PHP, kritik güvenlik açıkları için acil yamanın yapıldığını duyurdu

PHP, Çarşamba günü acil güvenlik güncellemeleri yayınladı. Bu güncellemeler, kimlik doğrulaması yapılmamış bir saldırganın, PHP dilini kullanan neredeyse her sunucuda kod çalıştırmasına olanak tanıyan iki kritik açığı kapatıyor. Güncellemenin yayımlanması, internet genelinde birçok web sitesinin çevrimdışı kalmasına neden olan yoğun bir iki günün ardından geldi.

Güncellenmiş sürümler arasında PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 yer alıyor. Bu sürümler, CVE-2026-109618 ve CVE-2026-109619 olarak izlenen iki bellek güvenliği açığını düzeltmektedir. Her iki açık da CVSS v4 ölçeğinde 9.2 olarak derecelendirilmiştir. PHP, güncellemeyi "tek güvenli seçenek" olarak tanımladı. Apache ile mod_php kullanan siteler için riskin en yüksek olduğunu belirtti; burada kimlik doğrulaması yapılmamış bir istek, uygulama kodu çalışmadan önce açığı tetikleyebilir.

Açıkların Keşfi ve AI'nin Rolü

Güncellemelerin ilginç bir yanı, açıkların nasıl tespit edildiğidir. Güvenlik firması Calif, ilk açığı Ağustos ayında, OpenAI'nin GPT-5.6 Sol modeli yardımıyla buldu. Bu keşif, OpenAI'nin Patch the Planet girişimi aracılığıyla finanse ettiği PHP kaynak kodu denetimi sırasında gerçekleşti. Google'ın Wiz ekibi, birkaç hafta sonra açıkları bağımsız olarak tespit etti; bu süreçte Wiz Atlas, Google’ın Gemini 4 Argon ve GPT-5.6 Sol kullanıldı. PHP'nin duyurusunda, Calif, Wiz ve OpenAI'den araştırmacılara birlikte atıfta bulunuldu.

Şirketlerin Görüş Farklılıkları

OpenAI, bu keşfi, yapay zekanın internet ölçeğinde açıkları suçlular öncesinde bulabileceğinin kanıtı olarak sundu. Bu durumu "Defender’s Window" olarak adlandırdı. OpenAI, "Bu açıkların ciddiyeti ve PHP'nin yaygın kullanımı göz önüne alındığında, bunu son zamanlardaki en etkili güvenlik sorunlarından biri olarak değerlendiriyoruz" dedi.

Calif ise daha temkinli bir yaklaşım sergileyerek, yalnızca genel olarak erişilebilir modeller kullandıklarını ve özel bir araç kullanmadıklarını belirtti. PHP'nin geçmişini bilmenin, modelden daha önemli olduğunu ifade etti. "Hiçbir model, basit istemlerle 'tüm hataları' ortaya çıkarma yeteneğine sahip değildir. En azından şu an için," diye ekledi.

Web Siteleri Kapatıldı

Güvenlik açığının keşfi sonrası, hükümetler ve şirketler beklemeye geçmedi. Avrupa Birliği’nin siber ajansı CERT-EU ve İngiltere’nin NCSC, sistemlerini hemen kapatmaları gerektiğini bildirdi. ABD Ulusal Güvenlik Ajansı da kendi uyarısını yayınladı. Pinboard, GrapheneOS forumu ve OBS gibi hizmetler, sitelerinin bazı bölümlerini kapatmak zorunda kaldı. Laravel, Cloud dağıtımlarını durdurdu ve yamanmış görüntülerle yeniden inşa etmeye başladı.

Güncelleme, beklenenden daha erken geldi. PHP, güncellemeyi UTC ile 14:00'te yayımlamayı planlıyordu ancak Hacker News'te sızan bilgiler nedeniyle bu süre öne alındı. Güvenlik firması watchTowr, yamanmadan önce açıkların gerçek olduğunu doğruladı. Bir kanıt konsepti istismarı çevrimiçi olarak yayıldı.

PHP'nin Etkisi ve Gelecek Beklentileri

PHP’nin en eski etkilenen sürümünü belirtmedi. Ancak Calif, Wiz ve Cloudflare, etkilenen sürümün PHP 5.4 ve sonrasını kapsadığını, bu durumun on yılı aşkın bir süreyi etkilediğini belirtti. PHP ekibi, desteklenmeyen 7.4, 8.0 ve 8.1 sürümleri için de yamanmış güncellemeler yayınladı. WordPress, PHP üzerinde çalıştığı için site sahiplerini güncellemeye çağırdı ve 8.2 öncesi sürümlerin artık güvenlik güncellemeleri almadığını vurguladı.

Altyapı sağlayıcıları, saldırıları önlemek için hızlı hareket etti. Cloudflare, tüm müşterileri için web uygulama güvenlik duvarı kurallarını devreye soktu. Bu, açıklamadan yaklaşık dokuz saat önce gerçekleşti.

Sonuç olarak, PHP'deki güncellemeler aktif durumda. Güncellemelerin yapılması öneriliyor. Yapay zeka tarafından bulunan açıkların, web yazılımlarında kitlesel güncellemeleri zorladığı ikinci durumdur. OpenAI, PHP açıklarının daha önce bulduğu diğer ciddi güvenlik açıkları arasında olduğunu ve önümüzdeki aylarda benzer bulguların artmasını beklediğini belirtti.