Fotoğraf: Daudi mukiibi · CC BY-SA 4.0 · Wikimedia Commons
Özet
Dünya genelindeki web altyapısının temelini oluşturan PHP, operasyonlarını yalnızca tek bir tam zamanlı çalışanla sürdürüyor. Kar amacı gütmeyen vakıf modeliyle yönetilen ekosistem, artan siber güvenlik tehditleri ve yapay zeka kaynaklı yoğun kod yüküyle mücadele ediyor.
Öne çıkanlar
PHP Foundation bünyesinde tam zamanlı olarak çalışan tek bir kişi bulunuyor.
Operasyonlar, çoğunluğu yarı zamanlı 14 sözleşmeli yazılımcıyla yürütülüyor.
Yapay zeka araçları kod önerilerini iki katına çıkarırken denetim yükünü artırdı.
Haberin Detayı
Küresel internet ağındaki web sitelerinin yaklaşık yüzde 70 oranında belkemiğini oluşturan açık kaynaklı PHP dili, yaklaşık otuz yıllık geçmişinin ardından ciddi bir operasyonel kaynak sıkıntısıyla karşı karşıya kaldı. İnternet dünyasının en yaygın kullanılan programlama dillerinden biri olan bu yapının güvenliği, güncellemeleri ve geliştirme süreçleri, kar amacı gütmeyen PHP Foundation organizasyonu tarafından koordine ediliyor. Ancak milyonlarca kurumsal sistemi ve popüler içerik yönetim sistemini doğrudan ilgilendiren bu devasa organizasyonun arkasında son derece kısıtlı bir insan kaynağı yer alıyor.
PHP Foundation İcra Direktörü Elizabeth Barron tarafından paylaşılan verilere göre vakıf çatısı altında tam zamanlı görev yapan yalnızca bir personel bulunuyor. Bu devasa ekosistemin operasyonel yükü, çoğunluğu yarı zamanlı çalışan on dört sözleşmeli yazılımcı ve hiçbir maddi karşılık bekletmeden tamamen gönüllü esasıyla katkı sunan yönetim kurulu üyeleri tarafından omuzlanıyor. Sadece bireysel ve kurumsal bağışlar ile hibeler yoluyla finansman sağlayan bu yapı, son dönemde tırmanışa geçen siber saldırı tehditlerini göğüslemekte bütçe ve personel bazında yetersiz kalıyor.
Son dönemde yapay zeka destekli kod yazım araçlarının yaygınlaşması, dilin geliştiricileri için iki ucu keskin bir süreç yarattı. Yapay zeka asistanları kod tabanında uzun süredir fark edilmeyen derin güvenlik açıklarının tespit edilmesine yardımcı olurken, aynı zamanda geliştirici ekibin iş yükünü katbekat artırdı. Otomatik sistemler vasıtasıyla kod üreten yazılımcılar, projeye geçen yıla oranla iki kat daha fazla yama ve değişiklik önerisi göndermeye başladı. Gönderilen bu yoğun taleplerin güvenilirliği otomatik araçlarla tam olarak doğrulanamadığı için kıdemli mühendislerin manuel inceleme yapması zorunlu hale geliyor.
Gelen talep ve kod önerisi sayısı iki katına çıkarken, çekirdek ekip içinde bu incelemeleri yapabilecek nitelikli geliştirici kadrosu aynı oranda büyüme göstermedi.
Söz konusu güvenlik açıkları üzerinden milyonlarca saldırı girişimi engellendiği Cloudflare tarafından duyurulurken, AWS gibi büyük bulut sağlayıcıları ise yamalar yayınlanmadan önce bu açıkların kötü niyetli aktörlerce istismar edilmiş olabileceğine dikkat çekti. Teknolojinin merkezinde yer alan dev şirketlerin milyarlarca dolarlık gelirleri PHP altyapısına dayanırken, bu kritik yapıyı ayakta tutan çekirdek ekibin bağışlara ve tek bir lidere bağımlı kalması ekosistemin finansman modelinin acilen yenilenmesi gerektiğini işaret ediyor.
AI YORUMUHaberinAi editör analizi
Açık kaynak ekosisteminin milyarlarca dolarlık ekonomik hacme sahip web projelerini tek bir çalışanla sırtlaması, modern yazılım dünyasının en büyük çelişkilerinden birini oluşturuyor. Kaynak verilerinin açıkça ortaya koyduğu üzere, on dört sözleşmeli ve bir tam zamanlı personelden oluşan bir kadro, dünya trafiğinin yüzde 70'ini barındıran bir yapıyı korumakta zorlanıyor. Şirketler bu altyapıdan milyarlarca dolar gelir elde ederken finansal sorumluluğun bağışlara bırakılması büyük bir güvenlik açığı riski doğuruyor. Destek modelleri kurumsal bağışlarla güçlendirilmezse, gelecekte çok daha büyük ölçekli siber krizlerle karşılaşılması kaçınılmaz hale gelecektir.
İnternet sitelerinin büyük bölümünde kullanılan PHP altyapısında, yapay zeka araçlarıyla on yılı aşkın süredir gizli kalan güvenlik açıkları tespit edildi. Küresel çapta kritik platformlar geçici olarak kapatılırken Türkiye'de ulusal tarama süreci başlatıldı.
Yapay zeka modelleri PHP altyapısında otuz yıldır gizlenen zafiyetleri ortaya çıkardı.
Dünya genelinde kamu ve özel sektör platformları erişime geçici olarak kapatıldı.
Siber Güvenlik Başkanlığı kurumlar için acil kodlu güvenlik taraması başlattı.
Siber güvenlik alanında son dönemin en büyük altyapı alarmı verilirken, internet sitelerinin yaklaşık yüzde yetmişinde kullanılan PHP yazılım dilinde kritik zafiyetler saptandı. OpenAI ve Google tarafından geliştirilen ileri düzey yapay zeka modellerinin kod denetim süreçlerinde kullanılması, on yılı aşkın süredir fark edilmeyen bu gizli açıkların gün yüzüne çıkmasını sağladı. Wiz Research ve Calif gibi güvenlik şirketlerinin ortak çalışmaları sonucunda ortaya çıkan durum, dijital dünyada geniş çaplı önlemlerin alınmasını tetikledi.
Tespit edilen güvenlik açıklarının kötü niyetli kişiler tarafından istismar edilmesini önlemek amacıyla pek çok ülke radikal adımlar attı. Kritik altyapı işletmecileri ve kamu kurumları, teknik güncelleme süreçlerinde sistem kontrolünü kaybetmemek adına platformlarını geçici olarak servis dışı bırakmayı tercih etti. Uzmanlar, bu erişim kesintilerinin aktif bir siber saldırı sonucunda gerçekleşmediğini, tamamen koruyucu ve önleyici bir tedbir niteliği taşıdığını özellikle vurguluyor.
Küresel alandaki bu gelişmelerin ardından Türkiye Cumhuriyeti Siber Güvenlik Başkanlığı da hızlı bir şekilde harekete geçti. Başkanlık tarafından yapılan resmi duyuruda, olası risklerin erken aşamada tespit edilmesi ve etkilerin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarının başlatıldığı ifade edildi. Kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarına acil kodlu güvenlik bildirimleri iletildiği bilgisi paylaşıldı.
Yetkililer, kurumların sistemlerini detaylı şekilde gözden geçirerek gerekli güncellemeleri ivedilikle hayata geçirmesinin kritik önemde olduğunu belirtti. Dijital altyapıların güvenliğinin korunması ve kesintisiz hizmet akışının sürdürülmesi adına ulusal düzeydeki koordinasyon çalışmalarının aralıksız devam edeceği aktarıldı. Öte yandan uzmanlar, gerekli güncellemeleri yapmayan küçük işletmeler ile bireysel web sitesi sahiplerinin ilerleyen süreçte siber korsanların hedefi olabileceği yönünde uyarılarını yineliyor.
AI YORUMU
Kod denetim süreçlerinde yapay zekanın devreye sokulması, onlarca yıldır fark edilmeyen güvenlik açıklarının tek bir hamlede ortaya dökülmesini sağladı. Yaklaşık yüzde yetmişlik pazar payına sahip bir altyapıda böylesi büyük zafiyetlerin çıkması, yazılım dünyasında ezberlerin bozulduğunun açık bir göstergesidir. Özellikle küçük ölçekli işletmeler ve bireysel site sahipleri güncellemeleri ihmal ederse saldırganlar için kolay birer hedef haline gelecektir. Geçmişte manuel incelemelerle haftalar süren taramalar yapay zeka sayesinde dakikalara inerken, savunma tarafı da saldırganlar kadar hızlı adapte olmak zorundadır.
Linux çekirdeğine ait henüz kapatılmamış kritik güvenlik açıklarının yanlışlıkla açık bir e-posta listesinde paylaşıldığı ortaya çıktı. On üzerinden dokuz puan alan iki güvenlik sorunu, belirli koşullar altında uzaktan kod çalıştırılmasına zemin hazırlayabilir.
CVSS ölçeğinde 9,0 puan alan iki kritik açık uzaktan kod çalıştırma riski barındırıyor.
Güvenlik açıkları Zero Day Initiative tarafından normal süreç dışında açık listeye sızdırıldı.
Ağ kodu, VMware grafik sürücüsü ve NVMe hedef kodunda da çeşitli hatalar raporlandı.
Açık kaynak dünyasının en temel yapı taşlarından biri olan Linux çekirdeğinde tespit edilen birtakım kritik zafiyetler, yamalar henüz sistemlere ulaşmadan herkesin erişebildiği bir e-posta listesinde paylaşıldı. Trend Micro bünyesinde faaliyet gösteren Zero Day Initiative tarafından bildirilen bu sorunların, normal şartlarda işletilmesi gereken gizli bildirim süreci yerine yanlışlıkla kamuya açık şekilde yayımlandığı tahmin ediliyor. Ancak söz konusu paylaşımın teknik bir hatadan mı kaynaklandığı henüz netlik kazanmış değil.
Paylaşılan açıklar arasında güvenlik dünyasında oldukça yüksek bir risk seviyesini temsil eden CVSS ölçeğinde 10 üzerinden 9,0 puan alan iki sorun dikkat çekiyor. Bu kritik açıkların biri Linux işletim sisteminin SMB Direct bileşenini, diğeri ise çekirdek içerisindeki SMB sunucu uygulaması olan KSMBD bileşenini etkiliyor. Uzmanlar, her iki açığın da uygun koşulların sağlanması durumunda kötü niyetli kişilerin sistemlerde uzaktan kod çalıştırmasına olanak tanıyabileceği konusunda uyarıyor.
Liste üzerinden yayımlanan diğer güvenlik bildirimleri arasında yerel ayrıcalık yükseltme saldırılarına kapı aralayabilecek ağ kodu ve VMware grafik sürücüsü hataları da bulunuyor. Bununla birlikte NVMe hedef kodunu etkileyen ve sistemdeki hassas bilgilerin dışarı sızmasına yol açabilecek bir başka zafiyet de raporlar arasında yer alıyor. Bazı açıklar için test süreçleri ve düzeltme çalışmaları başlamış olsa da, bu yamaların henüz Linux çekirdeğinin ana kararlı sürümüne entegre edilmediği biliniyor.
Yaşanan bu sızıntı, sunucu altyapılarını ve internet ekosistemini sarsan diğer güvenlik olaylarıyla aynı döneme denk geldi. Kısa süre önce eMudhra ile bağlantılı TLS ve SSL sertifikalarının özel anahtarlarının ele geçirildiği, sekiz ara sertifikanın güvenliğinin zedelendiği ortaya çıkmıştı. Web sitelerinin büyük bir bölümünde kullanılan PHP tarafında da acil kodlu güncellemeler gerektiren zafiyetler bildirilmiş, GitLab ve HTTP/3 altyapılarında benzer kritik açıklar peş peşe rapor edilmişti.
AI YORUMU
Sistem yöneticileri için yama süreçlerinin ne denli hızlandırılması gerektiğini gösteren bu sızıntı, açık kaynak kodlu projelerde bilgi güvenliğinin insan hatasına açık yönlerini gözler önüne seriyor. Özellikle 9,0 gibi yüksek bir CVSS puanına sahip zafiyetlerin erken duyurulması, kötü niyetli kişilere henüz yama yapmamış sunucuları hedef almak için geniş bir zaman aralığı tanır. Şirketler ve sunucu işletmecileri, çekirdek güncellemelerini ertelemeden uygulamadığı sürece bu tür sızıntılar altyapılar için ciddi bir felaket senaryosunu gerçeğe dönüştürebilir.
Çin merkezli Moonshot AI, yazılım geliştirme ve 3D modelleme alanlarında iddialı olan Kimi K3.1 Pro modelini tanıttı. Bir milyon token bağlam penceresine sahip sistem, terminal testlerinde yüzde 65,7 başarı yakaladı.
Kimi K3.1 Pro, Terminal-Bench 4.0 testinde yüzde 65,7 başarı oranı elde etti.
Yeni model, standart sürüme kıyasla iki ila üç kat daha hızlı çalışan Highspeed seçeneğiyle geliyor.
Sistem, metin ve eskizlerden 3D modeller üretebilirken Unity ve Unreal Engine projelerini destekliyor.
Yapay zeka alanındaki çalışmalarına devam eden Çin merkezli Moonshot AI şirketi, Kimi model ailesinin en yeni üyesi Kimi K3.1 Pro seçeneğini kullanıcılarla buluşturdu. Bu yeni sistem ve daha hızlı işlem yapabilen Highspeed sürümü, markanın kendi ürünleri ile API altyapısı üzerinden erişime açıldı. Şirket yönetimi, modelin temel ağırlık dosyalarını 4 Kasım tarihine kadar kamuoyuyla paylaşmayı planlıyor.
Temelini Kimi K3 mimarisinden alan yeni model, ek eğitim aşamasında çok daha fazla hesaplama kaynağından faydalanıyor. Tam 1 milyon token büyüklüğünde bir bağlam penceresi barındıran K3.1 Pro, son derece uzun metin içeriklerini ve belgeleri tek seferde işleyebilme kapasitesi sunuyor.
Yazılım geliştirme ve üç boyutlu tasarım süreçleri, modelin en iddialı olduğu alanlar arasında öne çıkıyor. Geliştiriciler bu yapıyı mevcut kodlardaki hataları ayıklamak ve Unity, Unreal Engine ile Godot gibi popüler oyun motorlarıyla yeni projeler üretmek için kullanabiliyor. Sistem, metin girdileri, eskizler veya referans görseller aracılığıyla doğrudan 3D modeller oluştururken Blender ve CAD yazılımları için de kod yazabiliyor.
Şirket tarafından yayımlanan test sonuçlarına göre K3.1 Pro, terminal tabanlı yazılım görevlerini ölçen Terminal-Bench 4.0 değerlendirmesinde yüzde 65,7 başarı oranına ulaşıyor. Aynı kıyaslamada rakip modellerden GPT-6 Astra yüzde 58,2 seviyesinde kalırken, Claude Opus 5.5 ise yüzde 66,4 oranını yakalıyor. Bu başarı oranlarının doğrudan geliştirici şirketin kendi paylaştığı verilere dayandığı biliniyor.
Finansal araştırmalar da modelin yeteneklerinin artırıldığı dikey alanlar arasında yer alıyor. Yapı; karmaşık finansal belgeleri inceleme, farklı veri kaynaklarındaki bilgileri çapraz karşılaştırma ve çok adımlı hesaplamalar gerçekleştirme konularında güçlendirildi. Şirketin zorlu sorular içeren dahili testlerinde, iddia bazlı hatalı bilgi üretme oranı Kimi K3 sürümündeki yüzde 23,4 seviyesinden yüzde 8,3 oranına geriledi.
Model ağırlıklarının paylaşım takvimi yaklaşırken şirket, olası siber saldırı risklerini engellemek için güvenlik tedbirleri aldı. Eğitim verilerinden ve pekiştirmeli öğrenme ortamlarından siber güvenlikle ilgili bazı hassas içerikler çıkarıldı. Ağırlıkların tamamen yayımlanması, yazılımcıların bu yapıyı kendi fiziksel altyapılarında çalıştırmasına ve projelerine göre uyarlamasına zemin hazırlayacak.
AI YORUMU
Yazılım dünyasında kod yazma ve hata ayıklama süreçlerini otomatikleştiren araçların performansı artık test skorlarıyla sınırda kalmıyor, doğrudan entegrasyon kabiliyetine bakılıyor. Terminal-Bench 4.0 testinde elde edilen yüzde 65,7 başarı oranı, modelin rekabetçi yapısını gösterirken önceki nesilde yüzde 23,4 olan hata payının yüzde 8,3 seviyesine düşmesi güvenilirliği artırıyor. Bu gelişme, özellikle oyun geliştirme ve CAD odaklı çalışan mühendislerin iş akışını hızlandırarak maliyetleri düşürebilir. Ancak model ağırlıklarının açık kaynak olarak paylaşılacak olması, güvenlik filtresi kaldırma risklerini de beraberinde getireceği için şirketlerin yerel altyapı denetimlerini sıkı tutmasını zorunlu kılıyor.
Fotoğraf: DOE / National Renewable Energy Laboratory (NREL)
Microsoft, Çin destekli Storm-0940 grubunun yapay zeka araçları kullanarak dünya genelinde yüzlerce kuruluşu hedef aldığını duyurdu. Saldırılarda tedarik zinciri açıkları ve bulut erişimleri kötüye kullanıldı.
Storm-0940 grubu yapay zeka destekli ARTEX aracını kullanarak sızma testleri gerçekleştirdi.
ConnectWise bulut uygulamaları üzerinden tedarik zinciri ihlalleri ve kalıcı erişimler sağlandı.
Havacılık, savunma, enerji ve kamu dahil pek çok farklı sektörden yüzlerce kuruluş etkilendi.
Teknoloji devi Microsoft, Çin devlet destekli olduğu değerlendirilen Storm-0940 isimli hacker grubunun küresel çapta geniş katılımlı bir siber saldırı kampanyası düzenlediğini duyurdu. Yapay zeka destekli sızma testi aracı ARTEX üzerinden yürütülen operasyonda, dünya genelindeki yüzlerce farklı kuruluşun sistemleri hedef alındı. Yapılan incelemeler, saldırıların BT hizmet sağlayıcısı ConnectWise platformu üzerindeki açıklar nedeniyle tedarik zinciri zafiyetine dayandığını ortaya koydu.
Saldırganlar, ConnectWise Cloud Backup uygulamasının geçmişte aldığı erişim izinlerini ve kimlik doğrulama mekanizmalarını kullanarak hedef ağlara sızdı. Bu yöntem sayesinde her hedef kurum için ayrı bir kullanıcı etkileşimi gerektirmeyen oturum açma süreçleri işletildi ve yetkisiz erişimler sürdürüldü. ConnectWise yönetimi güvenlik açıklarını kapatmak ve bağlantıları kontrol altına almak için önlemler aldığını duyururken, şirket müşterilerinin de kendi sistem kayıtlarını ayrıca incelemesi gerektiği vurgulandı.
Operasyonun arka planında yer alan ARTEX aracı, ağlardaki zafiyetleri tespit etmek amacıyla tasarlanmış açık kaynaklı bir yapay zeka çerçevesi olarak biliniyor. Farklı yapay zeka modelleriyle entegre çalışan bu araç, keşif faaliyetleri ve veri dışarı aktarma gibi kritik görevleri otonom hale getiriyor. Microsoft, saldırganların bu yazılım sayesinde hedef ortamlarda hızla yüksek ayrıcalıklı ve kalıcı bulut erişimleri elde ettiğini, ilk izler temizlense bile varlıklarını koruyabildiklerini bildirdi.
Gerçekleştirilen kampanyanın hedef skalası havacılık, savunma, otomotiv, enerji, finans, kamu, medya ve yazılım gibi çok geniş bir sektörel yelpazeyi kapsadı. Düşünce kuruluşları ile kâr amacı gütmeyen organizasyonlar da saldırı listesinde yer alan diğer yapılar arasında bulundu. Çin Washington Büyükelçiliği sözcüsü ise Pekin yönetiminin her türlü siber saldırıya karşı olduğunu ve bu konunun ülkeye yönelik suçlamalar için gerekçe yapılmaması gerektiğini belirtti.
AI YORUMU
Siber saldırılarda yapay zeka destekli otonom araçların kullanılmaya başlanması, savunma hatlarının manuel tehdit modellemesinden çok daha hızlı hareket eden sistemlere karşı yetersiz kalabildiğini net bir şekilde gösteriyor. Storm-0940 grubunun ConnectWise gibi yaygın kullanılan bir tedarik zinciri bileşenini kaldıraç olarak seçmesi, tek bir yazılım bağımlılığının yüzlerce farklı sektörü aynı anda nasıl riske atabileceğini ortaya koyuyor. Özellikle havacılık, enerji ve kamu gibi kritik altyapı işletmecilerinin geleneksel kimlik doğrulama katmanlarını otonom tehditlere karşı güncellememe lüksü kalmadı; aksi takdirde benzer tedarik zinciri sızıntıları kalıcı bulut erişimlerine zemin hazırlamaya devam edecek.
Fotoğraf: Daudi mukiibi · CC BY-SA 4.0 · Wikimedia Commons 
