cihaz veya sunucudaki PHP sürümünü kendiniz güncellemeniz gerekir.
Cihazlarınızı ve verilerinizi nasıl korursunuz?
- Kimlik avı ve kötü amaçlı yazılımlara karşı koruma kullanın. Güvenlik çözümümüz, saldırganlar bunları meşru web sitelerine yerleştirse bile kimlik avı sayfalarını ve kötü amaçlı yazılımları otomatik olarak engeller.
- Güncellemeleri takip edin. Ağa bağlı depolama cihazınız, akıllı ev sisteminiz, ev sunucunuz, medya sunucunuz veya web arayüzüne sahip başka bir cihazınız varsa önce üreticinin web sitesini kontrol edin ve mevcut tüm güncellemeleri yükleyin. Henüz güncelleme yoksa cihazın internet erişimini geçici olarak devre dışı bırakın.
- Güçlü parolalar kullanın. Çoğu kişi aynı parolayı veya onun farklı varyasyonlarını birden fazla web sitesinde yeniden kullanıyor. Saldırgan bu parolalardan birini güvenlik açığı bulunan bir sunucuda bulursa diğer hesaplarınızı da ele geçirebilir. Kimlik bilgilerinizi kendiniz ezberlemek zorunda kalmamanız için Kaspersky Password Manager içinde güçlü ve benzersiz parolalar oluşturup saklamanızı öneriyoruz. Tüm önemli hesaplarda iki faktörlü kimlik doğrulamayı etkinleştirdiğinizden emin olun — tercihen tek kullanımlık kodları aynı parola yöneticisi ile oluşturarak.
- Önemli dosyalarınızın çevrimdışı bir yedeğini saklayın. Yalnızca bulut depolamaya güvenmeyin — tüm önemli belgelerinizin bir kopyasını sabit diskte ve harici bir cihazda tuttuğunuzdan emin olun. Doğru şekilde yedekleme hakkında daha fazla bilgi için İnternet her şeyi tam olarak hatırlamıyor başlıklı yazımızı okuyun.
Ev cihazlarınız başka hangi risklerle karşı karşıya kalabilir? Yazılarımızı okuyun:
