Web'in en yaygın programlama dillerinden PHP'de bulunan iki kritik güvenlik açığı, geçtiğimiz hafta internetin dört bir yanında alarma yol açtı. PHP2Shell adı verilen ve CVE-2026-109618 ile CVE-2026-109619 numaralarını taşıyan açıklar, parola gerekmeden uzaktan kod çalıştırılmasına izin veriyor. Yani internete açık bir PHP sistemine giren saldırgan, verileri değiştirebiliyor.
Açıkların kökeni aslında 2024'e kadar uzanıyor; o dönemde istismar edilebilir bulunmadıkları için yamalanmamışlardı. Bu yıl bir kod denetimi sırasında yeniden gündeme gelen açıkları güvenlik firması Calif, gerçekten kullanılabilir hale getirdi ve durumu PHP'yi geliştiren PHP Foundation'a bildirdi. Vakıf, 21 Ekim Çarşamba günü yamaları yayımladı.
Etkinin büyüklüğü rakamlardan anlaşılıyor: Web'e bakan sistemlerin yaklaşık yüzde 70'i PHP kullanıyor. WordPress, Drupal, Joomla ve Wikipedia'nın altyapısı MediaWiki bunların başında geliyor. Üstelik PHP yalnızca web siteleriyle sınırlı değil; yönlendiriciler, depolama cihazları, güvenlik duvarları ve VPN ürünlerindeki bileşenlerde de yer alıyor.
Büyük internet şirketleri ve barındırma sağlayıcıları yamaları sıkı bir gizlilik anlaşması çerçevesinde önceden aldı. Yine de bazı bankalar, perakendeciler, oyun siteleri, hastaneler ve kamu kurumları yama için sunucularını geçici olarak kapattı. PHP Foundation, bir şirketin yamaları gizlilik süresi bitmeden birkaç saat önce yayına aldığını da duyurdu.
Tehdit teorik değil. Amazon, istismar girişimlerini yamalardan yaklaşık bir hafta önce, 17 Ekim'den itibaren tespit ettiğini bildirdi. Palo Alto Networks ve Trail of Bits ise doğrulanmış ihlaller gördüklerini söylüyor. Cloudflare CEO'su Matthew Prince, açıklama sonrası istismar denemelerinin katlanarak arttığını belirtti. Uzmanlara göre açıkları silahlandırmak ciddi emek gerektiriyor ve kitlesel saldırıların henüz başlamamış olması da bundan kaynaklanıyor olabilir.
Olayın bir de yapay zekâ boyutu var. Calif, OpenAI ve Wiz'in "Hack the Planet" girişimine katılmıştı ve yapay zekâ araçlarının istismar sürecine yardımcı olduğunu söylüyor; ancak işin büyük kısmının ekibin PHP bilgisine dayandığını vurguluyor. Yine de uzmanlar, yapay zekânın eski ve bellek güvenliği zayıf yazılımlardaki hataları bulmayı kolaylaştıracağı konusunda hemfikir.
Türkiye'de de PHP tabanlı sitelerin, özellikle WordPress kullanan küçük işletmelerin çokluğu düşünülürse mesaj net: sitenizi barındıran firmadan yamanın uygulandığını teyit edin, PHP ve eklentilerinizi güncel tutun ve olağan dışı hareketler için sunucu kayıtlarını kontrol edin.
Kaynak: TechCrunch
