The Verge'in uyarısı alışılmadık ölçüde net: kamusal webin büyük bir bölümünü çalıştıran PHP dilinde kritik bir açık var ve bugün siteleri çevrimdışı bırakabilir. Hasar ister sömürüden ister aceleyle çıkılmış bir yamadan gelsin, bu cümle PHP'ye dair hiçbir kod incelemesinin düzeltemeyeceği yapısal bir şeyi anlatıyor: ekosistem yavaş yamalıyor, ama yamadığında hep birlikte yamalıyor.
PHP tek bir ürün değil. Bir çalışma zamanları ailesi: Linux dağıtımınızın paketlediği sürüm, barındırma panelinizin sabitlediği sürüm, iki yıl önce kurulmuş bir konteyner imajının içindeki sürüm ve bir eklentinin "kolay kurulum" paketiyle gelen sürüm. W3Techs, sunucu tarafı dili tespit edilebilen sitelerin kabaca dörtte üçünde PHP'yi gösteriyor; yalnızca WordPress internetteki sitelerin büyük bir kısmını oluşturuyor. Açık çalışma zamanına düştüğünde etki alanı bir ürünün kurulu tabanı değil, webin varsayılan yığını oluyor.
Asimetri tanıdık ve hâlâ acımasız. Saldırganın erişilebilir tek bir kuruluma ve çalışan tek bir sömürüye ihtiyacı var. Savunmacının ise her kurulumun yamalanmasına, her sanal makine imajının yeniden derlenmesine ve paylaşımlı barındırmadaki her müşterinin bir başkasının bakım penceresiyle kapsanmasına ihtiyacı var. Kitlesel tarama genellikle kavram kanıtı yayımlandıktan sonraki saatler içinde başlıyor; uyarı ile internet çapında yoklama arasındaki süre on yıldır kısalıyor.
Operasyonel tavsiye gösterişsiz ve işleyen tek tavsiye. Gerçekte neyin, hangi sürümde PHP çalıştırdığını envanterleyin. Güncellemeyi gerçek uygulamaya karşı test edin, merhaba dünya örneğine karşı değil. Yamayı uygulayın. Hemen yamayamadığınız yerde açığın önüne telafi edici bir kontrol koyun: bir WAF kuralı, sanal bir yama, devre dışı bırakılmış bir özellik. Dağıtım sırasında hata oranlarını izleyin; çünkü bir eklentiyle kötü etkileşim de bir siteyi sömürü kadar etkili biçimde düşürebilir. Yönetilen barındırma kullanıyorsanız sağlayıcınıza açıkça sorun: kapsam içinde miyim ve ne zaman? "Güncellemeleri biz yapıyoruz" ile "yama uygulanmış sürümdesiniz" aynı cevap değil.
Otomatik güncelleme düzeneğinde daha uzun vadeli bir ders saklı. Bir barındırma şirketinin milyonlarca siteyi bir öğleden sonra yamamasını sağlayan mekanizma, ele geçirilmiş bir güncellemenin aynısını yapmasını sağlayacak mekanizmadır. PHP'nin uzun kuyruk sorunu yama kıtlığı değil. Neyin kurulu olduğunu, hangi sürümde, hangi eklentinin arkasında, hangi müşteri için bilen kimsenin olmaması. Rutin bir uyarıyı kötü bir haftaya çeviren şey bu envanter boşluğu.
Açıklamanın ayrıntıları — etkilenen sürümler, tam tetikleyici, bakımcıların önerdiği önlemler — bir özete değil danışma belgesine aittir ve harekete geçmeden önce oradan okunmalıdır. Kayıtsızca söylenebilecek olan şu: saat, uyarı yayımlandığında başladı ve bu işi temiz atlatan siteler, neyi çalıştırdığını zaten bilenler olacak.
