Dünyadaki web sitelerinin yaklaşık yüzde 70’inin arkasında çalışan PHP programlama dilinde, yıllardır fark edilmeyen iki kritik güvenlik açığı kapatıldı. Açıkları bulan ve sömürülebilir olduklarını kanıtlayan ekipler bu işi büyük ölçüde yapay zeka modelleriyle yaptı. PHP ekibi 21 Ekim’de yamaları yayımladı; aynı gün ABD’nin siber güvenlik kurumu CISA, Ulusal Güvenlik Ajansı NSA ve Türkiye’de USOM acil güncelleme çağrısında bulundu. Avrupa’dan Japonya’ya bazı kamu kurumları ve şirketler, güncelleme bitene kadar sitelerini geçici olarak kapattı.
Araştırmacıların “PHP2Shell” adını verdiği bu PHP açığı, yapay zekanın siber güvenlikte iki yönlü bir araç hâline geldiğini gösteren şimdiye kadarki en geniş çaplı örneklerden biri olarak görülüyor.
Açık tam olarak nerede?
Bu PHP açığı WordPress, Drupal ya da Joomla gibi uygulamaların kendisinde değil, onları çalıştıran PHP motorunun içinde. Bu yüzden uygulama kodu sorunsuz olan bir site de, eski bir PHP sürümüyle çalışıyorsa risk altında. PHP’nin güvenlik duyurusuna göre iki açık da saldırganın hiçbir hesapla oturum açmadan sunucuda kendi kodunu çalıştırabilmesine, yani uzaktan kod çalıştırmaya (RCE) imkân tanıyabiliyor.
İlki CVE-2026-109618 koduyla izleniyor ve PHP’nin bellek yetmediğinde verdiği tepkiyle ilgili. İşlem yarıda kesildiğinde, isteğe ait veriler tam hazırlanmadan kalabiliyor ve temizlik sırasında bu bozuk veri geçerliymiş gibi kullanılabiliyor. İkincisi CVE-2026-109619; burada bir isteğe ait iç bilgiler, kullandıkları bellek boşaltıldıktan sonra da ortada kalıyor ve aynı işçi süreç bir sonraki isteği karşılarken bu eski bilgiye dokunabiliyor. Teknik dilde buna “serbest bırakıldıktan sonra kullanım” (use-after-free) deniyor.
Bu PHP açığı için önem derecesi 10 üzerinden 9,2 olarak belirlendi. Wiz’in teknik raporu, son on yılda çıkan neredeyse tüm PHP sürümlerinin, 5.4’e kadar geriye uzanacak biçimde, en az bir açıktan etkilendiğini belirtiyor. Saldırgan yalnızca kod çalıştırmakla kalmayıp sunucu belleğindeki parolaları, oturum anahtarlarını, API anahtarlarını ve sertifikaları da okuyabiliyor. PHP ekibi en yüksek riski Apache’nin mod_php kurulumlarında görüyor; PHP-FPM, php-cgi, FrankenPHP ve LiteSpeed sunucuları da listede.
Yapay zekanın rolü: aylarca sürecek iş bir haftada
Hikâyenin bu kadar ses getirmesinin nedeni yalnızca PHP’nin yaygınlığı değil. Wiz’in paylaştığı zaman çizelgesine göre ilk açık 19 Ağustos’ta şirketin kendi aracı Wiz Atlas ile Google’ın Gemini 4 Argon ve OpenAI’nin GPT-5.6 Sol modelleri birlikte kullanılarak bulundu. Ertesi gün Drupal’da, bir gün sonra WordPress’te oturum açmadan kod çalıştırılabildiği doğrulandı.
Wiz araştırmacıları, kusurların uzun yıllardır kodda durduğunu ama bunları gerçek bir saldırıya çevirmenin insan araştırmacıların sınırını zorlayan karmaşık bir adım zinciri gerektirdiğini söylüyor. CNN’in aktardığı açıklamaya göre ekip, öncü yapay zeka modelleri ve doğru araçlarla tek bir araştırmacının bir haftada tamamladığı işin eskiden dünya çapında bir ekibin aylarını alacağını belirtti. Wiz, olayı 2014’teki Heartbleed ve 2021’deki Log4Shell açıklarıyla aynı kefeye koyuyor.
OpenAI tarafında ise güvenlik şirketi Calif, şirketin “Patch the Planet” adlı programı kapsamında GPT-5.6 Sol ile kritik bir açık tespit etti; Wiz iki açığı bağımsız olarak buldu. OpenAI’nin 21 Ekim tarihli açıklamasında bu sürece “Savunmacının Penceresi” deniyor: Yapay zeka açığı saldırganlardan önce bulursa, bakımcılar ve güvenlik firmaları kamuya duyurulmadan önce hazırlık yapabiliyor. Şirket, sınırlı güvenlik kaynağı olan ve temel hizmetleri koruyan kurumlar için Daybreak adlı güvenlik aracına 1 milyar dolarlık sübvansiyonlu erişim sağlayacağını da açıkladı. Aynı metinde, benzer bulguların önümüzdeki aylarda hızla artmasının beklendiği yazıyor.
Sızıntı, saldırı girişimleri ve kapanan siteler
Koordineli takvim tam işlemedi. Sophos’un güvenlik bülteni, açıkların varlığının planlanan duyurudan önce, 20 Ekim’de kamuoyuna yayıldığını ve Amazon Threat Intelligence’ın 17 Ekim’de bir istismar girişimi bildirdiğini aktarıyor. Cloudflare ise kendi web uygulama güvenlik duvarı (WAF) kurallarını 21 Ekim sabahı TSİ 06:02’den itibaren ücretsiz plan dahil tüm müşterileri için varsayılan olarak açtığını, sızıntının ardından saldırı trafiği gördüğünü söylüyor. WAF, siteye gelen zararlı istekleri sunucuya ulaşmadan ayıklayan bir filtre; ama şirket de bunun yamanın yerini tutmadığını vurguluyor.
Resmî kurumlar bu PHP açığı konusunda sert bir ton kullandı. CISA, hemen güncelleme yapamayan ya da desteği bitmiş PHP 8.1 ve öncesini kullanan kurumların, PHP tabanlı sistemlerini yama yapılana kadar çevrim dışı almasını tavsiye etti; yayın anında istismar gözlemediğini de not etti. NSA, siber aktörlerin bu açıkları büyük olasılıkla silaha dönüştüreceğini belirterek ABD kamu kurumlarında acil yama istedi.
Bu uyarıların sahadaki karşılığı hızlı oldu. CNN’in derlediği bilgilere göre Fransa, Danimarka, Finlandiya ve Hollanda’da bazı kamu siteleri, aralarında Hollanda’nın siber güvenlik kurumunun sitesi de olmak üzere, geçici olarak kapatıldı. Japonya Başbakanı Sanae Takaichi şirketlere gerekirse hizmetlerini askıya almalarını önerdi; ANA, JR West ve MUFG bazı sayfalarını durdurdu. Wikipedia’yı işleten Wikimedia Vakfı da bazı sistemlerini önlem olarak kapattığını açıkladı.
Olayın zaman çizelgesi
| Tarih (2026) | Gelişme | Kaynak |
|---|---|---|
| 19 Ağustos | Wiz ilk açığı Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol yardımıyla buldu | Wiz |
| 20–21 Ağustos | Oturum açmadan uzaktan kod çalıştırma önce Drupal’da, ardından WordPress’te doğrulandı | Wiz |
| 24 Ağustos | Bulgular PHP güvenlik ekibine bildirildi | Wiz |
| 21 Eylül | PHP raporları kabul edip ortak düzeltme çalışmasını başlattı | Wiz |
| 17 Ekim | Amazon Threat Intelligence bir istismar girişimi bildirdi | Sophos |
| 20 Ekim | Açıkların varlığı planlanan duyurudan önce kamuoyuna sızdı | Sophos |
| 21 Ekim, 06:02 TSİ | Cloudflare WAF kuralları ücretsiz plan dahil varsayılan olarak devreye girdi | Cloudflare |
| 21 Ekim | PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 yayımlandı; CISA, NSA ve USOM uyarı yayımladı | PHP, CISA, NSA, USOM |
| 21–22 Ekim | Avrupa ve Japonya’da bazı kamu ve şirket siteleri geçici olarak kapatıldı | CNN |
Türkiye’de durum ve site sahipleri için anlamı
Ulusal Siber Olaylara Müdahale Merkezi USOM, 21 Ekim’de TR-26-1372 numaralı bildirimle konuya dikkat çekti. Bildirimde etkilenen sistemlerin belirlenip güvenli sürümlere gecikmeden yükseltilmesi, yönetim arayüzlerine dışarıdan erişimin yalnızca güvenilir IP adresleriyle sınırlanması ve yurt dışı erişimi gerekmeyen sistemlerin uluslararası trafiğe kapatılması öneriliyor.
Güvenli sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Bu PHP açığı için yayımlanan güncellemeler kendiliğinden kurulmuyor; WordPress’i ya da eklentileri güncellemek de PHP’nin kendisini güncellemiyor. Paylaşımlı hosting kullanan küçük site sahipleri için en pratik adım, barındırma firmasının yaması uygulayıp uygulamadığını kontrol etmek ve panelden kullanılan PHP sürümüne bakmak. PHP 8.1 ve daha eski sürümler artık resmî güncelleme almıyor; PHP ekibi 7.4, 8.0 ve 8.1 için yalnızca kaynak kod düzeyinde asgari düzeltmeler paylaştı.
Kripto tarafı açısından da bu PHP açığı uzak değil. Borsa API anahtarlarını, ödeme altyapısı bilgilerini ya da kullanıcı oturumlarını PHP tabanlı bir panelde tutan hizmetlerde bellek sızıntısı riski, doğrudan bu anahtarlara uzanabiliyor. Bu tür anahtarları sınırlı yetkiyle tanımlamanın ve düzenli yenilemenin önemini daha önce yapay zeka ajanları ve güvenlik yazımızda anlatmıştık. Cysic köprü saldırısı haberinde de gördüğümüz gibi, kripto projelerinde zarar çoğu zaman akıllı sözleşmeden değil, onu besleyen sunucu ve servislerden geliyor.
Neden önemli?
PHP2Shell denen PHP açığı, yapay zeka modellerinin güvenlik araştırmasındaki hızını somut biçimde gösterdi. Aynı hız saldırganların da elinde olabileceği için, açığın bulunmasıyla kamuya duyurulması arasındaki sürenin nasıl yönetileceği yeni bir tartışma başlığı hâline geldi. OpenAI, beş aşamalı bir koordinasyon çerçevesi önerip güvenlik topluluğundan görüş istedi; Cloudflare ise isteklerle birlikte sunucunun verdiği yanıtı da inceleyen yeni bir WAF özelliğini ilk kez bu olayda kullandı.
Öte yandan yapay zekanın ilk kez bu ölçekte hem bulan hem de kanıtlayan taraf olması, gönüllü ve küçük ekiplerle yürüyen açık kaynak projelerin yükünü artırabilir. Önümüzdeki günlerde izlenecek başlıklar şunlar:
- Yaygın istismar raporlarının gelip gelmeyeceği ve CISA’nın değerlendirmesini güncelleyip güncellemeyeceği,
- Hosting firmalarının ve Linux dağıtımlarının yamaları ne kadar hızlı yaydığı,
- OpenAI’nin açıkladığı diğer kritik bulguların hangi yazılımlarda çıkacağı,
- Kapatılan kamu sitelerinin ne zaman yeniden hizmete açılacağı.
Kaynaklar
- PHP: Security advisory, Critical remote code execution vulnerabilities (21 Ekim 2026)
- Wiz Blog: PHP2Shell: AI uncovers critical RCE vulnerabilities (21 Ekim 2026)
- OpenAI: Patch the Planet, global response coordination (21 Ekim 2026)
- Cloudflare Blog: Cloudflare deploys protections against php2shell vulnerability (21 Ekim 2026)
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21 Ekim 2026)
- NSA: Critical Patches Recommended for PHP Vulnerabilities (21 Ekim 2026)
- Sophos: Advisory, PHP2Shell Vulnerabilities
- USOM TR-26-1372 PHP Programlama Dili Güvenlik Bildirimi (SiberAnaliz arşivi)
- CNN / ABC7: Websites shut down globally after AI-detected PHP flaw
Bu yazı bilgilendirme amaçlıdır; adı geçen şirketlerin hisseleri veya herhangi bir kripto varlık için yatırım tavsiyesi değildir.
📚 Yazarın Kitapları
Bilge Yatırımcı
Piyasa analizi, portföy yönetimi ve risk değerlendirmesi için pratik bir rehber.
Geleceğine Yatırım
Teknoloji ve geleceğin trendlerine odaklanan stratejik yatırım fikirleri.
