PHP açıkları yapay zekayla bulundu: NSA yamalayın ya da kapatın dedi

ABD Ulusal Güvenlik Ajansı (NSA), web sitelerinin yaklaşık yüzde 70'inin arkasındaki sunucu tarafı dil PHP'de iki kritik açık bulunduğunu duyurdu. PHP Foundation yamaları şimdiden yayımladı. NSA'nın tavsiyesi net: Hemen yamalanamayan site, yamalanana kadar internetten çekilmeli.

Açıklar, saldırganların sunucunun dosya sistemine ya da web uygulamasının kullandığı veritabanına erişmesine olanak tanıyor. Sorun, 2004'te çıkan PHP 5'ten bu yana tüm sürümlerde bulunuyor. PHP 8.1 ve daha eski sürümler artık desteklenmediği için birçok site daha kapsamlı bir güncelleme yapmak zorunda. Önerilen hedef, güncel sürüm olan PHP 8.5.12.

Açıkları yapay zeka buldu

TechCrunch'ın aktardığına göre keşifler yapay zeka destekli araştırmalardan çıktı. Güvenlik firması Calif, OpenAI'ın açık kaynak yazılımlar için yürüttüğü "Patch the Planet" girişimi kapsamında GPT‑5.6 Sol ile açıklardan birini buldu. Bundan bağımsız olarak Google'a ait Wiz, Wiz Atlas güvenlik ajanını, Gemini 4 Argon'u ve GPT-5.6 Sol'u kullanarak birden fazla zafiyet tespit etti.

Her iki ekip de sorumlu ifşa ilkesine uyarak kamuoyuna duyurmadan önce PHP ile birlikte yama üzerinde çalıştı. Wiz ayrıca yamaların test edilmesine katkı veren Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ve Vercel'e teşekkür etti. PHP üzerinde çalışan WordPress ise sorunun yalnızca kendisine özgü olmadığını, site sahiplerinin sunucularını yamalaması ve barındırma firmalarıyla iletişime geçmesi gerektiğini belirtti.

Risk neden gerçek

OpenAI, hataların saldırganlardan önce araştırmacılar tarafından bulunduğunu ve şu ana kadar gerçek dünyada istismar bildirilmediğini söylüyor. Wiz ise bu açıkların daha önce istismar edilmesinin zor olduğunu, ancak yapay zekanın bu engeli kaldırdığını vurguluyor: Dil modelleri, bir istismarı farklı PHP sürümlerine, yapılandırmalara ve bellek düzenlerine uyarlamaya yardımcı olabiliyor.

Ayrıntılar artık herkese açık olduğundan, on milyonlarca sitenin saldırganlardan önce güncellenmesi için bir yarış başladı. Site sahipleri PHP sürümlerini kontrol etmeli, desteklenen bir sürüme geçmeli ve barındırma sağlayıcılarına yama durumunu sormalı.