İnternet güvenliğini ilgilendiren iki ayrı sorun aynı hafta gündeme geldi. Hindistan merkezli sertifika yetkilisi eMudhra’nın sekiz ara sertifikasına ait özel anahtarların, sertifikalarda yer alan bilgilerden hesaplanabilecek kadar zayıf olduğu ortaya çıktı. Ayrı bir olayda ise PHP’deki iki kritik güvenlik açığına ilişkin bilgiler, yamalar yayımlanmadan önce sızdı.
Ara sertifikalar, tarayıcıların bir sitenin kimliğini doğrularken kullandığı güven zincirinin parçası. Bu anahtarları elde eden bir saldırgan sahte HTTPS sertifikaları oluşturabilir. Kullanıcının bağlantısını ele geçirebildiği koşullarda da bir siteyi taklit ederek trafiği okuyabilir veya değiştirebilir. Mozilla, etkilenen sertifikaları Firefox’ta engelledi. eMudhra ise sorunun belirli ara sertifikalarla sınırlı olduğunu, kök sertifikalarının özel anahtarlarının etkilenmediğini söylüyor. Şirkete göre etkilenen ara sertifikaların hiçbiri son kullanıcı sertifikası düzenlemedi.
PHP tarafındaki açıklar CVE-2026-109618 ve CVE-2026-109619 olarak takip ediliyor. Uygun koşullarda saldırganların oturum açmadan sunucuda kod çalıştırmasına imkân verebiliyorlar. PHP Foundation’a göre 20 Ekim’de önce açıkların kimlik numaraları dolaşıma girdi; teknik ayrıntılar bu ilk sızıntıda yer almıyordu. Ardından bir istismar gösteriminin videosu da yanlışlıkla yayımlandı. PHP ekibi, güvenlik sürümlerini planlanandan bir gün önce çıkardı.
Açıkları gideren PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleri yayımlandı. PHP ekibi, web istekleri alan kurulumların gecikmeden güncellenmesini öneriyor ve güncellemenin yerini tutacak eksiksiz bir geçici önlem bulunmadığını belirtiyor.
Kaynak: www.techspot.com