PHP2Shell: Yapay zekânın keşfettiği PHP açıkları yama ile sömürü arasındaki süreyi çökertti

Yapay zekâ tarafından keşfedilen iki PHP açığı

Drew Silcock'un 23 Ekim'de, Hacker News'in ana sayfasına ulaştıktan sonra yayımlanan blog yazısı, birkaç ciddi güvenlik açığının neredeyse aynı anda ortaya çıktığı bir haftayı ele alıyor. En büyüğü, PHP'deki CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen ve PHP2Shell olarak adlandırılan uzaktan kod çalıştırma (RCE) ikilisi.

Yazıya göre açıkları iki ayrı ekip buldu: biri OpenAI'nin "Patch the Planet" programı kapsamında çalışan Kaliforniya merkezli güvenlik firması Calif'ten, diğeri artık Google Cloud'un parçası olan bulut güvenliği şirketi Wiz'den. Her iki ekibin de sadece açıkları bulmak için değil, çalışan exploitler geliştirmek için de en ileri AI modellerini — GPT-5.6 Sol ve Gemini 4 Argon — kullandığı bildiriliyor.

Silcock'a göre asıl ilginç olan, açıklardan birinin zaten biliniyor olması. Sovereign Tech Agency tarafından finanse edilen 2024 tarihli bir PHP Foundation denetimi, CVE-2026-109618'i işaretlemişti; ancak kimse teorik sorunu pratik bir saldırıya dönüştüremediği için rafa kaldırıldı. Teorik zayıflıkları tam teşekküllü exploite dönüştürmek, büyük dil modellerinin şimdi tam olarak iyi yaptığı şey, diye yazıyor: Bir agent'a yama duyurusundan sonra bir codebase'i gösterin; diff'leri okuyacak, güvenlik düzeltmesini tespit edecek, altta yatan hataya geriye doğru çalışacak ve çalışan bir exploite kadar ilerleyecek. Kesin ifadesiyle şu: Bir yamanın duyurulduğu an, tam teşekküllü bir exploitin dolaşımda olmadığı son an olarak görülmeli.

Yazıda alıntılanan Wiz Research raporu, açıkların internetin yaklaşık %70'ini etkilediğini tahmin ediyor. Adı geçen kurbanlar arasında Wikimedia, DeviantArt, İngiltere hükûmetinin büyük bir kısmı, Japon bankacılık sistemleri ve BBC'nin The Traitors web sitesi var.

Çöken embargo

Koordineli açıklama, yama yayımlanmadan önce dağıldı. Hacker News kullanıcısı petecooper, görünüşe göre bir embargo olduğundan habersiz bir şekilde CVE'ler hakkında yazı gönderdi; bu da The PHP Group'un aceleyle bir açıklama yapmasını ve yayımı Perşembe 22 Ekim'den Çarşamba 21 Ekim'e bir gün öne almasını tetikledi. Sızıntı 10.0'luk CVSS skorları içeriyordu; gerçek skorlar 9.2'ydi.

PHP Foundation daha sonra sızıntıdan Calif'i sorumlu tuttu — Silcock'a göre exploitin çalışır haldeki videosu, fon müziği ve dans eden bir anime figürüyle birlikte sızdırılmıştı — ve Chainguard'ı da embargo kalkmadan altı saat önce düzeltmeleri yayımladığı için eleştirdi. Foundation'a göre her ikisi de saldırganların sistem yöneticilerini geçmesine izin verdi. Silcock, bütün bu hata zincirinin kabaca 17 saate sıkıştığını ve yama gerçekten kullanılabilir olduğunda açığın yaygın olarak sömürülmekte olduğunu belirtiyor. İngiltere, AB, Japonya ve ABD hükûmetlerinin acil duyuruları paniği büyüttü; Silcock bunu kısmen PHP'nin uzun süredir devam eden güvensizlik ününe bağlıyor — herkesin aşırı tepki vermeye hazır olmasına — ancak hatanın bu alarmı gerçekten hak edebileceğini de kabul ediyor.

Exploit çöpü ve gerçek exploitler

Şüpheci olanlar, LLM'lerin sık sık hile yapan ya da kötü varsayımlara dayanan — örneğin sunucunun saldırganın yüklediği kodu çalıştırdığını varsayan — çalışmayan kanıtlar ürettiği için tehdidin abartıldığını savunuyor. Silcock, güvenlik eğitmeni LiveOverflow'a atıf yaparak, bozuk exploitlerin seli güvenlik açığını varsayımsal yapmadığını söylüyor: biri çalışıyorsa on bin işe yaramaz olanın hiçbir önemi yok. Gürültü, insan uzmanlığının da hâlâ vazgeçilmez olduğu anlamına geliyor — modelin ürettiğini değerlendiremiyorsanız, hile yapıp yapmadığını anlayamazsınız.

eMudhra'nın minicik private key'leri

Aynı hafta Mozilla, "Wayne" adlı müstear bir araştırmacının bildirmesi üzerine Hint sertifika otoritesi eMudhra'nın sekiz ara sertifikasını engelledi; private key'leri küçücük değerlerdi — 115, 56 ve 4 gibi — oysa güvenli bir anahtar devasa bir sayı olmalıydı. Keşifte yapay zekânın rol oynadığına dair bir işaret yok, ancak araştırmacı Scott Helme, Claude'un tek bir prompt ile private key'leri kurtardığını belirtti. 23 Ekim itibarıyla eMudhra sertifika otoritesi işinden çıkacağını duyurdu.

Neden önemli

Silcock'un temel iddiası şu: LLM'ler, ciddi bir uzaktan kod çalıştırma hatasını öğrenmekten sofistike otomatik saldırılarla karşılaşmaya kadar geçen süreyi haftalardan veya aylardan saatlere ya da dakikalara indirdi. Bu, koordineli açıklamanın dayandığı varsayımları kırıyor: embargolar, erken yamalar ve kademeli dağıtımların hepsi saldırganların zamana ihtiyacı olduğunu varsayar. Güvenlik ekipleri artık bir düzeltme duyurulduğu anda bir exploitin var olduğunu varsaymalı; ayrıca AI üretimi çöp exploitlerin hacmi, gerçek tek silahı bir yığın bozuklardan ayırmak için deneyimli insanlara hâlâ ihtiyaç duyulduğu anlamına geliyor.