Yapay zekâ destekli PHP açıkları büyük siteleri ve kamu hizmetlerini çevrimdışı bıraktı

Ne oldu

PHP programlama dilindeki iki kritik açık, 21 Ekim 2026'da internette geniş çaplı kesintiye yol açtı. The Verge'in haberine göre etkilenenler arasında 4chan, DeviantArt ve Wikipedia gibi yüksek trafiğe sahip sitelerin yanı sıra sayısız küçük sayfa da vardı. Hollanda ve Finlandiya'daki kamu kurumları önlem olarak sitelerini kapattı; NSA'ya bağlı siber güvenlik hesabı ve İngiltere Ulusal Siber Güvenlik Merkezi de kurumlara, hemen yama uygulayamıyorlarsa sistemlerini çevrimdışıya almaları tavsiyesinde bulundu. The Verge'in aktardığı Kotaku haberine göre Pokémon Home ve Pokémon Champions da durduruldu.

Buluşun kendisi de dikkat çekici: OpenAI'ye göre Calif adlı bir yapay zekâ güvenlik grubu, kritik açıklardan birini GPT-5.6 Sol kullanarak tespit etti; Google'a ait güvenlik firması Wiz ise açıkları yapay zekâ destekli araştırmayla bağımsız olarak buldu ve bildirdi.

İki açık

Dili geliştiren PHP Group'a göre bu açıklar, kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya (RCE) imkân tanıyor. Pratikte bu, bir saldırganın herhangi bir giriş bilgisi veya şifre olmadan rastgele kod çalıştırabileceği, site içeriğini değiştirebileceği veya depolanmış verileri okuyabileceği anlamına geliyor.

• CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), bellek tükenmesi bozulması yoluyla RCE olarak tanımlanıyor: bellek tükenmesi bir isteği yarıda kestiğinde, içsel istek verileri yalnızca kısmen başlatılmış olabilir ve temizlik mantığı daha sonra bu geçersiz veriyi güvenilir kabul edebilir.
• CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), eski global durum yoluyla RCE olarak tanımlanıyor: bir isteğe ait içsel durum, onu taşıyan bellekten daha uzun süre yaşayabilir ve aynı worker sürecinin ele aldığı sonraki bir istek, normal başlatma sıfırlamadan önce bu eski durum üzerine hareket edebilir.

Neden 20 yılda ortaya çıktı

Wiz'e göre temel zafiyet PHP'de yaklaşık yirmi yıldır mevcuttu, ancak bundan silah olarak faydalanmak daha önce o kadar karmaşık adımlar zinciri gerektiriyordu ki insan araştırmacılar bunu pratikte neredeyse başaramıyordu. PHP Foundation ise açıklardan biri için 2024'te bir sömürü yönteminin teorize edildiğini, ancak somut bir saldırı vektörü bulunamadığını ve etkisi daha net olan diğer sorunlara öncelik verildiğini ekliyor.

Güçlü yapay zekâ modelleri bu denklemi değiştirdi. Bir zamanlar akademik bir kaygı olan durum, pratik ve tekrarlanabilir bir sömürüye dönüştü; artık hem buluş hem de tehdit aynı yeteneğe dayanıyor.

Ne kadar ciddi

The Verge'in aktardığı herkese göre: çok ciddi. PHP Group, fiilen her PHP sitesini risk altında görüyor. Araştırmaya katılan OpenAI, bunu yakın tarihin en etkili güvenlik sorunlarından biri olarak niteledi ve Wiz, açığı yazılımda şimdiye kadar bulunmuş en kötü açıklardan biri olarak sıraladı. Cloudflare'in CTO'su, şirketin yayından bir gece önce bile erken saldırılar gözlemlemeye başladığını söyledi.

Başarılı bir sömürü, saldırgana bir sunucunun tam kontrolünü verebilir: şifreler, API anahtarları, kriptografik sertifikalar ve tüm veritabanları. Ele geçirilen makineler daha sonra diğer savunmasız sunuculara karşı sıçrama noktası olarak kullanılabilir. Ve yapay zekâ gereken eforu büyük ölçüde düşürdüğü için, ayrıntılar artık açık olduğundan sömürü kararlı herhangi bir saldırganın erişimine ulaşmış durumda.

Operatörler ve kullanıcılar ne yapabilir

Açıklar tarayıcılar yerine sunucuları etkilediğinden bireysel kullanıcıların doğrudan yapabileceği çok şey yok, ancak The Verge, giriş yapmadan önce bir hizmetin resmî sosyal medya hesaplarını güncellemeler için kontrol etmeyi öneriyor. Site sahipleri için:

• Sitenizin hangi PHP sürümünü çalıştırdığını belirleyin. Squarespace ve Wix kullanıcıları etkilenmiyor çünkü bu platformlar PHP desteklemiyor.

• Hostinger, GoDaddy, Bluehost ve benzeri barındırma firmalarının müşterileri hemen düzeltilmiş sürüme güncellemeli. GoDaddy, PHP kullanan her sitenin etkilenmiş olduğunu varsayması gerektiğini söylüyor.

• Hâlâ PHP 8.1 veya daha eski sürümlerde çalışan siteler daha yeni bir sürüme yükseltmek zorunda; bu sürümler desteklenmiyor ve resmî bir yama hiçbir zaman almayacak.

• Yönetilen barındırma müşterileri, sağlayıcılarına yamanın ne zaman geleceğini sormalı. Hassas veri depolayan veya işlem yürüten herkes, yama doğrulanana kadar sitesini devre dışı bırakmak isteyebilir.

Neden önemli

PHP, web'in inanılmaz büyük bir bölümünün temelini oluşturuyor. W3Techs bunu, sunucu tarafı dili bilinen tüm sitelerin yüzde 69,3'ü olarak veriyor ve VirusTotal'ın tarayıcısı şu anda en az bir açık portu olan kabaca 3,8 milyon PHP sitesi sayıyor. Bu olay ayrıca güvenlik ekonomisinde bir değişimin sinyalini veriyor: yapay zekâ sistemleri, yirmi yıllık insan incelemesinin fark ettiği ama pratikte sömüremediği bir açığı ortaya çıkardı ve aynı araçlar saldırganların da elinde. Bir hatanın sömürülmesi için fazla karmaşık olduğu varsayımı artık güvenilir bir savunma değil ve her yerdeki eski kod tabanlarında benzer gizli riskler bulunabilir.