Son iki ayda, web sitelerini ve uygulamalarını çalıştırmak için kullanılan açık kaynaklı programlama dili PHP’deki kritik güvenlik açıklarını gidermek üzere bakım sorumluları, araştırmacılar ve güvenlik sağlayıcılarından oluşan bir koalisyona öncülük ettik. Calif, Patch the Planet(yeni bir pencerede açılır) girişimimiz kapsamında GPT‑5.6 Sol kullanarak kritik bir açık tespit etti. Wiz de her iki açığı bağımsız olarak keşfedip bildirdi. PHP’nin bakım sorumluları düzeltmelere ve sürümün yayımlanmasına öncülük etti. Ekiplerimiz ile Wiz, Cloudflare gibi ortaklarımız ise açıklama öncesinde koruma önlemleri hazırlamak için araştırma, teknik destek ve koordinasyon sağladı.
PHP kullanan kuruluşlar için şu an öncelik, düzeltmeleri uygulamak. Codex becerisi olarak bir PHP sürüm denetleyicisi paylaşıyoruz.(yeni bir pencerede açılır) Bu araç, sistem yöneticilerinin potansiyel olarak savunmasız PHP sürümlerini belirlemesine ve PHP ile sağlayıcılarının yönergeleri doğrultusunda hangi güncellemelerin gerektiğine karar vermesine yardımcı oluyor.
Bu açıkların ciddiyeti ve PHP’nin yaygın kullanımı nedeniyle bunu yakın geçmişin en geniş etkili güvenlik sorunlarından biri olarak görüyoruz. Bu durum, yapay zekanın internet ölçeğinde etkisi olan güvenlik açıklarını ortaya çıkarabildiğini gösteriyor. Ancak aynı yetenekler, saldırganların hızla saldırı araçları ve açık istismarları geliştirmesine de yardımcı olabilir.
Bildiğimiz kadarıyla, en üst seviye yapay zeka bu açıkları saldırganlardan önce buldu. Böylece bakım sorumluları ve güvenlik sağlayıcıları için açıklama öncesinde düzeltme ve koruma hazırlayabilecekleri bir Savunmacı Fırsat Penceresi açıldı.
Daha fazla savunmacının bu yeteneklerden yararlanması için Ön Saflardaki Savunmacılar için Daybreak programıyla 1 milyar dolarlık sübvansiyonlu Daybreak erişimi sağlamayı taahhüt ettik. Program, sınırlı güvenlik kaynaklarıyla temel hizmetleri koruyan kuruluşlara odaklanıyor.
Bu hatalar önemli olsa da şimdiye dek bulduğumuz ve gidermek için çalıştığımız ciddi açıkların yalnızca bir kısmını oluşturuyor. Önümüzdeki aylarda benzer bulguların hızla artmasını bekliyoruz. Şimdiye kadarki deneyimimizden yola çıkarak, yaygın kullanılan yazılımlardaki kritik açıklara müdahale için yapay zeka çağına uygun bir yaklaşım öneriyoruz. Güvenlik topluluğunu bu çerçeveyi geliştirmeye davet ediyoruz. Bu yaklaşım; modellerimizi, güvenlik uzmanlığımızı ve bakım sorumlularını bir araya getirerek bulguları korumaya dönüştürmeyi ve yapay zeka geliştikçe ölçeklenebilen bir müdahale süreci kurmayı amaçlıyor.
Bir düzeltmeyi kullanıma almak; eski sürümlere uyarlama, sağlayıcıların risk azaltma önlemlerini hazırlaması ve birçok kuruluşta sistemlerin güncellenmesi anlamına gelebilir. Tekrarlanabilir bir süreç, daha fazla açık keşfedildikçe bu ekiplerin hızla harekete geçmesini sağlar.
Patch the Planet aracılığıyla PHP’ye yönelik müdahaleyi güvenlik uzmanlığı ve model erişimiyle destekledik. Düzeltmeleri test etmek ve yönergeler hazırlamak için bakım sorumluları ve araştırma ortaklarıyla çalıştık. Etkilenen sistemlerin korunması için altyapı sağlayıcılarıyla koordinasyona da destek olduk. Yönergelerin kritik kuruluşlara ulaşması için kamu siber güvenlik kurumlarıyla iletişim kurduk. Bu çalışmalar, bakım sorumlularının liderliğindeki müdahaleyi destekledi ve diğer savunmacıların hazırlanmasına yardımcı oldu.
Bazı bulgularda araştırmacılar, sorunu inceleyip düzeltme geliştirmek için doğrudan yazılımın bakım sorumlularıyla çalışabilir. Diğerleri ise birçok ürünü etkilediği veya dağıtıcılarla hizmet sağlayıcılarının güncelleme ve koruma hazırlamak için zamana ihtiyacı olduğu için daha geniş bir müdahale gerektirir. En üst seviye yetenekler, yaygın erişime açık olanlardan çok ileride değilse bu süre kısıtlı olabilir. Bu durumlarda önerilen çerçeve, bakım sorumlularının kimlerin katılması gerektiğini belirlemesine ve çalışmaları koordine etmesine yardımcı olabilir. Müdahale beş aşamadan oluşabilir:
Kaynak projedeki açığı doğrulayıp düzeltin. Bakım sorumlusu, araştırmacılar ve temel teknik ortaklar bulguyu doğrular, etkisini değerlendirir, bir düzeltme geliştirip test eder. Bu süreçte, yamayı aşma yollarını ve açığın benzer varyantlarını aramak için en üst seviye modellerle saldırgan bakış açısıyla testler yapılır.
Etkilenen kuruluşlara harekete geçmeleri için zaman tanıyın. Koruma hazırlamak için hangi kuruluşların önceden bilgilendirilmesi gerektiğini değerlendiren bir çerçeve öneriyoruz. Kimlerin sürece katılacağına ise bakım sorumluları karar veriyor. İletişim, bilgi paylaşımı anlaşmaları ve ekipler arası koordinasyona destek oluyoruz. Bir dağıtıcı düzeltmeyi eski bir sürüme uyarlayabilir, barındırma sağlayıcısı bir risk azaltma önlemini test edebilir, güvenlik sağlayıcısı ise web uygulaması güvenlik duvarı (WAF) kuralları dahil tespit veya önleme tedbirleri hazırlayabilir.
Kritik sistemleri korumak için kamu ortaklarıyla koordinasyon sağlayın. Kamu kurumları, geniş çaplı müdahalenin koordinasyonunda ve güvenlik yönergelerinin kritik altyapı ile diğer temel hizmetlerden sorumlu kuruluşlara ulaştırılmasında hayati rol oynar. PHP özelinde, bu çabayı desteklemek için ortaklarımızla birlikte ABD hükümetinin Beyaz Saray Süper Zeka Gücü, Ulusal Siber Direktörlük Ofisi (ONCD), Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) dahil çeşitli birimleriyle ve uluslararası ortaklarla iletişim kurduk.
Etkilenen tüm ürünler için güncellemeler hazırlayın. Düzeltme, yönergeler ve açıklama planları netleştikçe bakım sorumluları; güncellemeleri hazırlamak ve kapsam eksiklerini gidermek için daha fazla dağıtıcıyı, barındırma ve hizmet sağlayıcısını, müdahale ekibini ve sistem yöneticisini sürece katabilir.
Yama hazır olduğunda yönergeleri yayımlayın ve uygulanmasını destekleyin. Kamuya açık yönergeler; maruz kalınan riski değerlendirmeyi, yetkili kaynaklardan güncelleme veya geçici önlem bulmayı ve düzeltmenin devrede olduğunu kontrol etmeyi kolaylaştırır. Sistem yöneticileri güncellemeleri uygulayıp nerede desteğe ihtiyaç duyduklarını bildirirken müdahale de sürer.
Önerilen çerçeve; kuruluşun kendi sistemlerini ve müşterilerini korumak dahil koruyucu rolünü, harekete geçmek için gereken süreyi ve hassas bilgileri yönetme becerisini dikkate alır. Benzer kuruluşlara aynı ölçütler uygulanır; açıklama öncesinde kimlerin sürece katılacağına bakım sorumluları karar verir.
Her katılımcı, koruma çalışmaları için gereken bilgileri alır. Bunlar, ihlal göstergeleri içeren ağ günlüklerinden daha hassas olan, çalışır durumdaki kavram kanıtı istismar kodlarına kadar uzanabilir. Sınırlı ayrıntılar bile bir açığı ortaya çıkarabilir. Bu yüzden paylaşım riskini, mümkün kıldığı korumayla birlikte değerlendiriyoruz.
Bu çerçeveyi izleyen ekipler, savunmacılara hazırlık süresi tanımak için bakım sorumlularıyla çalışır. Açığın gerçek saldırılarda kullanılması, bilgi sızıntısı, açığı ele veren herkese açık bir yama veya düzeltmenin gecikmesiyle kullanıcı riskinin artması halinde takvimi yeniden değerlendirir.
Patch the Planet web sitesi(yeni bir pencerede açılır), sistem yöneticilerinin etkilenen sistemleri belirlemesi, doğru güncellemeyi bulması ve güncellenen yazılımın düzgün çalıştığını doğrulaması için kamuya açık duyuruları ve yönergeleri bir araya getiriyor. PHP için bakım sorumlularının resmî yama ve yükseltme talimatlarına ve ortaklarımızın teknik araştırmalarına yönlendiriyor. Yönergeler; geçici risk azaltma önlemlerini, ne zaman bir sağlayıcı veya uzmana başvurulacağını, yedekleme ve kurtarmayı da kapsıyor. Geçici korumalar riski azaltabilir; ancak sınırlarını ve operasyonel açıdan gerektirdiği ödünleri açıkça belirteceğiz.
Sistem yöneticileri, maruz kalma düzeyi, istismar durumu ve olası etkiye göre ne kadar hızlı hareket edeceklerini değerlendirmek için CISA’nın önceliklendirme ve giderme yönergelerini(yeni bir pencerede açılır) kullanabilir. Bu; acil yama, derhal risk azaltma veya planlı güncelleme anlamına gelebilir. Gerektiğinde sistemlerin zaten ele geçirilip geçirilmediğini değerlendirmek için adli ön inceleme de yapılır. Koşullar değiştikçe öncelikler yeniden değerlendirilmeli, kalıcı çözüme giden yol net olmalıdır.
Küresel koordinasyon, yazılımın bakımını üstlenen insanlara bağlıdır. Birçok proje, rutin geliştirme çalışmalarının yanı sıra güvenlik raporlarını da inceleyen küçük ekiplerce yürütülüyor. Bu ekiplerin yeni sorunları mükerrer bildirimlerden ayırmak, etkiyi değerlendirmek ve desteklenen sürümlerde düzeltmeleri test etmek için yardıma ihtiyacı var. Bu çalışmaları finansman, yetkin modellere erişim ve doğrudan mühendislik desteğiyle destekliyoruz.
Sektör genelinde güçlü yapay zeka yetenekleri gelişiyor. Yapay zekanın savunmacılara açıkları bulma, sistemleri izleme ve tehditlere müdahale etme konusunda giderek daha fazla yardımcı olmasını bekliyoruz. Savunmacıların bu yetenekleri kullanabilmesi için modellere, araçlara ve ortaklıklara yatırım yapıyoruz.
Yatırımlarımız arasında Açık Kaynak için Codex aracılığıyla tüm bakım sorumlularına sağlanan abonelikler ve bakım sorumluları ile teknik çalışmaları desteklemek üzere Rust Vakfı(yeni bir pencerede açılır) gibi projelere doğrudan sponsorluk yer alıyor. Her proje kendi önceliklerini belirliyor. Yeniden kullanılabilir testler ve güvenlik iş akışları, gelecekteki bulguları ele almak için gereken çabayı azaltabilir. Açık kaynak projeleri, doğrudan destek almak için Patch the Planet’e başvurabilir(yeni bir pencerede açılır).
Kötüye kullanım olasılığını azaltmak için Daybreak’e yönelik ek engelleme sınıflandırıcılarını da kalibre ediyoruz. Bu, zor denge kararları gerektiriyor: Kötüye kullanımı önlemeyi amaçlayan güvenlik önlemleri, meşru güvenlik çalışmalarını da engelleyebilir. Hem yetkin modellere geniş erişim hem de kötüye kullanıma karşı etkili koruma kritik öneme sahip. Amacımız, zararlı kullanımı sınırlarken savunmacıların açıkları bulup düzeltmek için ihtiyaç duyduğu yetenekleri korumak. Yetenekler geliştikçe ve bu araçların kullanımından dersler çıkardıkça bu dengeyi iyileştirmeyi sürdüreceğiz.
Modeller yetkinleştikçe, sundukları fırsatlar tek tek açıkları bulup düzeltmenin ötesine geçiyor. Mühendislerin daha en baştan daha güvenli yazılımlar geliştirmesine yardımcı olmak istiyoruz. Yaygın kullanılan bir bileşendeki iyileştirmeler, birçok ürün ve hizmette hataları önleyebilir veya etkilerini sınırlayabilir.
Yapay zeka; mühendislerin mevcut kodu anlamasına, değişiklik hazırlamasına ve test geliştirmesine yardımcı olabilir. Bakım sorumluları ve güvenlik uzmanları da bu değişikliklerin kullanıcıların ihtiyaç duyduğu işleyişi koruduğunu doğrular. Birkaç alanda fırsatlar görüyoruz:
En baştan güvenli kod. Kodlama modelleri, geliştiricilerin daha güvenli varsayılan ayarlar seçmesine, güvenlik kütüphanelerini doğru kullanmasına ve kod yazarken riskli örüntüleri yakalamasına yardımcı olabilir. Geliştirme sırasında açıkları önlemek, bakım sorumluları ve kullanıcılar için daha az acil düzeltme demektir.
Bellek güvenli yazılım. Kritik bileşenleri bellek güvenli dillere taşımak, yaygın bellek hatası sınıflarını ortadan kaldırabilir. Yapay zeka geçişlere yardımcı olabilir; testler ve uzman incelemesiyle işleyiş ve uyumluluk denetlenebilir.
Biçimsel doğrulama. Matematiksel kanıtlar, kritik bileşenlerin belirtilen varsayımlar altında tanımlanmış güvenlik özelliklerini karşıladığını gösterebilir. Bu yöntemleri yaygın kullanılan bileşenlere uygulamak, bunlara bağlı hizmetlerde ve kritik altyapılarda belirli açık sınıflarını tümüyle ortadan kaldırmaya yardımcı olabilir.
Daha güçlü yalıtım. Sistemlerin henüz bulunmamış veya giderilmemiş açıklara karşı da korunması gerekir. Güvenilmeyen dosya, görüntü veya medya işleyen yazılımları sıkı kısıtlamalı korumalı alanlarda çalıştırmak, yazılım ele geçirilirse oluşacak zararı sınırlayabilir. Yapay zeka, mühendislerin yaygın korumalı alan teknolojilerini test edip güçlendirmesine yardımcı olarak birçok uygulamada korumayı iyileştirebilir.
Bakım sorumluları, araştırmacılar, müdahale ekipleri, sağlayıcılar ve sistem yöneticilerinin yaklaşımımızı uygulanabilir hâle getirmeye katkıda bulunabilmesi için onu paylaşıyoruz. Nerede yararlı olacağını, nerede gecikmeye veya ek yüke yol açabileceğini ve neleri gözden kaçırdığımızı anlamak istiyoruz. Geçmiş açık duyurularından örnekler özellikle yararlı olacaktır.
Özellikle şu konularla ilgileniyoruz:
Açıklama süreleri. Bakım sorumluları, sistem yöneticileri ve savunmacıların güvenilir düzeltmeler hazırlayıp uygulamak için ne kadar zamana ihtiyacı var? Özellikle bazı kullanıcılar diğerlerinden önce korunabiliyorsa, hangi kanıtlar daha erken açıklama yapılmasını gerektirmeli?
Acil yama uygulama. Kamu kurumları veya diğer sistem yöneticileri, sahip oldukları ya da yönetmeye yetkili oldukları sistemlere yönetici erişimini kaybettikten sonra yama uygulamak için bir güvenlik açığından yararlanmalı mı? Öyleyse hangi koşullarda? Hangi güvenlik önlemleri uygulanmalı? Nihayetinde, internet genelinde bilinen açıkların sürekli tarandığı ve bir açık tespit edildiğinde site sahiplerinin bilgilendirildiği veya sisteme yama uygulandığı bir düzen hayal edebiliriz.
Erken bildirim. Gözden kaçırabileceğimiz savunmacılar da dahil, kimlerin yararlı bir koruma önlemi alabilmesi için önceden uyarılması gerekiyor? Aşamalı bildirimler, geniş bir grubu tek seferde bilgilendirmekten ne zaman daha iyi sonuç verir? Kapsamı ve sızıntı riskini nasıl dengelemeliyiz?
Varsayılan olarak güvenli yazılım paketleri. Kaynak projedeki düzeltmeler beklenirken ona bağlı paketlerdeki açıkların tespit edilip giderilmesine ya da düzeltmelerin artık güvenlik güncellemesi almayan eski sürümlere uyarlanmasına nasıl yardımcı olabiliriz? Zamanında yükseltmenin mümkün olmadığı durumlarda, bu paketleri güvenilir bir seçenek hâline getirmek için hangi test ve bakım çalışmaları gerekir?
Yaklaşımı inceleyebilecek, varsayımlarını sorgulayabilecek ve eksiklerini belirleyebilecek bağımsız güvenlik uzmanlarına ilişkin önerilerinizi de bekliyoruz. Görüşleriniz, müdahale sürecini geliştirmemize ve desteğimizi önceliklendirmemize yardımcı olacak. Geri bildiriminizi buradan paylaşın(yeni bir pencerede açılır).
