Amerika Ulusal Güvenlik Ajansı (NSA), Çarşamba günü PHP'de iki kritik güvenlik açığının bulunduğuna dair endişe verici bir uyarıda bulundu. Bu açıklar için PHP Vakfı tarafından yamalar yayınlandı. İnternet üzerindeki web sitelerinin yaklaşık %70'ini oluşturan PHP, geniş çapta kullanılan bir sunucu taraflı programlama dilidir. Bu oran, 33 milyondan fazla siteye denk gelmektedir. Popüler içerik yönetim sistemleri (CMS) WordPress de PHP kullanmaktadır. NSA, bu açıkların o kadar ciddi olduğunu belirtti ki, bir web sitesi derhal yamalanamazsa, yamalanana kadar yayından kaldırılması gerektiğini vurguladı. Bu açıklar, saldırganların web uygulaması tarafından kullanılan sunucu dosya sistemine veya bir veritabanına sızmasına imkan tanıyor. İlginç bir şekilde, bu güvenlik açıkları 2004 yılında çıkan PHP 5 sürümünden bu yana tüm PHP versiyonlarında gizlenmiş durumdaydı. Nispeten güncel PHP sürümlerini kullanmayan web sitelerinin güncelleme yapması gerekecek, çünkü PHP 8.1 ve daha eski sürümler artık desteklenmiyor. En güncel PHP sürümüne, yani 8.5.12'ye web sunucusunu güncellemek tavsiye ediliyor.
Yapay zeka keşifleri hızlandırdı
Peki, neredeyse tüm internet sitelerini etkileyen bu kadar yaygın ve on yıllardır var olan iki kusur aniden nasıl ortaya çıktı? Cevap, şaşırtıcı olmayan bir şekilde yapay zeka, özellikle OpenAI ve Google'ın Wiz platformu oldu. Güvenlik testi şirketi Calif, açık kaynaklı yazılımlardaki kusurları bulmak için OpenAI'nin “Patch the Planet” (Gezegeni Yama) girişimine katıldı. GPT‑5.6 Sol kullanarak açıklarından birini bulduğunu OpenAI bir blog yazısında duyurdu. Ayrı olarak, Wiz ekibi de yapay zeka, yani Wiz Atlas güvenlik yapay zeka ajanı, Gemini 4 Argon ve GPT-5.6 Sol'u kullanarak PHP'de birden fazla güvenlik açığı tespit etti. Hem OpenAI hem de Wiz, sorumlu güvenlik araştırması prensiplerine uyarak, açıkları kamuoyuna açıklamadan önce PHP ile birlikte yamalar üzerinde çalıştı. Ardından bulgularını detaylandırmak ve yamaları test etmek için bir araya geldiler ve bu süreçte birçok kişiden yardım aldılar. Wiz, bu çalışmalara katkıda bulunan Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ve Vercel'e teşekkür etti. (WordPress siteleri PHP kullanmasına rağmen, WordPress açıklamasında bu açığın sadece WordPress'e özgü olmadığını ve kendi CMS'sini çalıştıran sitelerin sunucularını yamalaması ve web barındırma şirketleriyle çalışarak sitelerinin korunmasını sağlaması gerektiğini belirtti.) OpenAI, bu açıkların hackerlar tarafından keşfedilmesinden önce araştırmacılar tarafından bulunduğunu belirtti. Bu nedenle, sistemde aktif olarak kullanılan herhangi bir açık rapor edilmemişti. Bunun bir nedeni de, yapay zekadan önce bu açıkların hackerlar tarafından istismar edilmesinin çok zor olmasıydı.
Yapay zeka ile riskler arttı
Wiz, açıkları hakkındaki blog yazısında, “Yapay zeka ile bu artık bir engel değil. Büyük dil modelleri (LLM'ler) bir açığı farklı PHP sürümlerine, yapılandırmalara ve bellek düzenlerine uyarlamaya yardımcı olabilir” uyarısında bulundu. Başka bir deyişle, bu, yapay zeka sayesinde bulunan ve önlenen bir güvenlik sorunu türüdür, ancak aynı zamanda yalnızca yapay zeka nedeniyle yüksek risk taşımaktadır. Sorun kamuoyuna açıklandıktan sonra, hackerlar artık tam olarak bilgilendirilmiş durumda. İnternetin, yamalanmamış sitelere hackerların saldırmasından önce milyonlarca web sitesini yamalaması için bir yarış başladı. Bu nedenle NSA'nın, PHP web sitenizi hemen yamalayamazsanız, çevrimdışı bırakmanın daha iyi olacağı yönündeki rehberliği önem kazanıyor.
