PHP, sunucuları hedef alan kritik güvenlik açıklarına yama yayınladı

Yapay zeka araçlarıyla tespit edilen on yıllık PHP zafiyeti, siber saldırganların kimlik doğrulamasına gerek duyulmadan uzaktan kod çalıştırmasına zemin hazırlıyor. WordPress ve WooCommerce gibi dev platformları doğrudan etkileyen bu durum, küresel çapta geniş çaplı önlemler alınmasını zorunlu kılıyor.

• Yapay zeka yardımıyla on yılı aşkın süredir gizlenen PHP çekirdek zafiyetleri ortaya çıkarıldı.
• Saldırganlar herhangi bir şifre veya kimlik doğrulaması yapmadan doğrudan sunuculara sızabiliyor.
• WordPress ve WooCommerce gibi dünya genelindeki web sitelerinin büyük kısmı risk altında bulunuyor.

İnternet altyapısının temelini oluşturan açık kaynaklı programlama dili PHP, son yılların en büyük siber güvenlik krizlerinden biriyle karşı karşıya kaldı. Gelişmiş yapay zeka ajanları ve büyük dil modelleri kullanılarak yapılan derinlemesine taramalar, C diliyle yazılmış çekirdek kod tabanında on yıldan uzun süredir fark edilmeyen kusurları gün yüzüne çıkardı.

1994 yılından bu yana Rasmus Lerdorf öncülüğünde geliştirilen ve internet sitesi trafiğinin yaklaşık yüzde 70'ine güç veren bu mimari, harici eklentiler yerine doğrudan çekirdekte barındırdığı bu zafiyetle sarsıldı. İçerik yönetim sistemlerinin belkemiği olan WordPress, tüm web sitelerinin yüzde 40'ından fazlasında bu altyapıyı kullanması nedeniyle krizin odağında yer alıyor.

Siber güvenlik araştırmacılarının tespit ettiği bu kusurlar, teknik literatürde Kimlik Doğrulamasız Uzaktan Kod Çalıştırma olarak adlandırılan son derece tehlikeli bir kategoride yer alıyor. Geleneksel yöntemlerin aksine saldırganların sistem erişimi için herhangi bir yönetici yetkisine, oturum çerezine veya şifreye ihtiyacı bulunmuyor ve dışarıdan gönderilen tek bir paket zararlı kodun çalışmasını tetikleyebiliyor.

Geçmişte yaşanan PHP-FPM veya CGI karakter kodlama açıklarından farklı olarak, bu son durum doğrudan çekirdek mantığındaki ince hatalardan kaynaklanıyor. Wikipedia ve Slack gibi devasa platformların arka plan servislerinde de izleri bulunan bu dilin güvenliği, milyonlarca işletme ve e-ticaret sitesi için acil yama süreçlerinin başlatılmasını gerektiriyor.

Kaynak: ShiftDelete Haberin tam sayfası →

PHP programlama dilindeki kritik güvenlik açıkları, birçok ülkede kamu kurumlarının internet sitelerini kapatmasına neden oldu. Türkiye Siber Güvenlik Başkanlığı sistemlerde tarama başlatırken, PHP ekibi güncellemeleri yayınladı.

• PHP'deki iki kritik açık için 21 Ekim'de güncellemeler yayınlandı.
• ABD, Almanya, Fransa ve Hollanda gibi ülkelerde bazı kamu siteleri kapatıldı.
• Yapay zeka araçları yardımıyla keşfedilen açıklar on yıllık kusurları kapsıyor.

PHP programlama dilinde tespit edilen iki kritik güvenlik açığı, küresel ölçekte kamu kurumlarını harekete geçirdi. Saldırganların parola gerektirmeden sunucularda komut çalıştırmasına imkan tanıyan PHP2Shell açıkları, veri hırsızlığı riskini beraberinde getirdi. Bu durum üzerine kurumlar, güncellemeleri uygulamak ve riskleri azaltmak amacıyla bazı internet sitelerine erişimi durdurdu.

Türkiye'de Siber Güvenlik Başkanlığı ülke genelindeki sistemler için kapsamlı bir güvenlik taraması başlattı. ABD Ulusal Güvenlik Ajansı da kuruluşlara acil güncelleme çağrısı yaparken, güncellemeyi hemen yapamayacak olanların sitelerini geçici olarak kapatmasını önerdi. Almanya, Fransa, Belçika, Hollanda, Finlandiya ve Çekya gibi ülkelerde de idari birimler resmi sitelerini devre dışı bıraktı.

Söz konusu açıkların keşif sürecinde yapay zeka modelleri kritik bir rol oynadı. Calif adlı güvenlik şirketi ve OpenAI araştırmacıları, yapay zeka yardımıyla bağımsız ancak birbiriyle bağlantılı sorunları ortaya çıkardı. Wiz tarafından yürütülen araştırmalar da on yılı aşan bazı kod kusurlarını gün yüzüne çıkardı.

PHP geliştirici ekibi, güvenlik açıklarını kapatan yeni sürümleri 21 Ekim tarihinde erişime açtı.

Kaynak: CHIP Online Haberin tam sayfası →

İnternet sitelerinin yüzde 70'ine güç veren PHP programlama dilinde iki kritik güvenlik açığı belirlendi. Uzmanlar uzaktan kod yürütülmesine zemin hazırlayan bu riskin resmi CVSS puanını 9,2 olarak açıkladı. Geliştirici ekip sistem yöneticilerini hızla güncelleme yapmaya çağırdı.

• Resmi ölçekte 9,2, watchTowr analizinde ise 10 tam puanlık tehlike belirlendi.
• Açıkları bulup doğrulama aşamasında GPT-5.6 Sol ve Wiz yapay zekaları kullanıldı.
• WordPress, Laravel ve Drupal gibi yaygın platformları hedef alan istismar araçları görüldü.

Web dünyasının en yaygın altyapılarından biri olan PHP programlama dilinde keşfedilen iki kritik güvenlik zafiyeti küresel çapta geniş çaplı bir hareketlilik başlattı. İnternet üzerindeki aktif sitelerin yaklaşık yüzde 70'inde sunucu tarafı operasyonları yürüten yazılım için resmi geliştirme ekibi 20 Ekim tarihinde güvenlik yamalarını kullanıma sundu. Yapılan duyuruda açıkların kapatılması amacıyla yöneticilerin ivedilikle sistemlerini güncellemesi istendi.

Tespit edilen açıklar resmi CVSS v4.0 derecelendirmesinde 10 üzerinden 9,2 puan alırken siber güvenlik kuruluşu watchTowr tehlike seviyesini doğrudan 10 tam puan olarak bildirdi. Zafiyetlerin kesin teknik detayları ve tam sürüm aralıkları henüz kamuoyuyla paylaşılmadı. Buna karşın açığın laboratuvar testlerinde doğrulanması ve sunucu üzerinde doğrudan komut çalıştırma yetkisi tanıması tehdidin boyutunu katladı.

Söz konusu güvenlik açıklarının gün yüzüne çıkarılmasında gelişmiş yapay zeka modelleri kilit rol üstlendi. Calif bünyesindeki araştırmacıların OpenAI tarafından geliştirilen GPT-5.6 Sol modelini kullanarak keşfettiği zafiyetler, Google çatısı altındaki Wiz güvenlik şirketi tarafından da doğrulandı. Yapay zeka teknolojileri normalde aylar sürebilecek karmaşık mantık hatası senaryolarını dakikalar seviyesine indirerek saldırı araçlarının hızlıca üretilmesine yol açtı.

Siber korsanların hedefinde CVE-2026-109618 ve CVE-2026-109619 kodlu açıklardan yararlanan PHP2Shell isimli bir istismar aracının bulunduğu belirtiliyor. Bu aracın WordPress 7.1.3, MediaWiki 1.46.2, Laravel 13.36.0, Magento 2.4.9 ve Drupal 11.4.10 gibi dev platformlarda yetkisiz kod işlettiği öne sürülüyor. Güvenlik şirketi Sansec ise ilk kitlesel saldırı dalgalarının yamaların çıkışından 15 dakika sonra başlayabileceği uyarısında bulundu.

Kaynak: Webtekno Haberin tam sayfası →

İnternet sitelerinin büyük bölümünde kullanılan PHP altyapısında, yapay zeka araçlarıyla on yılı aşkın süredir gizli kalan güvenlik açıkları tespit edildi. Küresel çapta kritik platformlar geçici olarak kapatılırken Türkiye'de ulusal tarama süreci başlatıldı.

• Yapay zeka modelleri PHP altyapısında otuz yıldır gizlenen zafiyetleri ortaya çıkardı.
• Dünya genelinde kamu ve özel sektör platformları erişime geçici olarak kapatıldı.
• Siber Güvenlik Başkanlığı kurumlar için acil kodlu güvenlik taraması başlattı.

Siber güvenlik alanında son dönemin en büyük altyapı alarmı verilirken, internet sitelerinin yaklaşık yüzde yetmişinde kullanılan PHP yazılım dilinde kritik zafiyetler saptandı. OpenAI ve Google tarafından geliştirilen ileri düzey yapay zeka modellerinin kod denetim süreçlerinde kullanılması, on yılı aşkın süredir fark edilmeyen bu gizli açıkların gün yüzüne çıkmasını sağladı. Wiz Research ve Calif gibi güvenlik şirketlerinin ortak çalışmaları sonucunda ortaya çıkan durum, dijital dünyada geniş çaplı önlemlerin alınmasını tetikledi.

Tespit edilen güvenlik açıklarının kötü niyetli kişiler tarafından istismar edilmesini önlemek amacıyla pek çok ülke radikal adımlar attı. Kritik altyapı işletmecileri ve kamu kurumları, teknik güncelleme süreçlerinde sistem kontrolünü kaybetmemek adına platformlarını geçici olarak servis dışı bırakmayı tercih etti. Uzmanlar, bu erişim kesintilerinin aktif bir siber saldırı sonucunda gerçekleşmediğini, tamamen koruyucu ve önleyici bir tedbir niteliği taşıdığını özellikle vurguluyor.

Küresel alandaki bu gelişmelerin ardından Türkiye Cumhuriyeti Siber Güvenlik Başkanlığı da hızlı bir şekilde harekete geçti. Başkanlık tarafından yapılan resmi duyuruda, olası risklerin erken aşamada tespit edilmesi ve etkilerin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarının başlatıldığı ifade edildi. Kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarına acil kodlu güvenlik bildirimleri iletildiği bilgisi paylaşıldı.

Yetkililer, kurumların sistemlerini detaylı şekilde gözden geçirerek gerekli güncellemeleri ivedilikle hayata geçirmesinin kritik önemde olduğunu belirtti. Dijital altyapıların güvenliğinin korunması ve kesintisiz hizmet akışının sürdürülmesi adına ulusal düzeydeki koordinasyon çalışmalarının aralıksız devam edeceği aktarıldı. Öte yandan uzmanlar, gerekli güncellemeleri yapmayan küçük işletmeler ile bireysel web sitesi sahiplerinin ilerleyen süreçte siber korsanların hedefi olabileceği yönünde uyarılarını yineliyor.

Kaynak: EHA Medya Haberin tam sayfası →