PHP, yapay zekanın keşfettiği iki kritik güvenlik açığı için acil yamalar yayınladı
PHP, kimlik doğrulaması gerektirmeyen kod yürütülmesine olanak tanıyan iki kritik "PHP2Shell" güvenlik açığı için acil yamalar sundu. İşin ilginç yanı, bu açıkların araştırmacılar tarafından, yamalar hazır olmadan günler önce OpenAI ve Google'a ait yapay zeka modelleri kullanılarak tespit edilmiş olması.
PHP, Çarşamba günü acil güvenlik güncellemeleri yayınladı. Bu güncellemeler, kimlik doğrulaması yapmamış bir saldırganın, dili kullanan neredeyse her sunucuda kod çalıştırmasına izin veren iki kritik açığı kapatıyor. Söz konusu sürüm, yamalar henüz hazır değilken internet genelinde birçok web sitesinin çevrimdışı kalmasına yol açan yoğun ve telaşlı iki günün ardından geldi.
Yama içeren sürümler; PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak duyuruldu. PHP tarafından yayınlanan güvenlik bültenine göre bu sürümler, CVSS v4 ölçeğinde 9,2 puanla derecelendirilen ve CVE-2026-109618 ile CVE-2026-109619 olarak takip edilen iki bellek güvenliği açığını gideriyor. Proje ekibi, güncellemeyi "tek güvenli seçenek" olarak nitelendirdi. Özellikle Apache üzerinde "mod_php" kullanan sitelerde riskin en üst düzeyde olduğu; bu tür yapılarda, kimlik doğrulaması gerektirmeyen bir isteğin, herhangi bir uygulama kodu çalışmadan önce söz konusu açığı tetikleyebileceği belirtildi.
Bu sürümü sıra dışı kılan şey ise açıkların ortaya çıkış biçimi. Güvenlik firması Calif, ilk açığı Ağustos ayında, OpenAI'ın "GPT-5.6 Sol" modelinin yardımıyla keşfetti. Bu keşif, OpenAI'ın "Patch the Planet" (Gezegeni Yama) girişimi aracılığıyla finanse ettiği bir PHP kaynak kodu denetimi sırasında gerçekleşti. Google bünyesindeki Wiz ekibi ise haftalar sonra, söz konusu açıkları bağımsız olarak tespit ettiğini açıkladı. Wiz ekibi bu süreçte Wiz Atlas, Google'ın Gemini 4 Argon modeli ve GPT-5.6 Sol modelinden yararlandı. PHP'nin güvenlik bülteninde, Calif, Wiz ve OpenAI araştırmacılarının katkılarına birlikte yer verildi.
Şirketler, bu durumun ne anlama geldiği konusunda farklı görüşlere sahip.
OpenAI, bu keşfi, yapay zekanın internet ölçeğindeki güvenlik açıklarını kötü niyetli kişilerden önce tespit edebileceğinin bir kanıtı olarak sundu ve bu durumu "Savunmacı Penceresi" (Defender's Window) olarak adlandırdı.
OpenAI, "Bu açıkların ciddiyeti ve PHP'nin yaygın kullanımı göz önüne alındığında, bunun son dönemde karşılaşılan en etkili güvenlik sorunlarından biri olduğunu düşünüyoruz" açıklamasında bulundu.
Şirket ayrıca, kaynakları kısıtlı olan savunmacılara destek olmak amacıyla, "Daybreak" adlı siber güvenlik programına erişim sağlamak için 1 milyar dolarlık bir kaynak ayırdığını duyurdu. Calif daha temkinli bir yaklaşım sergiledi. Firma, hazırladığı metinde yalnızca genel kullanıma açık modellerden yararlandığını ve herhangi bir özel araç kullanmadığını belirtti. Şirkete göre, kullanılan modelden ziyade, PHP'nin geçmişine dair bilgi sahibi olmak daha büyük önem taşıyordu.
Şirket, "Hiçbir model, basit komutlarla 'tüm hataları' ortaya çıkarabilecek kapasitede değil. En azından şimdilik," ifadelerine yer verdi.