Bugün pek çok web sitesinin hata sayfası göstermesi bekleniyor. Uzmanlara göre web sitelerinin yaklaşık yüzde 70'i, saldırganın etkilenen sunucuların tam kontrolünü ele geçirmesine olanak tanıyan bir çift güvenlik açığını gidermek için temel yazılımlarını güncellemesi gerekiyor. Açıklar için çalışan istismarların bulunduğu ve bu kritik hataların zaten gerçek ortamda istismar edildiği belirtiliyor.
Söz konusu açıklar, Drupal, Magento, Joomla ve WordPress dahil olmak üzere çok sayıda web yayın sistemi üzerinde çalışan sitelerin gücünü oluşturan programlama dili PHP'de bulunuyor. PHP bugün, saldırganın savunmasız bir sunucuda dilediği kodu çalıştırabilmesine izin verebilen iki kritik hatayı düzeltmek için acil bir güvenlik güncellemesi yayınladı.
Reuters'ın haberine göre Avrupa ve başka yerlerdeki hükümet web siteleri, PHP açıklarının açıklanmasının ardından bugün çevrimdışı oldu. Cloudflare, açığın istismarını zaten tespit ettiğini söyledi ve UTC saat 03.02'de web sitelerini, hizmet reddi durumu, uzaktan kod çalıştırma ve veri ifşasına yol açabilecek hataları istismar etmeye çalışan saldırı trafiğine karşı korumak için web uygulaması güvenlik duvarı kuralları uyguladı.
Açık araştırması ve bilgilendirmesinde yer alan OpenAI, "Bu açıkların ciddiyeti ve PHP'nin yaygın kullanımı göz önüne alındığında, bunu son zamanların en etkili güvenlik sorunlarından biri olarak görüyoruz" dedi.
İnternet barındırıcıları tarafından kullanılan teknolojiyi takip eden şirket Censys, yakın zamanda yaptığı taramada yaklaşık 2,58 milyon internete bakan ana bilgisayar ve 54,9 milyon web özelliğinin PHP çalıştırdığını tespit ettiğini söyledi.
Wiz'deki güvenlik uzmanları, son on yılda yayınlanan her PHP sürümünün bu güvenlik açıklarından en az birinden etkilendiğini söyledi. [Açıklama: Wiz bu blogda reklam veriyor].
Wiz'deki bir araştırmacı ekibinin bugün yayınladığı blog yazısında "Bu bulgular, PHP'de ve tartışmasız olarak yazılım tarihinde keşfedilen en ciddi güvenlik açıkları arasında yer alıyor" ifadeleri yer aldı. "Temel hatalar on yıllardır mevcuttu, ancak istismar edilebilirliklerini göstermek, insan araştırmacıların pratik olarak başarabileceği sınırda son derece karmaşık bir adım zinciri gerektiriyordu. Önde gelen yapay zeka modelleri bu engeli önemli ölçüde azalttı ve uzun süredir devam eden bir hatayı istismara dönüştürdü."
Wiz araştırmacıları, PHP açıklarının kitlesel olarak istismar edilerek web tabanlı arka kapılar veya saldırganlara enfekte siteleri uzaktan kontrol etmelerini sağlayan web tabanlı bir panel sunan "web shell"lerin kurulması muhtemel olduğunu söylüyor. Wiz, PHP hataları kamuya açıklanmadan önce şirketin PHP ekibi, Calif ve OpenAI ile sorunun boyutunu ölçmek ve yama doğrulamasını ve açıklanmasını koordine etmek için çalıştığını belirtti.
PHP sıfırıncı gün açıkları, CVE-2026-109618 ve CVE-2026-109619 CVE numaralarıyla takip ediliyor ve PHP 5.4 veya daha yeni sürümünü çalıştıran tüm web sunucularını etkiliyor. Hatalar, PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde düzeltildi.
Wiz'e göre PHP, birçok web uygulamasına o kadar derinden gömülü ki, bu güvenlik açıklarını yamalama konusunda kuruluşların bir süre zorlanacağı görülüyor. Wiz, bu PHP açıkları çiftini 2021'de ortaya çıkan Log4Shell zayıflığıyla karşılaştırdı; bu zayıflık, popüler bir Java günlükleme çerçevesi olan Log4j'de yaygın ve ciddi bir güvenlik açığıydı.
Wiz araştırmacıları yazdı: "Temel PHP'de bir güvenlik açığı tek bir uygulamayı aşar. PHP bulutlar, barındırma sağlayıcıları, içerik dağıtım ağları ve milyonlarca bağımsız yönetilen sunucu arasında çalışır. Teknik ayrıntılar kamuya açıklanmadan önce riski azaltmak, bu tüm ekosistem arasında koordine çalışmayı gerektirdi."
SANS Internet Storm Center, bu PHP açıklarıyla başa çıkmak için güncelleme gönderen büyük yazılım platformlarını yakından izliyor. Örneğin Ubuntu, güncellenmiş PHP paketlerini yayınladı. Bu açıklarla ilgili teknik bir derinlemesine inceleme ve bu hataların keşif zaman çizelgesini çizgi roman tarzında anlatan yazı için, PHP açıklarını bulmakla tanınan bir diğer teknoloji şirketi Calif'in bu gönderisine bakabilirsiniz.
Bu hızlı gelişen bir hikaye. Güncellemeler zaman damgalarıyla burada not edilecek.
Güncelleme, ET 14.30: Censys'ten gelen rakamlar eklendi ve Calif'in yazısına bağlantı verildi.
