PHP programlama dili geliştirme ekibi, 10 üzerinden 9,2 ciddiyet puanı ile "kritik" olarak sınıflandırılan iki güvenlik açığını gidermek için acil güvenlik güncellemeleri yayınladığını duyurdu. Bu açıklar, saldırganların kimlik doğrulamaya gerek kalmadan uzaktan kötü amaçlı kod çalıştırmasına olanak tanıyor ve etkilenen sunucular üzerinde tam kontrol sağlıyor.
Açıkların detayları ve etkilenen sürümler
Bu açıklar özellikle Apache sunucuları içinde mod_php yapılandırmalarını kullanan sunucuları etkiliyor. Bu riskleri gideren güncellemeler şu PHP sürümlerini kapsıyor: 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Geliştirme ekibi, tüm sistem yöneticilerini sunucularını derhal güncellemeye çağırıyor.
Ayrıca, PHP 8.1 ve önceki sürümlerin artık resmi destek almadığı ve bu durumun kullanıcılarını risk altında bıraktığı belirtildi; bu nedenle desteklenen sürümlere geçilmesi veya yazılım sağlayıcılarından güvenlik yamaları alınması tavsiye ediliyor.
Yapay zekanın tespitteki rolü
Siber güvenlik alanında uzmanlaşan Wiz Research şirketi, PHP kaynak kodundaki bu karmaşık açıkların, gelişmiş yapay zeka modelleri, özellikle de Gemini 4 Argon ve GPT-5.6 Sol yardımıyla tespit edildiğini açıkladı. Gemini 4 Argon modeli, kodun analiz edilmesinde ve güvenlik yamalarının doğrulanmasında merkezi bir rol oynayarak, açık kaynaklı yazılım altyapısının güvenliğini artırmada yapay zekanın önemini vurguladı.
İyileştirme neden gecikti?
PHP geliştirme ekibi, ilk işaretleri 2024 yılında gözlemlenen açıklardan birinin giderilmesinde gecikmeye yol açan "yapısal bir başarısızlık" olduğunu kabul etti. Ekip, kaynak eksikliği ve teknik anlaşmazlıkların o dönemde çözümü engellediğini açıkladı. Bununla birlikte, OpenAI'ın "Patch the Planet" programı kapsamında geçtiğimiz Ağustos ve Eylül aylarında gerçekleştirilen güvenlik incelemeleri, açığın nasıl istismar edilebileceğine dair somut kanıtlar sunulmasına yardımcı oldu ve sosyal medyada açıklarla ilgili bilgilerin sızmasının ardından ekibin onarım sürecini hızlandırmasını sağladı.