İnterneti kilitleyen PHP açığı: Yapay zeka buldu, siteler kapandı! Ama nasıl?
Donanım Haber · 2026-10-22
💡 Hızlı Bilgi
1. İnternet sitelerinin arkasındaki motor olan PHP dilinde CVE-2026-109618 ve 109619 kodlu iki kritik açık bulundu; CVSS 4.0 puanı 10 üzerinden 9,2 olarak belirlendi.
2. Konuşmacıya göre PHP2Shell adı verilen bu açıklar, saldırganların parola gerektirmeden uzaktan komut çalıştırmasına ve sunucunun kontrolünü ele geçirmesine yol açabiliyor.
3. Açıkları OpenAI'ın yapay zekâ modeli ve Google çatısı altındaki Wiz, birbirinden bağımsız olarak saatler içinde keşfetti; insan ekiplerinin aylarca arayacağı hataları yapay zekâ çok hızlı denedi.
4. Hollanda, Fransa, Almanya ve Finlandiya'da devlet ve hastane siteleri önlem amaçlı kapatılırken, FBI ve NSA gibi kurumlar güncellenemeyen sistemlerin kapatılması çağrısı yaptı.
5. Konuşmacının uyarısına göre WordPress siteleri ve sunucular derhal 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerine güncellenmeli, tema güncellemeleri tek başına yeterli görülmemeli.
📊 Detaylı Açıklama
PHP, web sitelerinin sunucu tarafında çalışan ve arka planda veri tabanı işlemlerini yürüten temel bir programlama dili olarak çalışıyor. W3Techs verilerine göre internetteki sitelerin yaklaşık yüzde 70'i bu dili kullanıyor ve WordPress, Drupal, Joomla gibi popüler sistemler bu altyapıya dayanıyor. Konuşmacı PHP'yi bir binanın temeline benzetiyor; temeldeki bir çatlak üstündeki her yapıyı etkiliyor. Araştırmacıların PHP2Shell adını verdiği yeni açıklar, PHP çekirdeğindeki bellek yönetimi ve hata yönetimi mekanizmalarında yer alıyor ve Apache mod_php yapılandırmasında uygulama kodu bile çalışmadan istismar edilebiliyor.
Açıkların keşif süreci yapay zekâ araçlarının gücünü gözler önüne seriyor. Calif ekibi OpenAI'ın yapay zekâ modeliyle çalışırken, siber güvenlik şirketi Wiz ise kendi modelleriyle aynı sorunlara bağımsız olarak ulaştı. Wiz, gelişmiş modellerin kod incelemesini kolaylaştırdığını ve istismar kodlarının saatler içinde geliştirilmesini sağladığını belirtiyor. Konuşmacıya göre bu durum madalyonun iki yüzünü gösteriyor; yapay zekâ açıkları hızla bulurken, saldırganlar da yamaları tersine mühendislikle çok daha hızlı çözebiliyor ve savunmacıların zaman penceresi tehlikeli biçimde daralıyor.
Krizin zaman çizelgesi ve yönetim süreci ciddi tartışmaları beraberinde getirdi. Ağustos ayında açıkları bildiren Calif ve Wiz'in ardından, yamanın 22 Ekim'de yayımlanması planlanıyordu. Ancak Amazon ekibi yamadan dört gün önce ilk istismar girişimini kaydetti. CVE numaralarının sızması ve bir videonun yanlışlıkla yayımlanması üzerine tarih bir gün öne çekildi. Chainguard adlı şirketin yamalı konteyner imajlarını resmî duyurudan altı saat önce yayımlaması ise PHP Foundation tarafından tek taraflı bir ambargo ihlali olarak eleştirildi. PHP Foundation, 2024'te görülen ilk işaretlerin karar alma sorunları ve kaynak yetersizliği yüzünden ertelendiğini kabul etti.
Avrupa'da devlet sitelerinin, hastanelerin ve liman yönetimlerinin erişimi kapatılması, kontrolsüz bir ele geçirme riskine karşı önlem amaçlı gerçekleşti. FBI, NSA ve Türkiye'deki Siber Güvenlik Başkanlığı kurumlara acil talimatlar gönderdi. Konuşmacı, sitelerin kapatılmasının hacklendikleri anlamına gelmediğini, asıl riskin uzun kuyruktaki güncellenmeyen milyonlarca sitede olduğunu vurguluyor. Sıradan kullanıcılar için bilgisayardaki yazılımlar doğrudan hedef olmasa da, ele geçirilen sitelerin zararlı yazılım dağıtabileceği uyarısı yapılıyor.
Site sahiplerinin yapması gerekenler net adımlarla anlatılıyor. İlk olarak cPanel veya komut satırı üzerinden PHP sürümünün kontrol edilmesi ve 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerine geçilmesi gerekiyor. WordPress, tema ve eklenti güncellemelerinin PHP sürüm güncellemesi anlamına gelmediği, hosting sağlayıcısından web sunucusu için güvenlik yamalarının açıkça istenmesi gerektiği vurgulanıyor. Güncelleme öncesi yedek alınması şart koşulurken, güvenlik duvarı ve WAF korumalarının geçici önlem olarak devreye sokulması öneriliyor.
🎯 Teknoloji Uzmanı Yorumu
Konuşmacının aktardığı bu olay, yazılım güvenliğinde yapay zekânın dönüştürücü gücünü ve açık kaynak ekosisteminin kronik kaynak kısıtlarını net bir şekilde gözler önüne seriyor. On yılı aşkın süredir insan gözünden kaçan derin çekirdek hatalarının yapay zekâ tarafından saatler içinde keşfedilmesi, gelecekte siber savaşların ve savunma stratejilerinin tamamen yapay zekâ tabanlı yürütüleceğini kanıtlıyor. Konuşmacının vurguladığı gibi, yapay zekânın hızı karşısında insan odaklı yama ve karar süreçleri artık çok yavaş kalıyor.
PHP Foundation gibi kritik altyapıları finanse eden yapıların yaşadığı kaynak yetersizliği ve karar alma gecikmeleri, internetin görünmeyen temellerinin ne kadar büyük bir risk altında olduğunu gösteriyor. Alman devletinin finansmanıyla 2024'te fark edilen sinyallerin çözüme ulaştırılamaması, açık kaynak projelerinde sürdürülebilirlik krizinin acilen çözülmesi gerektiğini ortaya koyuyor. Konuşmacının da belirttiği üzere, bu tür krizlerde şirketlerin ve devletlerin altyapı sağlayıcılarına yeterli desteği vermemesi sistemin en zayıf halkasını oluşturuyor.
Teknik açıdan bakıldığında, Apache mod_php gibi eski yapılandırmaların hâlâ yaygın olması saldırı yüzeyini devasa boyutlara ulaştırıyor. Konuşmacının tavsiye ettiği sürüm güncellemeleri ve WAF önlemleri acil durum tamponu sunsa da, uzun kuyruktaki binlerce unutulmuş web sitesinin güncellenmesi haftalar süreceği için saldırganların bu dönemi yoğun şekilde istismar edeceği öngörülüyor. Site sahipleri için yedek almak ve hosting sağlayıcısıyla iletişime geçmek kaçınılmaz bir zorunluluk olarak duruyor.
Sonuç olarak bu olay, internetin temel taşlarının ne denli kırılgın olduğunu ve güvenlik güncellemelerinin ertelenemez bir sorumluluk olduğunu acı bir tecrübeyle hatırlatıyor. Konuşmacının kapanışta belirttiği gibi, yapay zekâ açık bulmayı hızlandırırken, bu açıkları yamamak hâlâ sınırlı kaynaklarla mücadele eden insanların omuzunda kalmaya devam ediyor. Bu dengesizlik giderilmediği sürece, benzer çaplı dijital krizlerin önümüzdeki dönemde daha sık yaşanması kaçınılmaz görünüyor.
Kanal: Donanım Haber