İnternetin Omurgası PHP’de Korkutan 2 Güvenlik Açığı Tespit Edildi: Tüm Dünya Alarma Geçti!

İnternet altyapısının temel taşlarından PHP’de iki kritik güvenlik açığı tespit edildi ve dünya genelinde milyonlarca sunucu alarma geçti.

İnternet altyapısında sunucu tarafındaki süreçlerin yürütülmesini sağlayan ve web sitelerinin yüzde 70’inde kullanılan PHP programlama lisanında iki adet son derece kritik güvenlik açığı tespit edildi. PHP geliştirme takımı, 20 Ekim tarihinde yaptığı resmi duyuruyla, bu açıkları kapatacak acil yamaların dün yayımlandığını bildirdi.

Açıklar resmi makamlarca CVSS v4.0 sisteminde 10 üzerinden 9,2 puanla değerlendirilirken siber güvenlik şirketi watchTowr ise tehlikenin boyutunu 10 üzerinden 10 tam puan olarak nitelendirdi. Açıkların teknik ayrıntıları ve etkilediği sürüm aralıkları resmi takım tarafından şimdi tam olarak açıklanmış değil. Lakin riskin büyüklüğü sebebiyle dünya genelindeki milyonlarca sistem yöneticisinin acil müdahale durumuna geçmesine sebep oldu.

Yapay zekâ ile test edildi

Programlama lisanlarının kaynak kodlarında yer alan karmaşık mantık kusurları, klâsik manuel kod inceleme prosedürleriyle yıllarca fark edilmeden kalabilir. Bu olayda dikkat çeken en büyük ögelerden biri, açıkların tespit edilme sürecinde gelişmiş yapay zeka sistemlerinin rol oynamış olması. Calif bünyesindeki araştırmacılar OpenAI’ın GPT-5.6 Sol modelini kullanarak bu açığı keşfederken, Google çatısı altındaki Wiz şirketi de kendi yapay zeka araçlarıyla durumu bağımsız olarak doğruladı.

Wiz tarafından yapılan değerlendirmelere nazaran, bu güvenlik açıklarının istismar edilebilir hale getirilmesi olağan koşullarda son derece karmaşık bir dizi adımı gerektiriyordu. Fakat yapay zeka modelleri kod tahlili ile senaryo üretme süreçlerini muazzam halde hızlandırarak, uzun müddettir kod tabanında kapalı kalan sıkıntıların pratik hücum araçlarına dönüştürülmesini kolaylaştırdı.

Güvenlik araştırmacıları, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen açıkların uzaktan kod yürütülmesine imkan tanıdığını öne sürüyor. Sızdırılan bilgiler kapsamında ortaya çıkan ve “PHP2Shell” olarak isimlendirilen bir istismar aracına ilişkin görüntüde PHP altyapısını kullanan dev platformlarda kod çalıştırılabildiği tez ediliyor. Bu yazılımlar arasında WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Symfony 8.1.9, Drupal 11.4.10 ve WHMCS 9.0.9 yer alıyor. Siber güvenlik firması watchTowr, kelam konusu açıkların varlığını doğruladığını ve en az birini kendi laboratuvar ortamında yine üretmeyi başardığını açıkladı.

Güvenlik şirketi Sansec, yamaların yayımlanmasının akabinde birinci kitlesel hücum dalgasının 15 dakika üzere kısa bir müddette başlayabileceğini öngördü. Bu yüzden de tedbirlerin süratli alınması gerektiğinin altı çizildi.

Nedir bu PHP?

PHP, internette gezindiğiniz web sitelerinin büyük bir kısmının arkasında çalışan bir proglamlama dili. Sitelerde arka planda devasa bir data trafiği ve süreç yükü meydana gelir . PHP, tam da bu noktada internet sitelerinin sunucu tarafındaki süreçlerini yürütmek hedefiyle kullanılan bir programlama lisanı olarak öne çıkıyor. PHP’nin teknik açıdan en kritik özelliklerinden biri sitelerdeki tüm karmaşık sürece süreçlerini kullanıcının lokal bilgisayarında değil, direkt uzak sunucuda gerçekleştirmesi. Lisanın internetin %70’inde kullanıldığı kestirim ediliyor. Yani çok yaygın. WordPress üzere ço kyaygın sistemlerde de kullanıldığını belirtelim.