Yapay zekâ ile bulunan iki açık, bugün 4chan, DeviantArt, Wikipedia ve köşedeki barın insanların köpek fotoğraflarını paylaştığı blog dahil birçok sitede ciddi sorunlara yol açtı. "Kritik zafiyetler" internetin büyük bölümünün dayandığı, WordPress tabanlı sitelerin de kullandığı PHP programlama dilinde keşfedildi. Sorun bundan çok daha büyük. Bazı Hollanda ve Finlandiya kamu kurumları önlem olarak sitelerini kapattı. X'teki NSA Siber Güvenlik hesabı, "acil güncelleme mümkün değilse" sistemlerin çevrimdışı alınmasını önerdi; İngiltere Ulusal Siber Güvenlik Merkezi de aynı çağrıyı yaptı. Kotaku'nun haberine göre Pokémon Home ve Pokémon Champions da çevrimdışı alındı.
Zafiyet aslında yeni değil. Güvenlik firması Wiz'e göre açık yaklaşık 20 yıldır PHP'de bulunuyor, ancak istismar etmek "insan araştırmacıların pratik olarak başarabileceği sınırda, son derece karmaşık bir adım zinciri" gerektiriyordu. Güçlü yapay zekâ modelleri ise bu tür gözden kaçmış hataları tehlikeli zafiyetlere dönüştürmeyi çok daha kolay hale getirdi.
Günlük internet kullanıcısı olarak "RCE via OOM corruption" gibi jargon yığınlarının tam olarak ne anlama geldiğini, ne kadar endişelenmeniz gerektiğini ve bu kadar ciddi bir açığın bu kadar uzun süre nasıl fark edilmeden kaldığını merak edebilirsiniz.
PHP nedir?
Sunucu tarafı programlama dilini bildiği sitelerin "69,3 yüzdesinde" PHP kullanıldığı bilgisini veren anket servisi W3Techs'e göre dil, Wikipedia ve WordPress gibi popüler siteler de dahil olmak üzere yaygın olarak kullanılıyor. İnternet güvenliği sitesi VirusTotal'a göre tarayıcısı şu anda en az bir port açık olan 3,8 milyon sitenin PHP çalıştırdığını tespit ediyor.
Ne oldu?
OpenAI'ye göre Calif adlı bir yapay zekâ güvenlik grubu GPT-5.6 Sol kullanarak "kritik" bir PHP açığını tespit etti ve Google'a ait Wiz yapay zekâ kullanarak zafiyetleri bağımsız olarak keşfedip bildirdi. PHP Vakfı, bir zafiyet için bir istismarın 2024'te "kuramsallaştırıldığını" ancak "somut vektör bulunmadığını" ve "açık etkisi olan diğer somut sorunların bu endişelerin önüne geçtiğini" söylüyor.
Şimdi PHP Grubu, iki zafiyetin saldırganların "yetkisiz uzaktan kod çalıştırma" yapmasına olanak sağlayabileceğini belirtiyor; yani yönetici girişi veya şifre gerekmeden kendi kodlarını çalıştırmaları, içerik değiştirmeleri ve sitenin sakladığı verilere erişmeleri mümkün.
> RCE via OOM corruption, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): bellek yetersizliği işleme, PHP'nin iç istek verisi kısmen başlatılmışken kesintiye uğramasına neden olabilir. İstek temizleme sırasında geçersiz veri geçerli olarak değerlendirilebilir.
> RCE via stale global state, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): istek bazlı dahili durum, yedek belleği serbest bırakıldıktan sonra da kalabilir. Aynı işleyici tarafından daha sonra ele alınan bir istek, normal başlatma sıfırlaması gerçekleşmeden önce bu eski durumu kullanabilir.
Ne kadar ciddi?
Çok ciddi. PHP Grubu'na göre PHP çalıştıran hemen her site risk altında. Zafiyet araştırmasına dahil olan OpenAI, "Bunu son zamanların en etkili güvenlik sorunlarından biri olarak görüyoruz" dedi. Wiz ise bunun "yazılım tarihinde keşfedilen en ciddi zafiyetlerden biri" olduğunu söyledi.
Gece Cloudflare CTO'su, "erken saldırıların ortaya çıktığını gördüklerini" belirtti.
Durumun ne kadar kötü olabileceğinin altını çizmek zor. Zafiyetler bir saldırganın sunucunun tam kontrolünü ele geçirmesine izin verebilir. Bu, parolalara, API anahtarlarına, kriptografik sertifikalara ve hassas bilgilerin veritabanlarına erişim elde etmeyi içerir. Saldırganlar bu sunucularda kod çalıştırarak onları diğer savunmasız sunuculara saldırmak için vektör haline getirebilir. Ve yapay zekâ sayesinde, bu açıklar ortaya çıktıktan sonra kararlı bir hacker'ın bunları istismar etmesi artık nispeten basit.
Ne yapabilirsiniz?
Kullanıcı olarak pek bir şey yapamazsınız. Zafiyet PHP çalıştıran sunucuları etkiliyor ve doğrudan kullanıcıları hedeflemiyor olabilir, ancak tehlikeye atılmış siteler kötü amaçlı yazılım yaymak ve başka değerli verileri çalmak için kullanılabilir. Daha temkinli olmak isterseniz, sık kullandığınız sitelerin ve hizmetlerin sosyal hesaplarını ziyaret etmeden önce herhangi bir güncelleme paylaşımı yapıp yapmadığını kontrol edin.
Bir web siteniz varsa, basit bir blog bile olsa, sitenizin hangi PHP sürümünü kullandığını kontrol etme zamanı. Squarespace veya Wix gibi bir hizmet kullanıyorsanız güvendesiniz, çünkü bunlar PHP'yi desteklemiyor.
Hostinger, GoDaddy, Bluehost veya diğer web barındırma hizmetlerinin müşterileri daha temkinli olmalı. GoDaddy, PHP kullanan her sitenin etkilendiğini varsayması gerektiğini ve mümkün olan en kısa sürede düzeltilmiş sürüme güncellenmesi gerektiğini söylüyor. Ayrıca PHP 8.1 veya daha eski sürümleri çalıştıran sitelerin artık desteklenmediğini ve resmi bir düzeltme gelmeyeceğini, bu nedenle daha yeni bir sürüme yükseltmeleri gerektiğini belirtiyor.
Yönetilen bir barındırma hizmetindeyseniz, düzeltmenin ne zaman dağıtılacağını görmek için sağlayıcınızla iletişime geçin. Ürün veya hizmet satıyorsanız ya da sunucularınızda herhangi bir hassas veri varsa, barındırma sağlayıcınız PHP sürümünü yamalayana kadar sitenizi devre dışı bırakmanız en iyisi.
