OpenAI, ChatGPT Sol ile PHP'deki Kritik Güvenlik Açıklarını Ortaya Çıkardı

OpenAI, 21 Ekim'de yaptığı bir açıklamada, “Patch the Planet” siber güvenlik girişimi kapsamında araştırmacıların GPT-5.6 Sol modelini kullanarak PHP programlama dilindeki kritik güvenlik açıklarını ortaya çıkardığını duyurdu. PHP, dünya genelinde internetin yaklaşık %70'inin çalışmasını sağlayan açık kaynaklı bir programlama dili olarak biliniyor. Bu keşif sonrasında, OpenAI, araştırmacılar, PHP geliştiricileri, güvenlik sağlayıcıları ve hükümet siber güvenlik ajansları ile iş birliği yaparak iki ay süren bir düzeltme süreci başlattı. Şirket, bu sürecin karmaşıklığı nedeniyle zaman alıcı olduğunu belirtti.

PHP Güvenlik Açıkları ve Düzeltmeler

PHP Vakfı, tespit edilen güvenlik açıklarını kapatmak amacıyla PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayınladı. Ancak PHP 8.1 ve daha eski sürümler için resmi bir düzeltme yapılmayacak. İlk olarak 22 Ekim'de yapılması planlanan bu koordineli yayın, 20 Ekim'de yapılan erken açıklamalar sonucu 21 Ekim'e alındı.

OpenAI, PHP kullanan her web sitesinin artık güvenli bir şekilde sürüm güncellemesi yapabileceğini vurguladı. Şirket, bu durumu, PHP’nin yaygınlığı nedeniyle 2026’nın en büyük siber güvenlik keşiflerinden biri olarak değerlendiriyor. OpenAI, bu tür durumların, gelişmiş yapay zeka modellerinin siber güvenlik savunmalarını güçlendirmek için kullanılabileceği “Defender's Window” (Savunucu Penceresi) kavramının bir örneği olduğunu belirtti.

Güvenlik Açıklarının Etkileri

Tespit edilen iki güvenlik açığı, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kaydedildi. Bu açıklar, PHP'nin hafıza yönetimi ve hata işleme yöntemlerinde sorunlar içeriyor. İlk açık, PHP'nin bir istek işlenirken tahsis edilen hafızanın dolması durumunda ortaya çıkıyor ve bu, hatalı bir şekilde geçerli olarak değerlendirilebilecek iç verilerin kalmasına neden olabiliyor. İkinci açık ise, bir fatal hata sonrasında PHP'nin serbest bırakılmış hafızaya işaret etmesiyle ilgili ve bu durum, sonraki isteklerin bu hafızaya erişmesine veya onu bozmalarına olanak tanıyor. Belirli koşullar altında, saldırganlar bu zayıflıkları uzaktan istismar edebilir ve etkilenen sunucularda kötü amaçlı kod çalıştırabilir.

Yapay Zeka ile Güvenlik Açıklarının Keşfi

Araştırmacılar, yapay zeka kullanarak bu açıkların sunucu hafızasında saklanan hassas bilgileri, örneğin şifreler, kimlik doğrulama belirteçleri ve API anahtarları gibi bilgileri açığa çıkarabileceğini gösterdi. En endişe verici durum, bu zayıflıkların PHP'nin temel motorunda bulunması, yani uygulama kodunda herhangi bir güvenlik açığı olmasa bile web sitelerinin etkilenebileceği gerçeği. Her iki güvenlik açığı da 10 üzerinden 9.2 gibi kritik bir şiddet puanı aldı.

OpenAI, insan geliştiricilerin ve güvenlik ekiplerinin kodu incelemesine rağmen bu açıkları tam olarak kapatamadığını ve bu nedenle açıkların keşfinden sonra iki yıl boyunca devam ettiğini belirtti. Öte yandan, yapay zeka destekli araştırmacılar, bu açıkları iki hafta içinde istismar etmenin pratik yollarını gösterdi. Ancak, bu zayıflıkların yapay zeka olmadan asla istismar edilemeyeceği de öne sürülebilir.

Sonuç

OpenAI, güçlü teknolojilerin kötü niyetli kişiler tarafından kullanılma ihtimalinin kaçınılmaz olduğunu savunarak, bu tür potansiyel zayıflıkları proaktif bir şekilde ele almanın toplumsal bir sorumluluk olduğunu belirtiyor. Bu durum, siber güvenlik alanında dikkat edilmesi gereken önemli bir konu olarak ön plana çıkıyor.