Backend'de Kırmızı Alarm: PHP, Node.js ve Java'da Aynı Anda Çıkan Kritik Güvenlik Açıkları (CVE Analizi)

Son 48 saat içinde siber güvenlik dünyası ve backend mühendisliği ekipleri adeta teyakkuza geçti. Dünya üzerindeki web ve API altyapısının %80'inden fazlasını sırtlayan üç dev ekosistem—PHP, Node.js ve Java/Spring—neredeyse aynı anda, CVSS puanları 9.8 ile 10.0 arasında değişen kritik güvenlik açıkları (CVE) yayımladı.

Bir güvenlik açığının 9.8 veya 10.0 alması, yazılım güvenliğindeki en korkutucu senaryoyu ifade eder: Remote Code Execution (RCE); yani saldırganın hiçbir kullanıcı adı, şifre veya oturum bilgisine ihtiyaç duymadan, internet üzerinden uzaktan tek bir istekle sunucunuzda dilediği kodu çalıştırabilmesi.

Peki bu açıklar nasıl ortaya çıktı, sistemler nasıl etkilendi ve üretim (production) ortamlarınızı korumak için hangi adımları atmanız gerekiyor? Gelin derinlemesine inceleyelim.

1. PHP: Windows CGI Argüman Enjeksiyonu (CVE-2024-4577)

Zafiyetin Mekanizması

PHP'nin web sunucularıyla haberleşmesini sağlayan en eski yöntemlerden biri olan CGI (Common Gateway Interface), HTTP isteklerindeki sorgu parametrelerini işletim sistemi komut satırı argümanlarına dönüştürür. 2012 yılında bu durum fark edilmiş ve CVE-2012-1823 koduyla sorgu parametrelerinin komut satırı anahtarlarına dönüşmesi engellenmişti.

Ancak Windows işletim sisteminin karakter kodlamalarını dönüştürürken kullandığı "Best-Fit Mapping" algoritması yüzünden ölümcül bir açık unutuldu. Özellikle Çince (Geleneksel ve Basitleştirilmiş) veya Japonca dil kodlamaları kullanan Windows sistemlerinde, 0xAD (Soft Hyphen) gibi çok baytlı özel karakterler Windows API'si tarafından otomatik olarak standart tire (-) karakterine dönüştürülüyor.

İstismar (Exploit) Akışı

Bir saldırgan, HTTP URL parametresi olarak %ad karakterini gönderdiğinde:

POST /index.php?%add+allow_url_include%3d1+%add+auto_prepend_file%3dphp://input HTTP/1.1
Host: hedef-sunucu.com
Content-Type: application/x-www-form-urlencoded
 
<?php system('whoami'); ?>

Windows bu %ad karakterini - olarak çözümlüyor ve PHP CGI çalıştırıcısına doğrudan -d allow_url_include=1 -d auto_prepend_file=php://input argümanı gidiyor. Bu komut, php.ini dosyasındaki güvenlik kurallarını anında geçersiz kılıyor ve HTTP isteğinin gövdesindeki zararlı PHP kodunu sunucuda doğrudan çalıştırıyor.

2. Node.js: HTTP/2 Bellek Tüketimi ve Windows Süreç Enjeksiyonu

Node.js tarafında ise iki farklı mimari zafiyet aynı anda duyuruldu:

Continuation Flood (CVE-2024-27980)

HTTP/2 protokolünde istek başlıkları (headers) HEADERS ve CONTINUATION paketleri ile taşınır. Node.js'in yerel http2 modülü, bağlantı üzerinden gelen bu paketlerin bellek tüketim sınırını doğru kontrol etmiyordu. Bir saldırgan tek bir TCP bağlantısı üzerinden yüz binlerce boş CONTINUATION paketi pompalayarak Node.js sunucusunu saniyeler içinde %100 CPU kilitlenmesine ve bellek yetersizliği (OOM Crash) ile çökmeye zorlayabiliyordu.

child_process ile Windows Komut Enjeksiyonu (CVE-2024-21896)

Geliştiriciler Node.js üzerinde child_process.spawn() veya execFile() fonksiyonlarını kullanırken komutları dizi (array) halinde verdiklerinde komut enjeksiyonundan korunduklarını düşünürler:

// Geliştiricinin güvenli sandığı kod
spawn('islem.bat', [kullaniciGirdisi], { shell: false });

Fakat Windows işletim sisteminde yerel bir "dizi parametreli süreç başlatma" API'si yoktur; Windows tüm parametreleri tek bir metin dizesinde birleştirir. Çalıştırılan dosya bir .bat veya .cmd dosyası olduğunda, Windows arka planda gizlice cmd.exe çağırır. kullaniciGirdisi içindeki özel karakterler parametre sınırlarını kırarak işletim sisteminde bağımsız komutların koşturulmasına izin verir.

3. Java & Spring: HTTP İstek Kaçırma (Request Smuggling)

Java dünyasında en büyük risk, reverse proxy (Cloudflare, Nginx, AWS ALB) ile arkadaki servlet container (Tomcat, Spring Boot) arasındaki yorumlama farklarından kaynaklandı.

Frontend sunucusu ile backend sunucusu bir HTTP isteğinin nerede bittiğini (örneğin Transfer-Encoding: chunked ile Content-Length başlıklarının çakışması durumunda) farklı yorumladığında, saldırgan meşru bir isteğin gövdesine gizlenmiş ikinci bir kaçak istek yerleştirebilir.

Bu durum Java backend'lerinde:

1. Spring Security yetkilendirme filtrelerinin arkadan dolaşılarak atlatılmasına,
2. Proxy önbelleğinin (cache poisoning) zehirlenmesine,
3. Aynı TCP soketini kullanan diğer masum kullanıcıların oturum ve çerezlerinin çalınmasına yol açmaktadır.

4. CVSS Skoru Nedir? Neden 9.8 ile 10.0 Puan Verildi?

Güvenlik otoriteleri bir açığın tehlikesini CVSS (Common Vulnerability Scoring System) formülüyle hesaplar. Bu skorlar rastgele verilmez; şu metriklerin bir araya gelmesiyle oluşur:

• Attack Vector (Network - Ağ): Açık internet üzerinden, fiziksel erişim olmadan sömürülebilir.
• Attack Complexity (Low - Düşük): Saldırganın karmaşık yarış durumlarına (race condition) ihtiyacı yoktur.
• Privileges Required (None - Yok): Saldırganın üye girişi yapmasına veya API anahtarına ihtiyacı yoktur.
• User Interaction (None - Yok): Bir kullanıcının linke tıklaması gerekmez; doğrudan sunucuya istek atılır.
• Impact (Confidentiality, Integrity, Availability - Yüksek): Veritabanı okunabilir, sunucuya dosya yazılabilir ve sunucu kapatılabilir.

Bu 5 şartın hepsi sağlandığında skor doğrudan 9.8 - 10.0 Kritik seviyeye fırlar.

5. Backend Mühendisleri İçin Acil Eylem Planı (Checklist)

Eğer üretim ortamında PHP, Node.js veya Java servisleri yönetiyorsanız derhal şu adımları uygulayın:

1. Çalışma Zamanı (Runtime) Sürümlerini Güncelleyin

• PHP: 8.1.29+, 8.2.20+ veya 8.3.8+ sürümlerine geçin.
• Node.js: 18.20.2+, 20.12.2+ veya 21.7.2+ sürümlerine yükseltin.
• Java: Spring Framework 6.1.6+ ve Spring Boot 3.2.5+ sürümlerine güncelleyin.

2. CGI Modüllerini Kapatın

PHP kullanıyorsanız Apache ScriptAlias yapılandırmalarını devre dışı bırakın. Kesinlikle PHP-FPM veya FastCGI mimarisine geçin.

3. Docker Konteynerlarını Asla Root Olarak Çalıştırmayın

Dockerfile dosyalarınızda uygulamanın root yetkisiyle çalışmasını engelleyin:

FROM node:20-alpine
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production
COPY . .
# Güvenlik için non-root kullanıcıya geçin:
USER node
CMD ["node", "dist/index.js"]

Böylece bir RCE açığı yaşansa bile saldırgan sunucu çekirdeğinde root yetkisi elde edemez, sandbox içinde hapsolur.

4. CI/CD Pipeline'ına Otomatik Zafiyet Taraması Ekleyin

Canlıya çıkış süreçlerinde bağımlılıkların otomatik taranmasını zorunlu kılın:

# Node.js bağımlılık güvenlik taraması
npm audit --audit-level=high
 
# Docker imajı güvenlik taraması
trivy image backend-app:latest

Özet

Yazılım dünyasında açıkların çıkması kaçınılmazdır. İyi bir mühendislik kültürünü kötü olandan ayıran şey açıkların hiç çıkmaması değil; bir açık yayımlandığı andaki müdahale hızı (Mean Time to Patch - MTTP) ve savunma derinliği (Defense-in-Depth) mimarisidir.

Bugün sunucularınızın sürüm kontrolünü yapmayı ve eski protokolleri kapatmayı ihmal etmeyin.