Kripto para dünyasında tanınan isimlerden CZ (Zhao), bazı web sitesi yöneticilerinin güvenlik güncellemelerini geciktirmesi nedeniyle kullanıcıları uyardı. Ele geçirilen sitelerin, kullanıcı bilgilerini çalmak veya cihazları hedef almak amacıyla kullanılabileceği belirtildi.
PHP Foundation tarafından yapılan açıklamaya göre, tespit edilen iki kritik güvenlik açığı, belirli koşullar altında saldırganların sunucularda yetkisiz kod çalıştırmasına imkan tanıyor. Bu sorunların, web sitelerinin arka plan işlemlerinde kullanılan yazılımlardaki bellek yönetimi ve hata işleme mekanizmalarından kaynaklandığı ifade edildi.
Güvenlik açıklarına ilişkin bilgilerin beklenenden önce kamuoyuna sızması, PHP ekibinin güncelleme takvimini değiştirmesine neden oldu. Planlanan 22 Ekim güvenlik sürümleri, bir gün erken yayımlandı. Kuruluş, açıklamalarda belirtilen 10 üzerinden 10'luk tehlike puanının yanlış olduğunu, doğru puanın 9,2 olduğunu bildirdi.
PHP Foundation, düzeltmelerdeki gecikmede karar alma süreçlerindeki zorluklar ve kaynak yetersizliğinin etkili olduğunu kabul etti. Güvenlik ekibinin çalışma yöntemlerinde değişiklikler yapıldığı da duyuruldu. ABD Ulusal Güvenlik Ajansı ve Federal Soruşturma Bürosu da PHP kullanan sistem yöneticilerine güncellemeleri uygulama çağrısı yaptı. Güncellemenin hemen yapılamadığı durumlarda, etkilenen sistemlerin çevrimdışı bırakılması önerildi. Güvenlik şirketi Cloudflare ise açıklıklar kamuya duyurulmadan önce güvenlik duvarı korumalarını devreye aldığını belirtti.
Bu uyarılar, tüm kripto platformlarının aynı açıktan etkilendiği anlamına gelmiyor. BNB Chain yöneticisi Nina Rong, ağın teknik altyapısında PHP kullanılmadığını açıkladı. Merkeziyetsiz borsa PancakeSwap da altyapısında PHP bulunmadığını ve kullanıcı fonlarının güvende olduğunu bildirdi.
CZ, PancakeSwap'ın açıklamasını paylaşarak diğer projelerin de sistemlerinin durumu hakkında bilgi vermesi gerektiğini vurguladı. Bu durum, platformların kullandığı altyapı ve güncellemeleri uygulama durumlarının risk değerlendirmesinde öne çıkmasını sağladı. İki açığı gideren PHP sürümleri 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak duyuruldu. PHP Foundation, yazılımı kullanan sistemlerin gecikmeden güncellenmesi gerektiğini yineledi.
