İçindekiler
İnternetin yaklaşık yüzde 70'ini çalıştıran PHP dilinde iki kritik güvenlik açığı bulundu. Açıkların olağanüstü yanı, PHP 5'in yayınlandığı 2004 yılından bu yana tüm sürümlerde var olmaları. Daha da dikkat çekici olan, bu kadar eski ve yaygın iki hatanın yapay zeka ajanları tarafından ortaya çıkarılması.
Ne oldu?
ABD Ulusal Güvenlik Ajansı (NSA), 21 Ekim'de iki kritik açık konusunda uyarı yayınladı. Yamalar PHP Foundation tarafından aynı gün yayımlandı. Açıklar, saldırganın sunucunun dosya sistemine veya web uygulamasının kullandığı veritabanına sızmasına imkân veriyor. NSA'nın değerlendirmesi sert: bir site hemen yamalanamıyorsa yama uygulanana kadar yayından kaldırılmalı.
Açıklar neden bu kadar kritik?
PHP, WordPress başta olmak üzere yaygın içerik yönetim sistemlerinin temelinde duruyor. W3Techs verilerine göre web sitelerinin yaklaşık yüzde 70'i PHP kullanıyor; bu, bazı hesaplamalara göre 33 milyondan fazla site anlamına geliyor. Tek bir dildeki iki açık, aynı anda milyonlarca sitenin saldırı yüzeyini değiştiriyor. Bu yüzden sektörde "PHP Armageddon" gibi ifadelerle anıldı.
Yapay zeka açıkları nasıl buldu?
İki keşif birbirinden bağımsız gerçekleşti. OpenAI'nin Patch the Planet girişiminde yer alan güvenlik şirketi Calif, açıklardan birini GPT-5.6 Sol modelini kullanarak buldu. Aynı dönemde Wiz ekibi de kendi güvenlik ajanı Wiz Atlas ile, Gemini 4 Argon ve GPT-5.6 Sol modellerini kullanarak PHP'de birden fazla açık tespit etti.
Her iki ekip de sorumlu açıklama pratiğine uydu: yamalar hazırlanmadan kamuya açıklama yapılmadı. Süreç, Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ve Vercel gibi altyapı oyuncularının katkısıyla yürütüldü. OpenAI ayrıca operatörlerin savunmasız PHP sürümlerini tespit edebilmesi için bir PHP sürüm denetleyicisini Codex skill'i olarak paylaştı.
2004'e uzanan bir miras
Açıkların en rahatsız edici tarafı yaşı: hata PHP 5'ten bu yana kodun içinde duruyordu. Bunun nedeni kısmen teknik: bu açıkları sömürmek, farklı PHP sürümleri, yapılandırmalar ve bellek düzenleri için ayrı ayrı uyarlama gerektiriyordu. Wiz'in blogunda belirttiği gibi, yapay zeka öncesinde bu, saldırganlar için aşılması zor bir engeldi. Artık değil: dil modelleri bir exploit'i farklı sürümlere ve yapılandırmalara hızla uyarlayabiliyor.
WordPress ve hosting tarafı: ne yapmalı?
Pratik adımlar sırayla şöyle:
- PHP sürümünü kontrol edin. Önerilen sürüm 8.5.12. PHP 8.1 ve daha eski sürümler artık desteklenmiyor; bu sürümlerde kalan siteler için güncelleme zorunlu.
- Hosting sağlayıcınızla görüşün. Paylaşımlı hosting kullanıyorsanız sürüm geçişini çoğu zaman siz değil sağlayıcı yapar; güncellemenin uygulandığını yazılı olarak teyit edin.
- Panele erişin ve sürümü doğrulayın. Plesk, cPanel gibi panellerde PHP sürümü seçilebilir; güncelleme sonrası siteyi ve eklentileri test edin.
- Yama uygulanamıyorsa siteyi geçici kapatın. NSA'nın önerisi bu yönde; kısa süreli kesinti, veri sızıntısından daha az maliyetlidir.
- Eklenti ve tema uyumluluğunu kontrol edin. PHP 8.5'e geçiş eski eklentilerde hata üretebilir; geçiş öncesi yedek alın.
WordPress'in açıklaması
WordPress tarafı, açığın WordPress'e özgü olmadığını açıkladı. Bu, doğru bir teknik ayrım ama pratikte rahatlatıcı değil: WordPress siteleri de PHP çalıştırdığı için sunucu tarafındaki yamayı uygulamak zorunda. CMS güncellemesi bu açığı kapatmıyor; kapatması gereken şey hosting katmanındaki PHP sürümü.
Yapay zekanın iki yüzü
OpenAI, açıkların saldırganlardan önce yapay zeka tarafından bulunduğunu ve sahada istismar raporu olmadığını belirtiyor. Buna "savunmacı penceresi" (Defender's Window) diyorlar: yama hazırlanana kadar savunma tarafının zaman kazandığı aralık. Aynı yetenek, aynı hızla saldırı araçları üretmek için de kullanılabilir. OpenAI bu dengeyi gözeterek sınırlı güvenlik kaynağına sahip kurumlar için 1 milyar dolarlık sübvansiyonlu Daybreak erişimi taahhüt etti.
Özet
Bu olay, yapay zekanın güvenlik alanındaki etkisini iki yönüyle gösteriyor: on yıllardır gözden kaçan hataları bulacak kadar güçlü, ama aynı hataları sömürecek araçları da hızlandıracak kadar erişilebilir. Site sahipleri için tek geçerli öncelik var: PHP sürümünü bugün kontrol etmek. Bu, SEO'yu da doğrudan ilgilendiriyor; ele geçirilmiş bir site, sıralama kaybından çok daha pahalıya mal olur.