NSA uyarıyor: 2004'e uzanan iki kritik PHP açığı web sitelerinin %70'ini riske atıyor

NSA'dan tavsiye: Ya yamalayın ya da çevrimdışı alın

ABD Ulusal Güvenlik Ajansı (NSA) Çarşamba günü, PHP'deki iki kritik açığın web'in büyük bir bölümünü riske attığını ve hemen yamalanamayan her sitenin yamalanana kadar çevrimdışı alınması gerektiği konusunda uyarıda bulundu; bu bilgiye göre TechCrunch. Ajansın önerisi nettir: Yamalanmamış, internete açık bir PHP sunucusu, hiç sunucu olmamasından daha kötü bir seçenektir.

PHP, web uygulamalarında o kadar yaygın kullanılan bir sunucu tarafı dildir ki internetteki web sitelerinin yaklaşık %70'ini — bazı hesaplamalara göre 33 milyondan fazla siteyi — çalıştırır ve WordPress gibi büyük içerik yönetim sistemlerinin temelini oluşturur. TechCrunch'ın haberine göre açıklar, bir saldırganın sunucunun dosya sistemine veya web uygulamasının bağımlı olduğu bir veritabanına sızmasına olanak tanıyor.

2004'ten beri yayımlanan hatalar

TechCrunch'ın bildirdiğine göre açıklar, 2004'te gelen 5. sürümden bu yana yayınlanan her PHP sürümünde mevcut. Bu geçmiş, ciddi bir yamalama sorunu yaratıyor: PHP 8.1 ve daha eski dallar artık desteklenmiyor, dolayısıyla bunları kullanan sitelerin içinde yükseltebileceği düzeltilmiş bir sürüm yok. Bu sitelerin güncel bir sürüme geçmeleri gerekiyor; TechCrunch bu sürümü 8.5.12 olarak belirtiyor.

İki sorun CVE-2026-109618 ve CVE-2026-109619 tanımlayıcılarını aldı ve dev.to'daki bir yazıya göre, PHP-FPM ve mod_php çalıştıran kurulumlar dahil olmak üzere web isteklerine hizmet veren PHP kurulumlarını etkiliyor. Aynı yazı, desteklenen her daldeki ilk yamalı sürümleri de listeliyor: PHP 8.2 için 8.2.35, 8.3 için 8.3.36, 8.4 için 8.4.27 ve 8.5 için 8.5.12.

Yapay zeka açıkları buldu ve saldırganlar için engeli düşürdü

Buluşu kayda değer kılan, hataların nasıl ortaya çıktığı. TechCrunch'a göre, açık kaynak yazılımlardaki açıkları bulmaya yönelik OpenAI'nin "Patch the Planet" çabası kapsamında çalışan güvenlik test firması Calif, açıklardan birini GPT-5.6 Sol kullanarak ortaya çıkardı; OpenAI bunu bir blog yazısında açıkladı. Ayrı olarak Google'ın Wiz'i, PHP'deki birden çok açığı bulmak için Wiz Atlas güvenlik ajanını Gemini 4 Argon ve GPT-5.6 Sol ile birlikte kullandı.

Her iki kuruluş da kamuya açık duyurudan önce PHP projesiyle yamalar konusunda koordinasyon sağladı ve bulguları karşılaştırıp düzeltmeleri test etmek için birlikte çalıştı; TechCrunch. Wiz, yardımlarından dolayı Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ve Vercel'e teşekkür etti. WordPress, açığın kendi platformuna özgü olmadığını, ancak CMS'ini çalıştıran sitelerin yine de sunucularını yamalaması ve barındırma firmalarından korunduklarını teyit etmesi gerektiğini belirten bir açıklama yayınladı.

Duyuru sırasında sahada sömürüldüğüne dair herhangi bir rapor yoktu ve OpenAI, araştırmacıların suçlulardan önce hatalara ulaştığını söylüyor. TechCrunch'a göre tarihsel neden, açıkların saldırganlar için pratikte silaha dönüştürülmesinin daha önce çok zor olmasıydı. Wiz, bu engelin artık kalktığı konusunda uyardı; çünkü dil modelleri bir istismarı hedefin belirli PHP sürümüne, yapılandırmasına ve bellek düzenine uyarlamaya yardımcı olabiliyor. Başka bir deyişle, yapay zeka hem hataların erken bulunmasının hem de artık yüksek risk taşımasının nedeni.

Bir sitenin gerçekten yamalandığını doğrulamak

dev.to'daki yazı, maruziyeti dışarıdan kontrol eden herkese bir uyarı sunuyor: uzaktan alınan sinyaller size yalnızca sınırlı bilgi verebilir. Bir CDN yanıtı veya PHP sürüm başlığı, arkasındaki origin sunucusunun yamalandığını doğrulayamaz. Dış bir kontrol kesin sonuç vermezse, yazı barındırma sağlayıcısına canlı siteye hangi PHP paketinin hizmet verdiğini ve her iki CVE için düzeltmeleri içerip içermediğini sormayı öneriyor.

Neden önemli

Yirmi yıldır fiilen her PHP dağıtımıyla birlikte gelen iki açık artık kamuya malum ve onları bir zamanlar koruyan zorluk, onları bulan aynı türden yapay zeka araçları tarafından ortadan kaldırıldı. Sonuç, on milyonlarca sitenin işletmecilerinin güncelleme uygulaması ile saldırganların yapay zeka desteğiyle istismarları uyarlaması arasında bir yarış. PHP çalıştıran ekipler için pratik yapılacaklar listesi kısa: Her siteye hangi PHP dalı ve paketinin hizmet verdiğini belirleyin, o dal için yamalı sürüme güncelleyin ya da desteklenmeyen sürümlerden geçin, origin'in — yalnızca CDN kenarının değil — yamalandığını doğrulayın ve NSA'nın önerisini izleyerek yamalanamayan sistemleri düzeltilene kadar çevrimdışı alın.