Yapay Zekânın Bulduğu PHP Açıkları Küresel Siber Güvenlik Alarmı Yarattı

PHP2Shell açıkları milyonlarca saldırı girişimine ve küresel acil güvenlik önlemlerine yol açtı.

Web altyapısının en yaygın programlama dillerinden PHP’de ortaya çıkarılan iki kritik güvenlik açığı, dünya genelinde hükümetleri, bankaları, teknoloji şirketlerini ve internet hizmet sağlayıcılarını acil önlem almaya yöneltti. PHP2Shell adı verilen açıklar, saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına ve bazı senaryolarda sunucu belleğindeki hassas verilere erişmesine imkân verebiliyor.

Haberin teknoloji dünyası açısından sıra dışı tarafı, keşif sürecinde yapay zekânın oynadığı rol. OpenAI, Patch the Planet programı kapsamında kritik açıklardan birinin GPT-5.6 Sol yardımıyla tespit edildiğini açıkladı. Wiz ise iki güvenlik açığını bağımsız olarak keşfederken araştırma sürecinde Gemini 4 Argon ve GPT-5.6 Sol dahil gelişmiş yapay zekâ modellerinden yararlandı.

PHP geliştiricileri 21 Ekim’de acil güvenlik güncellemelerini yayımladı. Ancak açıkların teknik ayrıntılarının kamuya ulaşmasının ardından saldırı trafiği hızla arttı. Cloudflare tarafından paylaşılan verilere göre açıklamadan sonraki 45 dakika içinde on binlerce, iki saat içinde yüz binlerce ve sonrasında milyonlarca istismar girişimi gözlendi.

Güney Kore hükümeti siber güvenlik alarm seviyesini yükselterek acil müdahale süreci başlattı. Japonya’da bazı banka ve kamu hizmetleri güvenlik önlemleri kapsamında geçici olarak çevrim dışına alındı. Avrupa’daki bazı kamu hizmetlerinde de koruyucu amaçlı kesintiler yaşandı.

PHP2Shell neden bu kadar kritik?

PHP2Shell, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen iki kritik PHP güvenlik açığını kapsıyor.

Her iki açık da CVSS 4.0 sisteminde 9,2 puanla derecelendirildi. Wiz’in araştırmasına göre sorunlar, PHP çekirdeğinin istekler sırasında oluşan kritik bellek hatalarını yönetme biçiminden kaynaklanıyor.

Bazı koşullarda bozulmuş veya eski bellek durumunun sonraki isteklerde yeniden kullanılması, saldırganın süreç belleğini okuyabilmesine veya belleği kontrol ederek uzaktan kod çalıştırmasına yol açabiliyor.

Wiz araştırmacıları WordPress, Drupal ve Joomla üzerinde kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma senaryolarını gösterdi. Ayrı bir saldırı zincirinde ise parola, token ve API anahtarı gibi hassas bilgilerin bulunabileceği PHP işlem belleğinden veri okunabildiği ortaya kondu.

Asıl risk uygulama katmanının altında bulunuyor. Güvenlik açığı PHP çekirdeğinde yer aldığı için farklı PHP uygulamaları ve özel geliştirilmiş web servisleri de kullanılan sürüm ve yapılandırmaya göre etkilenebiliyor.

PHP internetin çok geniş bölümünü çalıştırıyor

PHP2Shell’in etkisini büyüten temel unsur, PHP’nin internet altyapısındaki yaygınlığı.

Wiz’e göre PHP dünya genelindeki web sitelerinin yaklaşık yüzde 70’inde kullanılıyor. WordPress, Drupal, Joomla ve MediaWiki gibi yaygın içerik yönetim sistemleri PHP altyapısına dayanıyor.

Araştırmacılar, son on yılda yayımlanan PHP sürümlerinin en az bir güvenlik açığından etkilendiğini ve riskin PHP 5.4’e kadar uzandığını belirtiyor.

Bu ölçekte bir temel yazılım katmanında ortaya çıkan kritik açık, tek bir şirketin veya uygulamanın güvenlik sorununu aşarak internet altyapısının geniş bölümünü ilgilendiren bir olaya dönüşüyor.

PHP acil güvenlik güncellemelerini yayımladı

PHP geliştirme ekibi 21 Ekim’de desteklenen sürümler için yeni güvenlik güncellemelerini kullanıma sundu.

Güncellenmiş sürümler şöyle:

PHP 8.5 için 8.5.12
PHP 8.4 için 8.4.27
PHP 8.3 için 8.3.36
PHP 8.2 için 8.2.35

PHP ekibi, iki güvenlik açığının kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabileceğini belirterek kullanıcıların güncellemeleri mümkün olan en kısa sürede uygulamasını istedi.

PHP 8.1 ve daha eski sürümler artık PHP projesinden doğrudan güvenlik güncellemesi almıyor. Bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları ise kendi geriye dönük yamalarını sunabiliyor.

PHP güvenlik ekibi geçici koruma yöntemleri de yayımladı. Ancak kalıcı koruma açısından güncellenmiş PHP sürümlerine geçiş temel çözüm olarak öne çıkıyor.

Milyonlarca saldırı girişimi görüldü

PHP2Shell olayını kritik bir yazılım açığının ötesine taşıyan gelişme, teknik ayrıntıların ortaya çıkmasının hemen ardından başlayan yoğun saldırı trafiği oldu.

Cloudflare, kamuya açık duyurudan önceki 10 saat içinde ağında binlerce istismar girişimi gördüğünü açıkladı. Açıklamayı takip eden ilk 45 dakikada sayı on binlere, iki saat içinde yüz binlere ulaştı ve ardından milyonları geçti.

Cloudflare ayrıca açık kamuya duyurulmadan önce koruma kurallarını devreye aldığını ve saldırganların kullanılan güvenlik önlemlerini aşabilmek amacıyla saldırı yüklerini değiştirdiğini gözlemlediğini aktardı.

Bu veriler milyonlarca sistemin başarıyla ele geçirildiğini göstermiyor. Buna karşılık güvenlik açığının kamuya çıkmasıyla otomatik saldırı araçlarının ne kadar hızlı devreye girebildiğini açık biçimde ortaya koyuyor.

Güney Kore acil müdahale başlattı

PHP2Shell’in etkisi kısa sürede ulusal siber güvenlik kurumlarının gündemine taşındı.

Güney Kore hükümeti 22 Ekim’de siber güvenlik alarm seviyesini yükseltti ve PHP kullanan sistemler için acil müdahale çalışmalarını başlattı. Yetkililer özellikle özel sektör altyapılarında olası saldırı riskine karşı güvenlik kontrollerinin artırılmasını istedi.

Reuters’ın aktardığı bilgilere göre Japonya’da Mitsubishi UFJ Financial Group bazı internet hizmetlerini güvenlik önlemleri kapsamında geçici olarak durdurdu. Japonya Maliye Bakanlığı da bazı web içeriklerini ve çevrim içi hizmetlerini geçici olarak kapattı.

Dünya genelindeki kurumların aynı anda güncelleme yarışına girmesi, yaygın açık kaynak teknolojilerindeki kritik bir güvenlik açığının ulusal altyapı seviyesinde operasyonel sonuçlar yaratabileceğini gösteriyor.

Yapay zekâ güvenlik açığı avını hızlandırıyor

PHP2Shell olayının en önemli taraflarından biri, yapay zekânın siber güvenlik araştırmalarındaki rolünün yeni bir aşamaya ulaşması.

Wiz araştırmacıları PHP çekirdeğindeki temel sorunların uzun yıllardır kod tabanında bulunduğunu belirtiyor. Bu açıkları çalışan bir saldırı zincirine dönüştürmek ise karmaşık bellek davranışlarını analiz etmeyi, farklı yapılandırmaları test etmeyi ve saldırıyı hedef sisteme uyarlamayı gerektiriyordu.

Gelişmiş yapay zekâ modelleri bu araştırma süresini önemli ölçüde kısaltıyor. Wiz, çalışan saldırı zincirlerinin farklı uygulamalara saatler içinde uyarlanabildiğini belirtiyor.

OpenAI de ileri yapay zekâ sistemlerinin savunma ekiplerine yıllarca gözden kaçmış güvenlik açıklarını saldırganlardan önce keşfetme fırsatı sağlayabileceğine dikkat çekiyor.

Ancak aynı kapasite saldırı tarafında da kullanılabiliyor. Açıkların ayrıntıları kamuya ulaştığında exploit geliştirme, farklı sistemlere uyarlama ve saldırı süreçlerini otomatikleştirme süresi ciddi biçimde kısalabiliyor.

Siber güvenlikte zaman denklemi değişiyor

PHP2Shell, yapay zekânın siber güvenlik üzerindeki etkisini bugüne kadar gördüğümüz en somut örneklerden birine dönüştürüyor.

Geçmişte son derece karmaşık bellek açıklarının çalışan saldırı zincirlerine çevrilmesi yüksek uzmanlık ve uzun araştırma süreleri gerektiriyordu. Frontier AI modelleri bu maliyeti aşağı çekmeye başladığında, yıllardır kod tabanında bulunan ancak uygulanması zor kabul edilen güvenlik açıklarının risk profili de değişiyor.

Bu durum savunma tarafına güçlü bir avantaj sağlayabilir. Yazılım şirketleri ve güvenlik araştırmacıları geniş kod tabanlarını yapay zekâyla tarayarak kritik sorunları saldırganlardan önce ortaya çıkarabilir.

Aynı hız saldırganların elinde de çalışıyor. Bir güvenlik açığının ayrıntıları kamuya ulaştığı anda exploit geliştirme, farklı sistemlere uyarlama ve otomatik tarama süreçlerinin çok daha kısa sürede ölçeklenmesi mümkün hale geliyor.

Bu yeni dönemde kritik avantaj, güvenlik açığının bulunması ile saldırganların bunu kullanmaya başlaması arasındaki süreyi kimin daha iyi değerlendirdiği üzerinden şekilleniyor.

PHP2Shell’in asıl hikâyesi iki kritik güvenlik açığının çok ötesine uzanıyor.

Yıllardır kod tabanında bulunan son derece karmaşık güvenlik sorunlarının yapay zekâ yardımıyla çalışan saldırı zincirlerine dönüştürülebilmesi, siber güvenlikte “uygulanması çok zor” kabul edilen açıkların yeniden değerlendirilmesini gerektiriyor.

Savunmacılar aynı teknoloji sayesinde yıllardır fark edilmeyen açıkları saldırganlardan önce bulabiliyor. PHP2Shell’de bu avantaj, yamaların hazırlanması ve büyük altyapı sağlayıcılarının koruma mekanizmalarını önceden devreye alması için zaman kazandırdı.

Kamuya açıklamanın ardından saldırı denemelerinin birkaç saat içinde milyonlara ulaşması ise tablonun diğer yüzünü gösteriyor. Yapay zekâ keşif süresini kısalttığı gibi saldırı geliştirme ve ölçeklendirme süresini de kısaltıyor.

Yeni siber güvenlik yarışında kritik ölçüt yalnızca kimin daha güçlü AI modeline sahip olduğu olmayacak. Açığı kimin önce bulduğu, düzeltmenin ne kadar hızlı dağıtıldığı ve savunma ekiplerinin saldırganlardan ne kadar önce harekete geçebildiği çok daha belirleyici hale gelecek.