İki kritik güvenlik açığı site yöneticilerini alarma geçirdi

Aynı anda ortaya çıkan iki ciddi web güvenlik açığı, PHP tabanlı siteleri çalıştıran yöneticileri yamaları hızla uygulamaya itiyor.

Aynı anda iki ciddi web güvenlik açığı ortaya çıktı ve yöneticiler bunlara karşı acele ediyor. Birincisi PHP'de bulunan ve 9,2 üzerinden 9,2 puanla derecelendirilen uzaktan kod çalıştırma açığı. PHP Foundation, 5 sürümünden (2004) itibaren her PHP sürümünde bulunduğu bildirilen bu hatanın, WordPress, Drupal ve MediaWiki gibi sitelerin barındırıldığı sunucularda saldırganların kendi kodunu çalıştırmasına olanak tanıdığını belirtiyor. Vakfın, yamaların belirli bir tarihte yayımlanacağını açıkladığı bildirildi.

İkinci sorun bir sertifika yetkilisiyle ilgili. eMudhra'nın ara sertifika yetkilisi sertifikalarından sekizi, beklenen 384 bit yerine yalnızca 4 ila 237 boyutunda anahtarlara dayanıyor. Bu durum, özel anahtarların kolayca yeniden hesaplanabilmesi ve kimlik bilgilerinin sahtelenebilmesi anlamına geliyor. Mozilla, Google ve Apple sertifikaları engelledi, eMudhra ise bunları iptal etti. Ancak bir macOS yardımcı programı, iptal durumunu kontrol etmediği için bu sertifikalara hâlâ güvenmeye devam edebilir.

Uzmanlar riskin VPN'lere ve IoT cihazlarına kadar uzandığı konusunda uyarıyor. Kriptograf Filippo Valsorda ise temizlik çalışmasının 2014'teki Heartbleed olayından daha büyük olacağını öngörüyor.