PHP açığında yama ve 503 kuralı: siteniz ne yapmalı?

PHP ekibi, saldırganların oturum açmadan site sunucusunda kod çalıştırmasına izin verebilen iki kritik açık için acil güncelleme çıkardı. Search Engine Journal'ın aktardığına göre düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde; PHP, tam çözen başka bir geçici önlem olmadığını, tek güvenli yolun güncelleme olduğunu belirtiyor.

Bu açık kimleri ilgilendiriyor?

PHP, site isteklerine yanıt veren tüm kurulumların risk altında olduğunu söylüyor; en yüksek risk Apache'de mod_php kullananlarda. TechCrunch, PHP'nin internetteki sitelerin yaklaşık yüzde 70'ini çalıştırdığını ve açıkların PHP 5'ten beri bütün sürümlerde bulunduğunu yazıyor. PHP 8.1 ve eski sürümler artık düzenli olarak desteklenmiyor; yine de ekip, kendi derleyenler için sınırlı kaynak kodu düzeltmeleri yayımladı.

Açıkları OpenAI'ın bir güvenlik ortağı ile Wiz ekibi yapay zekâ araçlarıyla buldu ve yamalar yayımlanmadan PHP ile birlikte çalıştı. TechCrunch'a göre OpenAI, bilinen bir saldırı olmadığını söylüyor; Wiz ise yapay zekânın saldırganlar için de bu tür açıkları sömürmeyi kolaylaştırdığı uyarısında bulunuyor.

Siteyi kapatmak gerekirse arama görünürlüğü ne olur?

Doğru kodla kapatırsanız sayfalarınız dizinde kalır. Google Search Central, PHP yamaları için sunucuyu kapatanlara 503 (Service Unavailable) durum kodu döndürmelerini hatırlattı; böylece zaten dizindeki adresler korunuyor, site yeniden 200 döndüğünde işler normale dönüyor. Genel 404 ya da hata sayfasını 200 koduyla göstermek ise önerilmiyor.

Burada bir tuzak var: 503'ün PHP çalışmayan bir katmandan, örneğin CDN kuralından ya da DNS ile yönlendirilen geçici bir sunucudan gelmesi gerekiyor. Google'ın tarama oranı belgesi, 503'ü bir iki günden uzun süre döndürmemeyi öneriyor; aynı adres birkaç gün boyunca bu kodu verirse dizinden düşebilir. robots.txt dosyası da 503 vermemeli, çünkü bu tüm taramayı engeller.

Türkiye'deki şirketler bu hafta ne yapmalı?

Kaynaklar Türkiye'ye özgü bir veri vermiyor; ancak PHP ile çalışan kurumsal siteler, e-ticaret mağazaları ve WordPress sayfaları aynı riski taşıyor. Web ve e-ticaret altyapınızı yöneten ekip ya da barındırma sağlayıcınızla şu adımları netleştirin:

• PHP sürümünüzü öğrenin (WordPress'te Araçlar > Site Sağlığı > Bilgi > Sunucu) ve barındırma sağlayıcınızdan düzeltilmiş sürüme geçmesini yazılı isteyin.
• PHP 8.1 ya da daha eski bir sürümdeyseniz yedek alın ve desteklenen bir sürüme geçişi planlayın; sağlayıcınızın ara dönem düzeltmesi sunup sunmadığını sorun.
• Hemen yama yapamıyorsanız siteyi çevrimdışı almayı değerlendirin ve bakım sayfasını PHP'den bağımsız bir katmandan 503 koduyla sunun; robots.txt normal yanıt vermeye devam etsin.
• Güvenlik duvarı kullanıyorsanız tüm ziyaretlerin ondan geçtiğini doğrulayın; Search Engine Journal'a göre bir WAF bazı saldırıları engelleyebilir ama yamanın yerini tutmaz.
• Yamadan sonra web kabuğu, tanımadığınız yönetici hesabı ve beklenmedik PHP dosyası değişikliği arayın; yama mevcut bir ele geçirilmeyi temizlemez.
• Acil durumda kimin yama yapacağını, kimin siteyi kapatacağını ve arama görünürlüğünü izleyen kişiyi baştan belirleyin. Kapanış süresince SEO ekibinizin Search Console'da tarama hatalarını izlemesi gerekir.