PHP Felaketi: OpenAI ve Google’ın Wiz’i Eski Açıkları Buldu, İnterneti Panikletti.

Amerika Birleşik Devletleri Ulusal Güvenlik Ajansı (NSA), Salı günü PHP’de iki kritik açığın bulunduğunu ve PHP Vakfı tarafından yamaların zaten çıkarıldığını belirten endişe verici bir uyarı yayınladı.

PHP, web uygulamaları için o kadar yaygın kullanılan bir sunucu tarafı programlama dili ki, internetteki sitelerin yaklaşık %70’ini çalıştırıyor; bazı kaynaklara göre bu 33 milyondan fazla site anlamına geliyor. Aynı zamanda WordPress gibi popüler içerik yönetim sistemleri tarafından da kullanılıyor.

NSA, bu açıkların o kadar ciddi olduğunu, bir web sitesinin hemen yamalanamıyorsa, yamalanana kadar webden kaldırılması gerektiğini uyardı. Açıklar, saldırganların web uygulamasının kullanabileceği sunucunun dosya sistemine ya da bir veri tabanına sızmasına olanak tanıyor.

İlginçtir ki, bu açıklar sürüm 5’in 2004 yılında yayımlandığından beri PHP’nin tüm sürümlerine gizlenmişti. Nispeten güncel olmayan PHP sürümlerini çalıştıran sitelerin bazı güncelleme işleri olacak, çünkü PHP 8.1 ve daha eski sürümler artık desteklenmiyor. Öneri, sunucunun güncel sürümü olan PHP 8.5.12’ye güncellenmesi.

Peki, internetteki neredeyse her siteyi etkileyen bu kadar yaygın ve on yıllardır var olan iki açık nasıl oldu da birden ortaya çıktı? Elbette yapay zekâ, özellikle OpenAI ve Google’ın Wiz’i üzerinden.

Güvenlik test şirketi Calif, açık kaynak yazılımlardaki açıkları bulmak amacıyla OpenAI’nin “Patch the Planet” (Gezegeni Yamala) girişimine katıldı ve GPT-5.6 Sol’u kullanarak açıklardan birini buldu; OpenAI bunu bir blog yazısında duyurdu. Ayrı olarak Wiz ekibi de PHP’deki birden fazla açığı bulmak için yapay zekâyı, namely kendi Wiz Atlas güvenlik zekâ ajanı Gemini 4 Argon ve GPT-5.6 Sol’u kullandı.

Her iki taraf da sorumlu güvenlik araştırması uygulamalarını izledi ve açıkları kamuya duyurmadan önce PHP ile birlikte yamalar üzerinde çalıştı. Ardından buldukları şeyi detaylandırmak ve yamaları test etmek için hepsi birlikte çalıştı ve işe yarayan bir dizi başka tarafı da yardıma çekti.

Wiz, Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ve Vercel’i teşekkürle anıldı. (WordPress siteleri PHP kullansa da, WordPress açıklayan bir açıklama yayınladı ve açığın WordPress’e özgü olmadığını, bu CMS’i çalıştıran sitelerin sunucularını yamalaması ve sitelerinin korunduğundan emin olması için web barındırma şirketleriyle çalışması gerektiğini belirtti.)

OpenAI, bu açıkların hackerlar tarafından keşfedilmeden önce araştırmacılar tarafından bulunduğunu söylüyor. Yani bu yüzden vahşi ortamda (canlıda) exploit kullanımıyla ilgili hiçbir rapor yoktu. Bu kısmen, çünkü yapay zekâdan önce bu açıklar hackerlar için sömürmek için çok zordu. “Yapay zekâyla bu artık bir engel değil. LLM’ler bir exploit’i farklı PHP sürümlerine, yapılandırmalarına ve bellek düzenlemelerine uyarlamaya yardımcı olabilir,” Wiz açıklar hakkında blogunda uyardı.

Kısacası, bu, yapay zekâ sayesinde bulunan ve önlenen ama aynı zamanda yalnızca yapay zekâ nedeniyle yüksek risk taşıyan türden bir güvenlik sorunu.

Sorun artık duyurulduğuna göre, hackerlar konunun tamamen farkında. Yarış, hackerlar yamalanmamış sitelere saldırmadan önce internetteki on milyonlarca siteyi yamalamak için başladı. Bu yüzden NSA’nın yönergesi, PHP web sitenizi anında yamalamayaçlıyorsanız, yamalanana kadar çevrimdışı bırakmanız daha iyi.