PHP güvenlik açığı: OpenAI ve Google, eski sorunları tespit etti

Amerika Birleşik Devletleri Ulusal Güvenlik Ajansı (NSA), PHP dilinde iki kritik güvenlik açığının bulunduğunu ve PHP Vakfı tarafından yamanın yapıldığını duyurdu. PHP, web uygulamaları için yaygın olarak kullanılan bir sunucu tarafı programlama dili olup, internet üzerindeki yaklaşık %70'lik bir paya sahip. Bu, 33 milyondan fazla web sitesinin PHP kullanması anlamına geliyor ve WordPress gibi popüler içerik yönetim sistemlerinde de yer alıyor.

NSA, bu güvenlik açıklarının o kadar ciddi olduğunu belirtti ki, eğer bir web sitesi hemen yamanamazsa, internetten kaldırılması gerektiğini vurguladı. Bu açıklar, saldırganların sunucunun dosya sistemine veya web uygulamasında kullanılabilecek bir veritabanına sızmasına olanak tanıyor.

PHP'nin Eski Sürümlerinde Bulunan Açıklar

İlginç bir şekilde, bu açıklar PHP'nin 2004 yılında piyasaya sürülen 5. sürümünden bu yana tüm sürümlerinde mevcut. PHP'nin 8.1 ve daha eski sürümlerinin artık desteklenmediği göz önüne alındığında, güncel olmayan web sitelerinin bir güncelleme yapması gerekecek. Kullanıcıların, PHP'nin mevcut sürümü olan 8.5.12'ye geçmeleri öneriliyor.

Yapay Zeka ile Bulunan Açıklar

Peki, internetin neredeyse her web sitesini etkileyen bu kadar yaygın ve yıllarca var olan iki açık nasıl ortaya çıktı? Cevap, yapay zeka. OpenAI ve Google'ın Wiz ekibi, açık kaynak yazılımlardaki güvenlik açıklarını tespit etmek için AI kullanarak bu açıkları buldu. Güvenlik testi şirketi Calif, OpenAI'nin “Patch the Planet” girişimi kapsamında çalışarak bu açıkları tespit etti. OpenAI, blogunda bu durumu açıkladı. Wiz ekibi ise, kendi güvenlik AI ajanı olan Wiz Atlas ve GPT-5.6 Sol kullanarak PHP'deki birden fazla güvenlik açığını tespit etti.

İşbirliği ve Güvenlik Önlemleri

OpenAI ve Wiz, güvenlik araştırmaları sırasında sorumlu bir yaklaşım benimseyerek PHP ile işbirliği yaptı ve açıkları kamuya açıklamadan önce yamaları geliştirdiler. Ayrıca, diğer birçok şirketle birlikte çalışmalarını sürdürdüler. Wiz, Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ve Vercel gibi firmalara teşekkür etti. WordPress, bu açıkların yalnızca kendisine özgü olmadığını belirterek, kullanıcıların sunucularını yamalamaları gerektiğini vurguladı.

Yapay Zeka ve Güvenlik Açıkları

OpenAI, bu açıkların araştırmacılar tarafından hackerlar keşfedilmeden önce bulunduğunu belirtti. Bu nedenle, henüz kötüye kullanım raporları yok. Yapay zeka olmadan bu açıkların kötüye kullanılmasının zor olduğunu ifade eden Wiz, “Artık bu bir engel değil. LLM'ler, bir açığı farklı PHP sürümlerine, yapılandırmalara ve bellek düzenlerine uyarlamaya yardımcı olabilir.” dedi.

Sonuç ve Acil Durum

Şimdi, bu durum kamuoyuna açıklandıktan sonra, hackerlar bu güvenlik açıklarından haberdar oldu. İnternette, on milyonlarca web sitesinin yamalanması için bir yarış başladı. NSA, eğer PHP web sitenizi hemen yamalayamazsanız, çevrimdışı kalmanın daha iyi olacağını öneriyor.