22 Ekim Çarşamba günü PHP'de hacklenebilir bir güvenlik açığı olduğu haberi duyurulduğunda, çoğu kişi söz konusu kodlama dilini hiç duymamıştı. AJ Vicens'in raporuna göre PHP, tüm web sitelerinin kabaca yüzde 70'inin temelini oluşturuyor ve bu açıklama işletmeleri ve güvenlik ekiplerini telaşlandırdı. PHP güvenlik açığını ve nasıl güvende kalacağınızı merak ediyorsanız, kısa cevap şu: en etkili korumalar sizin ekranınızın bu tarafında gerçekleşir ve bunlar basittir.

Bildiklerimize dair bir not: kaynak makalenin mevcut metni kısa ve haberi yapay zekâyla hızlandırılmış hackleme üzerine daha geniş bir tartışma içinde çerçeveliyor. Bildirilenlerin ötesinde açığın teknik ayrıntıları hakkında spekülasyon yapmayacağız. Yapabileceğimiz şey, böyle bir hatanın sıradan kullanıcılar için neden önemli olduğunu ve hangi alışkanlıkların maruziyetinizi azalttığını açıklamaktır.

Bir PHP açığı neden gündelik kullanıcılara ulaşır

PHP sunucu tarafı bir dildir. Web sunucularının arka planında çalışır ve giriş yaptığınızda, alışveriş yaptığınızda veya haber okuduğunuzda gördüğünüz sayfaları oluşturur. Onu asla kurmazsınız ve asla görmezsiniz, ancak kullandığınız site onun üzerinde çalışıyorsa, PHP'deki bir zayıflık o sitede bir zayıflığa dönüşebilir.

Erişimin bu kadar geniş olmasının nedeni budur. Rapora göre PHP web sitelerinin kabaca yüzde 70'inin temelini oluşturduğundan, etkilenen havuz küçük işletme sitelerini, çevrimiçi mağazaları, blogları ve hesabınızın olabileceği hizmetleri içerir. Sorunu çözmek çoğunlukla yamaları uygulaması gereken site sahiplerinin ve barındırma sağlayıcılarının işidir. Başkasının sunucusuna yama uygulayamazsınız.

Kontrol edebileceğiniz şey, ele geçirilmiş bir sitenin size ne kadar zarar verebileceğidir. Kullandığınız bir site ihlal edilirse, sorular şunlardır: parolanız başka yerlerde de işe yarıyor mu, yalnızca çalınmış bir giriş bilgisi içeri girmek için yeterli mi ve genellikle ardından gelen takip dolandırıcılıklarına kanar mısınız?

Yapay zekâ hacklemeyi ve dolandırıcılıkları nasıl hızlandırıyor

Makalenin başlığı yapay zekâyla hızlandırılmış hacklemeye işaret ediyor ve endişe kolayca anlaşılır. Otomatik araçlar saldırganların savunmasız siteleri daha hızlı taramasına ve ölçekli olarak daha ikna edici mesajlar hazırlamasına yardımcı olabilir. Bir zamanlar beceriksiz ifadelerle kendini ele veren bir dolandırıcılık e-postası artık kusursuz okunabilir.

Kaynak makale, istenmeyen bağlantılar konusunda bir uyarı da dahil olmak üzere dolandırıcıların taktiklerine yönelik bir bölüm içeriyor. Pratik ders şu: artık kötü dilbilgisi veya bariz hataları fark etmeye güvenemezsiniz. Bunun yerine sürece güvenin: harekete geçmeden önce bir mesajın nereden geldiğini doğrulayın.

Kendinizi korumak için beş pratik adım

Bu alışkanlıklar, tamamı elimizde olmayan makalenin tam listesinin bir özeti değil, genel en iyi uygulamalardır. Bunlar, böyle bir güvenlik açığının yarattığı maruziyeti ele alır.

  1. Yazılımınızı güncel tutun. İşletim sisteminiz, tarayıcınız ve uygulamalarınız için otomatik güncellemeleri açın. Kendi web sitenizi veya PHP üzerinde çalışan WordPress tarzı bir blogunuzu yönetiyorsanız, platformu, eklentileri ve PHP sürümünü derhal güncelleyin ya da barındırıcınızdan yama uyguladıklarını teyit etmelerini isteyin.
  2. İstenmeyen bağlantılara karşı dikkatli olun. Tanıdık görünseler bile beklenmedik e-postalardaki, mesajlardaki veya iletilerdeki bağlantılara tıklamayın. Site adresini kendiniz yazın veya kayıtlı bir yer imi kullanın.
  3. Her hesap için benzersiz bir parola kullanın. Bir site ele geçirilirse, benzersiz bir parola hasarın yayılmasını önler. Bir parola yöneticisi bunu gerçekçi kılar.
  4. İki faktörlü kimlik doğrulamayı (2FA) açın. Bir parola sızsa bile, ikinci bir adım bir saldırganın içeri girmesini çok daha zorlaştırır. Kimlik doğrulayıcı uygulamalar veya donanım anahtarları genellikle kısa mesaj kodlarından daha güçlüdür.
  5. Takip dolandırıcılıklarına karşı tetikte olun. Yaygın olarak bildirilen bir açığın ardından, kullandığınız şirketlerden geldiğini iddia eden "güvenlik uyarıları" bekleyin. Sağlanan bağlantıyı kullanmak yerine doğrudan şirketin resmi sitesine veya uygulamasına gidin.

Bir VPN'in koruduğu ve korumadığı şeyler

Bir VPN, cihazınız ile VPN sunucusu arasındaki trafiğinizi şifreler; bu, aynı ağdaki diğer kişilerin etkinliğinizi gözlemleyebileceği genel Wi-Fi'de kullanışlıdır. Ayrıca IP adresinizi ziyaret ettiğiniz sitelerden gizleyebilir.

Yapmadığı şey, bir web sitesinin kodundaki bir açığı düzeltmektir. Savunmasız PHP çalıştıran bir sunucu ele geçirilirse, cihazınızdaki bir VPN bunu değiştirmez. Ayrıca bir kimlik avı sayfasına parolanızı girmenizi de engellemez. Bunu sınırlı bir katman olarak düşünün, bu tür bir soruna karşı bir kalkan olarak değil. Şifreleme ve gizlilik araçlarının neden hâlâ canlı bir politika tartışması olduğuna dair bağlam için, Chat Control 2.0'ın eleştirmenlere göre hâlâ AB şifrelemesini tehdit ettiğine dair haberimize bakın.

Bunun Sizin İçin Anlamı

Riskinizi azaltmak için PHP'yi anlamanıza gerek yok. Bu açıklama esas olarak, hesaplarınızın kontrol etmediğiniz sunucularda yaşadığının bir hatırlatıcısıdır. Herhangi bir sitenin bir gün ihlal edilebileceğini varsayın ve hesaplarınızı bir ihlalin felaket değil bir sıkıntı olacağı şekilde ayarlayın: benzersiz parolalar, 2FA ve beklenmedik bağlantılara karşı şüphecilik.

Bugün harekete geçin

Bunu okuduktan sonra başka hiçbir şey yapmasanız bile, şimdi şu üç şeyi yapın: bekleyen güncellemeleri yükleyin, e-posta ve bankacılık hesaplarınız için 2FA'yı açın ve yeniden kullanılan tüm parolaları değiştirin. Bir PHP güvenlik açığının ardından güvende kalmak bu gündelik alışkanlıklara dayanır. Genel Wi-Fi'ye sık sık bağlanıyorsanız bir VPN kullanın, ancak ona her derde deva değil, birçok katmandan biri olarak davranın.