Yapay Zekâ Destekli Keşfedilen İki Kritik PHP Hatası Küresel Yama Uyarılarını Tetikledi

Ne oldu

21 Ekim 2026 akşamında Japonya başbakanı Sanae Takaichi televizyonda görünerek site sahiplerinden, sitelerinin PHP çalıştırıp çalıştırmadığını kontrol etmelerini ve bir güvenlik güncellemesi çıkar çıkmaz yüklemelerini istedi. Yama uygulanamayan durumlarda ise sitenin bazı bölümlerinin geçici olarak kapatılmasını önerdi. Yaklaşık bir saat sonra PHP iki kritik güvenlik açığı için düzeltmeleri yayımladı ve ABD Ulusal Güvenlik Ajansı (NSA) daha da ileri giderek yama uygulayamayan operatörlere sistemlerini çevrimdışıya almalarını tavsiye etti. Bu bilgiler, Calif, Wiz, php.net ve resmî uyarılara dayanan, özgün olarak Medium'da yayımlanan bir dev.to gönderisinden alındı.

Hiç düzeltilmeyen iki eski hata

Her iki hata da bir isteğin bellek sınırını tükettiğinde PHP'nin verdiği tepkiyi istismar ediyor. PHP isteği durduruyor; ancak bu, iç veri yapısı yarım kurulmuşken gerçekleşirse temizlik atlanıyor: bellek serbest bırakılırken ona işaret eden pointer'lar yaşamaya devam ediyor. Aynı worker sürecinin ardından ele aldığı istek, bu serbest bırakılmış belleğe güveniyor ve saldırgan bu belleği kendi verisiyle önceden doldurabiliyor. Gönderiye göre, tek bir hazırlanmış yükleme, PHP'nin varsayılan 8 MiB yükleme sınırının çok içinde kalarak varsayılan 128 MiB bellek sınırını tüketebiliyor; ne oturum açma gerekiyor ne de sitenin kendi kodunda bir hata bulunması. PHP bu sorunları CVE-2026-109618 ve CVE-2026-109619 olarak takip etti; her birine 10 üzerinden 9.2 puan verildi.

Sorun yeni değildi. Araştırmacı Stefan Esser 2004'te PHP'nin bellek sınırını işleme biçiminde uzaktan istismar edilebilir bir bulmuştu. 2020'deki bir hata bildirimi, uzun form değişkenlerinin belleği tüketebildiğine dikkat çekmiş ama zararsız olduğu gerekçesiyle geri çevrilmişti. OSTIF ve Quarkslab'ın 2024'teki denetimi sorunu yeniden keşfetti; ancak gösterilen bir saldırı yolu olmadığından düzeltilmeden kaldı.

Denetimlerin bulamadığını yapay zekâ buldu

30 Temmuz 2026'da OpenAI, açık kaynak bakımcılarını destekleyen Patch the Planet programına güvenlik firması Calif'i davet etti. Calif'den Ryan Austin PHP'yi seçti ve OpenAI'nin GPT-5.6 Sol modeliyle çalışan Austin, 1 Ağustos'a kadar WordPress üzerinde çalışan bir uzaktan kod yürütme elde etti. Calif ilk hatayı 11 Ağustos'ta bildirdi ve 14 Ağustos'ta çalışan bir exploit teslim etti. Ayrı olarak Wiz Research, aynı hata ailesini 19 Ağustos'ta Gemini 4 Argon, GPT-5.6 Sol ve kendi Wiz Atlas aracını kullanarak buldu ve varyantlarını 24 Ağustos'ta bildirdi.

Austin, Esser'in 2004 hatasının akrabalarının hâlâ kodda gizlendiği teorisinden yola çıktı. Modele, denetlenebilir bellek yetersizliği (out-of-memory) hataları ve görev ortasında kesilebilen kod araması için prompt verdi; model, PHP'nin yeni bir iç tablo girdisini tamamen kurulamadan canlı saydığını fark etti. Bu bulgu, başka varyantları da ortaya çıkaran yeniden kullanılabilir bir arama desenine dönüştü. Calif, özel bir harness kullanmadıklarını ve yalnızca herkese açık modellerden yararlandıklarını söylüyor: uzman yönü, model hızı sağladı. Wiz, istismar tarafında benzer bir dinamik bildiriyor; sınırların ötesindeki modeller çalışan exploit'leri saatler içinde uygulamalar arasında uyarlıyor ve tek bir araştırmacı, daha önce dünya çapında bir ekibin aylarca ihtiyaç duyacağı işi bir haftada başarıyor.

Bir sızıntı erken sürümü zorunlu kıldı

Eşgüdümlü açıklamanın 22 Ekim için planlanmıştı. 20 Ekim'de anonim bir Hacker News gönderisi hataların gerçek olduğunu iddia etti; gönderi silindi ama ekran görüntüleri, Calif'in özel exploit aracı PHP2Shell'ın görüntüleri ve videosuyla birlikte X ve Mastodon'a yayıldı. PHP sürümü 21 Ekim 14:00 UTC'ye çekti ve watchTowr açıkıkların gerçek olduğunu doğruladı. Saldırılar çoktan başlamıştı: Sansec'e göre Cloudflare ilk denemeleri, herhangi bir yama var olmadan altı saatten fazla önce, 07:43 UTC'de kaydetti. Yaklaşık on bir haftalık sessiz dönem boyunca Linux dağıtımları yamaları erken almış, Cloudflare, AWS, Google, Microsoft, Fastly ve Akamai dahil büyük sağlayıcılar firewall kuralları hazırlamış, OpenAI ise Beyaz Saray'ın Super Intelligence Force birimini, Ulusal Siber Güvenlik Direktörü Ofisi'ni (ONCD) ve CISA'yı bilgilendirmişti.

Yamalı sürümler, düzensiz dağıtım

PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı; NSA, FBI, CISA, Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi ve CERT-EU uyarı yayımladı. Patchstack'ın NOS'a dayandırdığı bilgiye göre Hollanda'da DigiD, MijnOverheid, Temsilciler Meclisi web sitesi ve Hollanda ulusal siber güvenlik merkezinin kendi sitesi çevrimdışıya alındı. Investing.com'a göre Cloudflare hisseleri o gün yaklaşık yüzde 5 yükseldi; şirket, açıklamanın ardından exploit denemelerinin binlerden milyonlara sıçradığını söylüyor.

Dağıtım hâlâ zayıf halka. The Hacker News'e göre Mallory, 20 Ekim'de internete açık ve PHP 8.1 veya daha eski sürüm bildiren yaklaşık 884.000 sunucu saydı; bu sürümler artık düzeltme almıyor. Bu boşluk, NSA'nın yamalanamayan sistemlerin bağlantısının kesilmesini tavsiye etmesinin ve Japonya başbakanının site özelliklerinin kapatılmasını önermesinin nedeni.

Neden önemli

PHP Foundation sonrasında, olası bir exploit'in 2024 gibi erken bir tarihte teorize edilmiş olduğunu; ancak somut bir saldırı yolu olmaması ve aynı bakımcıları bekleyen daha yüksek öncelikli sorunlar nedeniyle düzeltme çalışmasının aylarca durup yeniden başladığını söyledi. Artık zor olan kısım hata bulmak değil; onları düzeltmek ve dağıtmak. OpenAI, bu açıkların çoktan ortaya çıkardığı önemli bulgulardan bazıları olduğunu ve önümüzdeki aylarda bu tür bulguların keskin biçimde artmasını beklediğini belirtiyor. Bir hükümet başkanının bir ülkeden bir programlama dilini bir gecede yamasını istemesi tek seferlik kalmayabilir.