[PazarEki] Kara Ekim – Bölüm 4: Yama Yarışını Nasıl Kazanırız?

PHP2Shell duyurulduğunda NSA, FBI ve CISA’nın kurumlara verdiği tavsiye iki seçenekten ibaretti: Ya hemen yama yapın ya da sistemlerinizi çevrimdışı bırakın. Birleşik Krallık’ta 32 devlet hizmeti ikinci seçeneği tercih etti. Bir yapay zekâ modelinin bulduğu açığa karşı en güvenilir savunma, fişi çekmek oldu.

Bu tablo bir soruyu kaçınılmaz kılıyor: Açık bulmak bu kadar hızlanmışken, savunma tarafı nasıl yetişecek?

Bu yazının amacı yapay zekâyı bu hikâyenin kötü karakteri ilan etmek değil. Bu dosyanın ilk bölümünde gördüğümüz gibi, on yıldır saklı kalan bir açığı gün yüzüne çıkaran da yapay zekâydı. Asıl soru, bu gücün savunmanın lehine nasıl çalıştırılacağı.

Koordinasyon: Açığı kim, ne zaman öğrenmeli?

Kara Ekim’in en çok tartışılan yanlarından biri zamanlamaydı. Ayrıntılar planlanan tarihten önce sızdı, yamalar bir gün erken çıktı ve Amazon’un tespitlerine göre ilk istismar denemeleri duyurudan dört gün önce başlamıştı.

OpenAI, olayın ardından bu tür durumlar için beş aşamalı bir çerçeve önerdi. Önce açık doğrulanıyor ve kaynağında düzeltiliyor. Ardından etkilenen kuruluşlara hazırlanmaları için süre tanınıyor ve devlet kurumları sürece dâhil ediliyor. Sonraki adımda bu yazılımı kullanan ürünler için güncellemeler hazırlanıyor. Yama çıktıktan sonra da kurumlara yol gösteren rehberler yayımlanıyor. Çerçevenin dikkat çeken bir ayrıntısı, erken bildirimi kimin alacağına şirketin değil yazılımın bakım sorumlularının karar vermesi.

Bu yaklaşım yeni değil. Güvenlik dünyası onlarca yıldır “koordineli açıklama” ilkesiyle çalışıyor. Yeni olan, bu sürecin artık çok daha fazla açık için ve çok daha kısa sürede işletilmesi gerekecek olması. OpenAI’ın beklentisi doğruysa ve yapay zekânın bulduğu kritik açıkların sayısı önümüzdeki aylarda keskin biçimde artarsa, bugün PHP için kurulan koalisyon gibi yapıların istisna değil kural hâline gelmesi gerekecek.

Test etmek yetmiyorsa: Kanıtlamak

Kara Ekim’le aynı günlerde daha az ses getiren ama uzun vadede belki daha önemli bir gelişme yaşandı. Anthropic ve biçimsel yöntemler alanında çalışan Theorem şirketi, Claude’un 123 açık kaynak kütüphanenin belirli koşullarda çökmeyeceğini matematiksel olarak kanıtladığını açıkladı.

Bunun neden önemli olduğunu anlamak için yazılımın bugün nasıl denetlendiğine bakmak gerekiyor. Yaygın yöntemlerden biri, yazılıma milyonlarca rastgele girdi gönderip çöküp çökmediğine bakmak. Bu yöntem çok işe yarıyor ama bir sınırı var: Denemediğiniz girdiyi bilemezsiniz. PHP2Shell gibi on yıl saklı kalan açıklar, tam da bu boşlukta yaşıyor.

Biçimsel doğrulama ise farklı bir soru soruyor. “Bu girdilerle çöktü mü?” yerine “Hiçbir girdiyle çökebilir mi?” Cevap, bir bilgisayarın denetleyebildiği matematiksel bir kanıt. Claude birkaç hafta içinde 123 kütüphanedeki 239 giriş noktası için bu kanıtları üretti. Kanıtların toplam uzunluğu yaklaşık 180 milyon satıra ulaşıyor. Süreçte, trilyonlarca test çalıştırmasının kaçırdığı yüzlerce hata da ortaya çıktı ve düzeltildi.

Anthropic, kanıtların kütüphanelerin tamamen hatasız olduğu anlamına gelmediğini özellikle vurguluyor. Kanıtlar belirli bir işlemci, işletim sistemi ve bellek koşulunu varsayıyor. Yine de yön değişiyor. Yapay zekâ hata bulmayı ucuzlattıysa, aynı yapay zekâ hatasızlığı kanıtlamayı da ucuzlatabilir. Theorem’in bu süreci uygun açık kaynak projeler için ücretsiz yürütmeyi teklif etmesi, bu yöntemin yalnızca dev şirketlerle sınırlı kalmayabileceğini gösteriyor.

Para mı, araç mı?

Dosyanın ikinci bölümünde PHP Vakfı’nın tek bir tam zamanlı çalışanla yürüdüğünü konuşmuştuk. Savunmanın en zayıf halkası teknoloji değil, insan kaynağı.

OpenAI’ın Daybreak aracına kaynakları kısıtlı kuruluşlar için 1 milyar dolarlık sübvanseli erişim taahhüdü bu açıdan değerli. Ama bir aracı ücretsiz vermek ile o aracın bulduğu açıkları kapatacak insanları finanse etmek aynı şey değil. Açık kaynak projelerin bakımcılarına doğrudan ve düzenli destek sağlanmadıkça, daha güçlü araçlar daha uzun yapılacaklar listesi anlamına gelebilir.

Burada devletlere de rol düşüyor. Kara Ekim’de kendi sitelerini kapatmak zorunda kalan bakanlıklar, belediyeler ve hastaneler, aslında bu yazılımların en büyük kullanıcıları. Kritik açık kaynak altyapıyı yol, köprü ya da elektrik şebekesi gibi bir kamu altyapısı olarak görmek ve bütçe ayırmak, artık bir lüks değil.

Peki ne yapmalı?

Büyük resim bir yana, bu dosyayı okuyanların önemli bir kısmının bir web sitesi var ya da bir sitenin yönetiminde söz sahibi. WordPress kullanan bir blog, küçük bir e-ticaret mağazası, bir dernek sayfası… Bugünden atılabilecek adımlar karmaşık değil:

• PHP sürümünüzü öğrenin. WordPress kullanıyorsanız yönetim panelinde Araçlar menüsündeki Site Sağlığı bölümünün Bilgi sekmesinde, Sunucu başlığı altında PHP sürümünüzü görebilirsiniz.
• Yamalı sürümde olduğunuzdan emin olun. Güvenli sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 ile bunların sonrası. Sürümünüz bunlardan eskiyse barındırma firmanızla hemen iletişime geçin.
• 8.2’den eski bir sürüm kullanıyorsanız durum daha ciddi. PHP Vakfı bu sürümler için yama yayımlamıyor. Ya sağlayıcınızın kendi yamasını uyguladığından emin olun ya da sürüm yükseltmesini planlayın.
• Bir web uygulaması güvenlik duvarı kullanın. Cloudflare gibi hizmetlerin ücretsiz planları bile PHP2Shell’e karşı koruma kurallarını otomatik olarak devreye aldı.
• Yedeklerinizi kontrol edin. Bir saldırı durumunda sitenizi temiz bir yedekten geri yükleyebilmek, en ucuz sigortadır.
• Kullanmadığınız eklenti ve temaları kaldırın. Her ek yazılım, saldırganlar için ek bir kapı demek.
• Ulusal uyarıları takip edin. Türkiye’de Ulusal Siber Olaylara Müdahale Merkezi USOM, kritik açıklarla ilgili duyurular yayımlıyor.

Siteniz yoksa ve yalnızca internet kullanıcısıysanız, PHP2Shell için sizin tarafınızda kurulacak bir yama yok. Ama bu tür büyük güvenlik olaylarının ardından dolandırıcılık girişimleri artar. “Hesabınız tehlikede, hemen şifrenizi güncelleyin” diyen beklenmedik e-postalara ve mesajlara karşı her zamankinden dikkatli olmakta fayda var.

Hesap verebilirlik kimde?

Kara Ekim’in bize bıraktığı en önemli soru teknik değil. Yapay zekâ modelleri artık kritik açıkları bulabiliyor, istismar edebiliyor ve test ortamlarında görüldüğü gibi zaman zaman sınırları zorlayabiliyor. Bu modelleri geliştiren şirketler, bulguları koordine eden ve savunma araçları sunan taraf olarak da öne çıkıyor. Yani hem sorunun kaynağına hem de çözümün sağlayıcısına aynı şirketler aday.

Bu durum kendi başına kötü değil. Ama bu kadar güçlü bir konumun şeffaflık ve dış denetimle dengelenmesi gerekiyor. Hangi açıkların kime, ne zaman bildirildiği; hangi modellerin kimlerin kullanımına açıldığı; test ortamında yaşanan aksaklıkların ne kadar hızlı paylaşıldığı… Bu soruların cevapları yalnızca şirketlerin iyi niyetine bırakılamaz.

Yama yarışını tek bir hamleyle kazanmak mümkün değil. Daha iyi koordinasyon, daha güvenli yazılım üretme yöntemleri, açık kaynağa gerçek destek ve küçük site sahiplerinin bile atabileceği basit önlemler bir araya geldiğinde, açık bulma ile açık kapatma arasındaki makas daralabilir. Kara Ekim bu makasın ne kadar açılabileceğini gösterdi. Önümüzdeki aylar, onu kimin ve nasıl kapatacağını gösterecek.

Kaynaklar

• NSA, FBI ve CISA – PHP2Shell’e ilişkin ortak uyarı
• OpenAI – Beş aşamalı açık yanıt çerçevesi ve Daybreak taahhüdü
• Anthropic ve Theorem – 123 açık kaynak kütüphane için biçimsel doğrulama çalışması
• PHP – Güvenlik sürümleri duyurusu
• Wired – PHP Vakfı yamalarının kapsamı
• Cloudflare – PHP açıklarına karşı WAF önlemleri
• Amazon Web Services – PHP2Shell istismar denemelerinin tespiti
• USOM – Ulusal Siber Olaylara Müdahale Merkezi duyuruları
• dijitaliyidir – OpenAI, PHP2Shell Açıklarını Bulan Koalisyona Liderlik Etti: Beş Aşamalı Savunma Planı
• dijitaliyidir – Claude, 123 Açık Kaynak Kütüphanenin Çökmeyeceğini Matematiksel Olarak Kanıtladı
• dijitaliyidir – PHP Vakfı’nda Tek Tam Zamanlı Çalışan Var: Web’in Büyük Kısmı Buna Emanet
• dijitaliyidir – FBI’dan PHP2Shell Uyarısı: Yapay Zekâyla Bulunan Açıklar İçin Acil Yama Çağrısı