Milyonlarca internet sitesini ilgilendiren güvenlik alarmı: PHP’de kritik açık

YAYIN TARİHİ, 21 Ekim 2026 21:26

• Dünya genelindeki internet sitelerinin yüzde 70’ine kadarında kullanılan PHP yazılımında, yapay zeka desteğiyle iki kritik güvenlik açığı tespit edildi. Uzmanlar, saldırganların bu açıkları kullanarak sunucuların kontrolünü ele geçirebileceği uyarısında bulundu.

Dünya genelindeki internet sitelerinin büyük bölümünde kullanılan PHP yazılımında tespit edilen kritik güvenlik açıkları, siber güvenlik dünyasında alarm yarattı. Yapay zeka desteğiyle ortaya çıkarılan açıkların, saldırganların sistemlere yetkisiz erişim sağlamasına ve hassas bilgileri ele geçirmesine imkân tanıyabileceği belirtildi.

CNBCE.COM'u öncelikli haber kaynağınız olarak ekleyin Ekonomi, iş dünyası, piyasalar ile ilgili en güvenilir ve en detaylı haberlere en hızlı şekilde ulaşın. + Ekle

The Wall Street Journal’ın (WSJ) haberine göre, PHP geliştiricileri çarşamba günü, yazılımı kullanan sistemlerin kontrolünün saldırganlar tarafından ele geçirilmesine yol açabilecek kritik bir güvenlik sorununu duyurdu. Gelişme, yapay zekanın yazılımlardaki güvenlik açıklarını tespit etme kapasitesinin artmasıyla gündeme gelen “Bugmageddon” endişelerini de yeniden öne çıkardı.

PHP2Shell açığı son 10 yılın en ciddi sorunlarından biri

PHP2Shell olarak adlandırılan güvenlik açığı, PHP’nin bilgisayar belleğini yönetme biçimiyle bağlantılı bir hata grubundan kaynaklanıyor. Araştırmacılara göre saldırganlar, bu açıklardan yararlanarak bazı durumlarda güvenlik güncellemesi yapılmamış web sunucularında yalnızca birkaç saniye içinde yetkisiz yazılım çalıştırabiliyor.

Açıkların kullanılması, sunucularda saklanan hassas bilgilerin çalınmasına veya ele geçirilen internet sitelerini ziyaret eden kullanıcılara yönelik saldırılar düzenlenmesine imkân tanıyabiliyor.

PHP projesini yöneten kâr amacı gütmeyen vakfın güvenlik mühendisi Volker Dusch, söz konusu sorunu PHP’nin son 10 yılı aşkın dönemde karşılaştığı en ciddi güvenlik problemlerinden biri olarak değerlendirdi.

Dusch, mevcut tehdidi geçmişte yüz binlerce sunucunun güvenliğinin sağlanması için dünya çapında çalışma başlatılmasına neden olan Heartbleed güvenlik açığına benzetti.

Yapay zeka saldırganlara hız kazandırabilir

Güvenlik açıklarına yönelik yamaların yayımlanması, sistem yöneticileri ile siber saldırganlar arasında zamana karşı bir mücadele başlatıyor. Yöneticilerin güncellemeleri test edip uygulaması gerekirken saldırganlar, yayımlanan yamaları inceleyerek yazılımdaki değişiklikleri belirlemeye ve açıkları istismar edebilecek yöntemler geliştirmeye çalışıyor.

Siber güvenlik uzmanları, gelişmiş yapay zeka araçlarının bu süreci hızlandırabileceği uyarısında bulunuyor. Yapay zekanın güvenlik açıklarını analiz etme ve saldırı yöntemleri geliştirme kapasitesinin artması, yamaların yayımlanmasıyla saldırıların başlaması arasındaki süreyi kısaltabilir.

Güvenlik açığını ilk keşfeden Calif şirketinin Üst Yöneticisi Thai Duong, yamaların sosyal medyada paylaşılması ve yapay zeka araçlarıyla analiz edilmesi durumunda saldırıların hızla yayılabileceğine dikkat çekti.

Duong, “Twitter'daki herhangi biri yamaları alıp yapay zekayı bunların üzerinde çalıştırabilir ve bir istismar betiği paylaşabilir. Bütün cehennem kapıları açılır” ifadelerini kullandı.

Güvenlik açığı GPT-5.6 Sol desteğiyle keşfedildi

Calif araştırmacısı Ryan Austin, ağustos ayında PHP’nin kaynak kodunu incelerken OpenAI’ın gelişmiş yapay zeka modellerinden GPT-5.6 Sol’un desteğiyle güvenlik açıklarını tespit etti.

OpenAI’ın çeşitli güvenlik denetimlerinin finansmanını üstlendiği belirtildi. Çalışmalar, yapay zeka yardımıyla keşfedilen yazılım açıklarının giderilmesi amacıyla açık kaynaklı projelere destek verilmesine yönelik girişimler kapsamında yürütüldü.

Calif CEO’su Duong’a göre, PHP’nin kaynak kodunda yıllardır bulunan hata grubuna ilişkin riskler geçmişte de gündeme gelmişti. Ancak açığın istismar edilmesinin zor olduğu değerlendirilmiş ve sorun zamanla büyük ölçüde gündemden düşmüştü.

Yeni araştırmada ise PHP kullanan bir sunucuya birkaç düzine istek gönderilerek bilgisayar belleğinde çalışan kod üzerinde kontrol sağlanmasının mümkün olduğu ortaya kondu. Araştırmacılar, bu işlemin daha küçük sistemlerde birkaç saniye, daha karmaşık sistemlerde ise birkaç saat sürebildiğini belirtti.

Güvenlik yamaları için çalışma başlatıldı

Duong, 11 Ağustos’ta PHP güvenlik mühendisi Volker Dusch ile iletişime geçerek kritik sorunu bildirdi. Ardından güvenlik araştırmacıları ve yazılım mühendislerinden oluşan gayriresmî bir çalışma grubu kuruldu.

Grup, yazılım dağıtıcıları ve siber güvenlik şirketleriyle koordinasyon sağlayarak açıkların giderilmesi ve olası saldırıların önlenmesi için güvenlik yamaları üzerinde çalıştı.

Gelişme, internet sitesi yöneticilerinin güvenlik güncellemelerini gecikmeden uygulamasının önemini yeniden gündeme getirdi. Yapay zeka destekli araştırmaların güvenlik açıklarını daha hızlı ortaya çıkarabilmesi, aynı teknolojilerin saldırganlar tarafından kullanılması ihtimalini de siber güvenlik açısından önemli bir risk haline getiriyor.

POPÜLER HABERLER

Kripto para piyasasında yeni dönem: İsviçre'den tarihi Bitcoin kararı

Pegasus'tan yurt dışı uçuşlarda kampanya: Biletler 11 eurodan başlıyor

Gözler Merkez Bankası'nın faiz kararında: Uzmanlar ikiye ayrıldı

Rus dizeli taşıyan tankerler Türkiye'ye doğru yola çıktı

Petrol fiyatlarını hareketlendiren teklif: ABD ve İran olumlu yaklaştı