ABD Ulusal Güvenlik Ajansı Çarşamba günü alarm vererek PHP'de iki kritik açığın bulunduğunu ve yamaların PHP Vakfı tarafından yayımlandığını duyurdu.
PHP, web uygulamaları için kullanılan sunucu tarafı bir programlama dili. İnternetteki sitelerin yaklaşık yüzde 70'ini besliyor; bazı hesaplara göre bu sayı 33 milyondan fazla siteye ulaşıyor. Popüler içerik yönetim sistemlerinden WordPress de PHP kullanıyor.
NSA, açıkların o kadar ciddi olduğunu belirtti ki bir web sitesi hemen yamalanamıyorsa, yama yapılana kadar internetten kaldırılması gerekiyor. Açıklar saldırganların sunucu dosya sistemine ya da web uygulamasının kullandığı veritabanına sızmasına olanak tanıyor.
İlginç olan nokta, bu açıkların PHP 5'in 2004'te yayımlandığı günden bu yana tüm sürümlerde gizli kalmış olması. Nispeten güncel olmayan sürümleri çalıştıran sitelerin güncelleme yapması gerekecek; PHP 8.1 ve daha eski sürümler artık desteklenmiyor. Tavsiye, web sunucusunu güncel PHP sürümü olan 8.5.12'ye yükseltmek.
Peki internetteki hemen her siteyi etkileyen, on yıllardır var olan bu iki yaygın kusur nasıl ortaya çıktı? Doğal olarak yapay zekâ sayesinde, özellikle OpenAI ve Google'ın Wiz'i üzerinden.
Güvenlik test şirketi Calif, açık kaynaklı yazılımlarda kusur bulmak için OpenAI'ın "Patch the Planet" girişiminde görev aldı. GPT-5.6 Sol kullanarak bir açığı buldu, OpenAI bunu bir blog yazısında açıkladı. Ayrı olarak Wiz ekibi de yapay zekâ kullandı; Wiz Atlas güvenlik yapay zekâ ajanı, Gemini 4 Argon ve GPT-5.6 Sol ile PHP'de birden fazla güvenlik açığı tespit etti.
OpenAI ve Wiz, sorumlu güvenlik araştırması uygulamalarına uydu ve açıkları kamuoyuna açıklamadan önce PHP ile yamalar üzerinde çalıştı. Ardından bulduklarını netleştirmek ve yamaları test etmek için birlikte hareket ettiler, yardıma bir dizi başka kurum da dahil oldu.
Wiz, Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ve Vercel'e teşekkür etti. WordPress siteleri PHP kullansa da WordPress, açığın WordPress'e özgü olmadığını belirten bir açıklama yayımladı ve CMS'ini kullanan sitelerin sunucularını yamalaması, koruma için web barındırma şirketleriyle çalışması gerektiğini söyledi.
OpenAI, açıkların bilgisayar korsanları keşfetmeden önce araştırmacılar tarafından bulunduğunu belirtiyor. Yabanda istismar raporu yok. Bunun bir nedeni de yapay zekâdan önce bu açıkların bilgisayar korsanları için istismar edilmesi çok zordu. Wiz, blog yazısında "Yapay zekâ ile bu artık bir engel değil. Büyük dil modelleri bir istismarı farklı PHP sürümlerine, yapılandırmalara ve bellek düzenlerine uyarlamaya yardımcı olabilir" uyarısında bulundu.
Diğer bir deyişle bu, yapay zekâ sayesinde bulunup engellenen ancak yüksek riskinin de yine yapay zekâdan kaynaklandığı bir güvenlik sorunu.
Açıklar şimdi duyurulduğuna göre bilgisayar korsanları durumu tamamen biliyor. İnternetin on milyonlarca web sitesini bilgisayar korsanları yamalanmamış olanlara saldırmadan önce yamalama yarışı başladı. Bu nedenle NSA, PHP sitesini hemen yamalayamıyorsanız, çevrimdışı tutmanızın daha iyi olacağı yönünde uyarı veriyor.
