Güvenlik firması Wiz Research, 21 Ekim 2026'da çekirdek PHP motorunda bir dizi kritik güvenlik açığını açıkladı ve toplu olarak PHP2Shell olarak adlandırılan bu kusurların, tüm web sitelerinin tahminen yüzde 70'ine güç sağlayan yazılımda kimlik doğrulamasız uzaktan kod yürütülmesine ve Heartbleed tarzı belleğin açığa çıkmasına olanak sağladığı konusunda uyarıda bulundu. PHP projesi aynı gün yamaları yayınladı ve Wiz, web'in devasa kurulu tabanında acil güncellemeler yapılması konusunda ısrar ediyor.

PHP internetin çoğunun omurgasıdır: WordPress, Joomla, Drupal ve Wikipedia'yı çalıştıran MediaWiki yazılımını destekler. Daha da önemlisi, yeni açıklanan hatalar PHP'nin çekirdek motorunda yaşıyor, üzerine kurulu herhangi bir uygulamada değil; bu da sitelerin kendi uygulama kodları güvenli olsa bile açığa çıkabileceği anlamına geliyor. For more context on this story, see our ongoing AI industry coverage.

Güvenlik Açıkları Nelerdir?

Wiz'in araştırmacılar Sagi Tzadik, Shir Tamari, Nir Ohfeld ve Tomer Schwartz tarafından yazılan teknik yazılarına göre, açıklanan hataların tümü, PHP'nin istek işleme sırasında ölümcül hataları, özellikle de yetersiz bellek hatalarını nasıl ele aldığından kaynaklanan bellek güvenliği sorunlarıdır. Çöken bir istek, bozuk dahili PHP durumunu geride bırakabilir ve bu eski durumu yeniden kullanan daha sonraki bir istek veya çalışan, belleğin açığa çıkmasını veya bellek bozulmasını tetikleyebilir.

Bulgular maksimum şiddeti CVSS 9.2 olan iki CVE altında gruplandırıldı:

  • CVE-2026-109618 — bir saldırganın uzaktan işlem belleği ifşası ve gösterilen zincirlerde tam uzaktan kod yürütme için yararlanabileceği, serbest kaldıktan sonra kullanılabilen bir yükleme ilerleme seri hale getirici. Wiz, WordPress, Drupal ve Joomla'da PHP çalışan belleğinin kimlik doğrulaması yapılmadan ifşa edildiğini ve ön kimlik doğrulama RCE'sini gösterdi.
  • CVE-2026-109619 — OPcache türü karışıklıkla birleştirilmiş, serbest kullanımdan sonra ölümcül hata içeren bir geri izleme, ayrıca Drupal ve WordPress'te kimlik doğrulama öncesi uzaktan kod yürütülmesini sağladığı da kanıtlanmıştır.

Wiz, saldırganların okuyabildiği belleğin şifreleri, kimlik doğrulama belirteçlerini, API anahtarlarını ve diğer isteklere veya sunucunun kendisine ait sertifikaları içerebileceğini söyledi. Son on yılda piyasaya sürülen (PHP 5.4'e kadar) her PHP sürümü bu güvenlik açıklarından en az birinden etkileniyor ve şirket, bunların PHP'de şimdiye kadar bulunan en ciddi kusurlar arasında yer aldığını söylüyor.

Yapay Zekanın Geldiği Yer

Wiz'in raporundaki en önemli iddia PHP ile ilgili değil; ileri düzey yapay zeka modellerinin geliştirmeden yararlanmak için neler yaptığıyla ilgili.

Wiz, altta yatan kusurların onlarca yıldır mevcut olduğunu, ancak sömürülebilirliğin kanıtlanmasının "insan araştırmacıların pratikte başarabilecekleri sınırın ötesinde, olağanüstü derecede karmaşık bir adımlar zinciri" gerektirdiğini yazıyor. İstismarın birden fazla kusuru zincirleme yapması ve tekrarlanan test ve hata ayıklama yoluyla her hedefin bellek düzenine uyum sağlaması gerekiyordu.

Şirket, Frontier AI modellerinin bu engeli önemli ölçüde azalttığını, "uzun süredir devam eden bir kusuru istismara dönüştürdüğünü" ve Wiz ekibinin birden fazla uygulamadaki çalışan istismarları haftalar yerine saatler içinde geliştirip uyarlamasına olanak sağladığını söylüyor.

Araştırmacılar, "Bu iş için gereken zaman ve uzmanlık azaldıkça, karmaşıklık artık anlamlı bir engel oluşturmayabilir ve pratikte neyin savunmasız olduğunu tanımlama şeklimizi değiştirebilir" diye yazdı.

Yapay Zeka Çağında Bir Dönüm Noktası mı?

Wiz, açıkça PHP2Shell'i web güvenliğinde daha önceki iki dönüm noktasıyla birlikte çerçeveliyor: İnterneti güvence altına alan paylaşılan altyapının kırılganlığını açığa çıkaran 2014'teki Heartbleed ve 2021'deki Log4Shell, derinlere gömülü yazılım bağımlılıklarının ne kadar yaygın bir şekilde açığa çıktığını ortaya çıkardı. Şirket, PHP2Shell'in de benzer bir dönüm noktası olabileceğini öne sürüyor; bu kez yapay zekanın uzun süredir bilinen zayıflıkların pratik olarak kullanılabilirliğini nasıl değiştirdiğini gösteriyor.

Bu çerçeve PHP'nin ötesinde önemlidir. İstismar edilmesi çok zor, çok yavaş veya çok uzmanlaşmış olduğu için güvenli bir şekilde erişilemeyen teorik güvenlik açıkları, artık yapay zeka araçlarıyla donanmış, iyi kaynaklara sahip saldırganların erişiminde olabilir; bu, yazılım endüstrisindeki savunma bütçeleri, yama tempoları ve açıklama zaman çizelgeleri üzerinde bariz etkileri olan bir değişimdir.

Sektörler Arası Koordineli Bir Çözüm

Açıklama koordine edildi. Wiz, keşif, koordinasyon ve yama doğrulama konusundaki çalışmaları için PHP ekibine ve OpenAI'ye teşekkür ederek, hem OpenAI hem de PHP'nin güvenlik açığının geçmişi ve ifşa süreci hakkında kendi teknik yazılarını yayınladıklarını belirtti.

Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft ve Vercel'in de aralarında bulunduğu sektörler arası bir grup, hemen yama yapamayan müşteriler için kılavuzlar ve kullanıma hazır hafifletici önlemler hazırladı. Cloudflare, 21 Ekim'de müşterileri için PHP güvenlik açıklarına karşı WAF korumaları uyguladığını ayrıca duyurdu.

Site Sahipleri Ne Yapmalı

Wiz'in tavsiyesi net: Derhal yama yapın. PHP projesi, 21 Ekim 2026'da bellek güvenliği açıklarına yönelik düzeltmeler yayınladı ve desteklenen her PHP dağıtımının mümkün olan en kısa sürede güncellenmesi gerekiyor.

Hemen yama yapamayan kuruluşlar, CDN, barındırma veya WAF sağlayıcıları tarafından yayınlanan azaltıcı önlemleri uygulamalıdır; bunlardan birçoğu, ilk gün yararlanma zincirlerini hedefleyen kurallar göndermiştir. WordPress, Drupal ve Joomla filolarının yöneticileri bunu öncelikli bir yama döngüsü olarak ele almalıdır: Wiz, her üç platformda da kimlik doğrulama öncesi uzaktan kod yürütülmesini gösterdi ve savunmasız kod yolları, üstlerindeki uygulamaların ne kadar iyi korunduğuna bakılmaksızın mevcuttu.

Daha derin ders, Wiz'in kendisinin çıkardığı ders olabilir: Yapay zeka, aylarca süren istismar mühendisliğini saatlere sıkıştırabildiğinde, endüstrinin "pratik olarak istismar edilebilir" tanımı ve bununla birlikte sorumlu yama zaman çizelgelerinin anlamı da değişti.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →