Güvenlik araştırmacıları, Wiz araştırma şirketinin raporlarına göre dünya genelindeki web sitelerinin yaklaşık %70'inin temelini oluşturan PHP programlama dili motorunda iki kritik açık keşfedildiğini duyurdu. CVE-2026-109618 ve CVE-2026-109619 tanımlayıcıları altında izlenen ve topluca PHP2Shell olarak bilinen bu iki açık, CVSS v4.0 ölçeğinde 9.2 şiddet puanı aldı.
Calif.io şirketi, açıklardan birini OpenAI'ın GPT-5.6 Sol modelini kullanarak keşfederken, Wiz şirketi her iki açığı da Google'ın Gemini 4 Argon modeli ve GPT-5.6 Sol modeli ile iş birliği içinde Wiz Atlas aracını kullanarak bağımsız olarak buldu. Cloudflare raporları ayrıca, Quarkslab gibi diğer güvenlik kuruluşlarının da PHP'nin farklı sürümlerinde on yıldan fazla süredir var olan bu yazılım hatalarının keşfedilmesine katıldığını belirtti.
On yıldır gizli kalan güvenlik açıkları
Sorunun kökeni, PHP motorunun hataları işleme biçimine dayanmaktadır; bir yazılım isteği çöktüğünde veya mevcut bellek tükendiğinde, motor geride daha önce serbest bırakılmış bellek referansları (Use-After-Free) bırakabilir. Aynı işleyici tarafından işlenen bir sonraki istek, bu referansları geçerli kabul ederek işleyebilir.
Araştırmalar, saldırganların bu davranışı ve tür karıştırma (type-confusion) hatalarını kullanarak WordPress, Drupal ve Joomla gibi popüler platformlarda oturum açmaya gerek kalmadan hassas verilere erişebileceğini veya uzaktan kötü amaçlı kod çalıştırabileceğini kanıtladı. Araştırmacılar, etkilenen bazı kodların PHP 5.4 sürümüne kadar uzandığını ve bu hataların, başarılı bir saldırı oluşturmak için birden fazla zayıf noktanın birleştirilmesinin zorluğu nedeniyle yıllarca gizli kaldığını, yapay zekanın ise keşif sürecini sadece birkaç gün içinde hızlandırarak kritik bir rol oynadığını vurguladı.
Müdahale hızı ve yamaların yayınlanması
İyileştirme süreci, Wiz'in 19 Ağustos'ta ilk açığı keşfetmesi ve sonraki günlerde Drupal ve ardından WordPress üzerinde kod yürütme yeteneğini doğrulamasıyla başladı. PHP güvenlik ekibi 24 Ağustos'ta resmen bilgilendirildi ve Cloudflare, Google Cloud, AWS, Microsoft ve Akamai gibi büyük şirketleri içeren yoğun bir koordinasyonun ardından 21 Ekim'de düzeltme sürümleri yayınlandı.
Geliştiriciler ve sistem yöneticileri için pratikte neler değişiyor?
PHP, geliştirme ekiplerinin ve sistem yöneticilerinin sunucularını hemen güncellemesi gereken güvenli sürümleri yayınladı: PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Linux dağıtımları veya yönetilen barındırma sağlayıcıları kullanılıyorsa, güncellemelerin (backporting) uygulandığını doğrulamak için tedarikçilerle iletişime geçilmesi önerilir.
Buna ek olarak OpenAI, yapay zeka tarafından keşfedilen açıklarla başa çıkmak için doğrulama, modeller aracılığıyla ileri düzey testler, verilerin dağıtıcılar ve hizmet sağlayıcılar ile kademeli olarak paylaşılması ve son olarak devlet kurumları ile kritik altyapılara ulaştırılmasını içeren beş aşamalı proaktif bir çerçeve önerdi. Şirket ayrıca, savunmasız sürümlerin varlığını kontrol etmek için PHP sürümlerini yerel olarak tarayan bir araç sağladı ve web uygulaması güvenlik duvarları (WAF) gibi koruma araçlarının geçici bir savunma katmanı olduğunu, sunuculardaki kodun fiilen güncellenmesinin yerini tutmayacağını hatırlattı.