PHP, Sınırdaki Yapay Zekâ Modellerinin Bulduğu İki Kritik Uzaktan Kod Yürütme Açığını Yamayla Giderdi

PHP projesi, kimlik doğrulaması gerektirmeden uzaktan kod yürütülmesine olanak tanıyabilen ve sınırdaki yapay zekâ modelleriyle keşfedilen iki kritik güvenlik açığını gideren güvenlik güncellemeleri kapsamında PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini 21 Ekim 2026’da yayımladı. Koordineli açıklama sürecinde PHP projesi, OpenAI, güvenlik araştırmaları firması Calif ve bulut güvenliği şirketi Wiz yer aldı.

Yamalanan Sürümler

PHP projesinin güvenlik duyurusunda, dört sürümün de bellek yetersizliği kaynaklı bozulma üzerinden uzaktan kod yürütülmesi olarak tanımlanan CVE-2026-109618’i ve güncelliğini yitirmiş genel durum üzerinden uzaktan kod yürütülmesi olarak tanımlanan CVE-2026-109619’u giderdiği belirtiliyor. PHP güvenlik ekibinin 20 Ekim 2026’da yayımladığı ön duyuruda, her iki güvenlik açığına da CVSS v4.0 üzerinden 9.2 puan verilmiş ve sürümün 21 Ekim günü saat 14.00 UTC’de yayımlanacağı bildirilmişti.

Duyuruya göre, PHP-FPM, mod_php kullanan Apache, php-cgi, FrankenPHP ve LiteSpeed dâhil, web isteklerine yanıt veren tüm PHP kurulumları risk altında. Riskin, gösterilmiş bir istismarın uygulama kodu çalışmadan önce kimlik doğrulaması gerektirmeyen bir istekle tetiklenebildiği mod_php için en yüksek düzeyde olduğu değerlendiriliyor.

Proje, açığı tamamen giderecek bir önlem bulunmadığını ve güvenli olan tek seçeneğin güncelleme yapmak olduğunu belirtiyor; ancak belirli saldırı yollarına maruz kalma riskini azaltan geçici ayarları da sıralıyor. Linux dağıtımlarına ve LTS sürümleri sunan sağlayıcılara yamalar önceden iletildi. PHP güvenlik ekibi, artık güncelleme almayan PHP 7.4, 8.0 ve 8.1 sürümleri için kaynak kodu düzeyinde asgari geriye taşıma yamaları da sağladı ve PHP 8.2’nin destek ömrünün 31 Aralık 2026’da sona ereceğini belirtti.

Güvenlik Açıkları ve Php2shell İstismarı

Wiz Research’ün teknik açıklamasında, CVE-2026-109618’in yükleme ilerleme durumu serileştirme çözücüsünde serbest bırakma sonrası kullanım açığını ve süreç belleğinin uzaktan ifşa edilmesini kapsadığı; CVE-2026-109619’un ise ölümcül hata yığın izinde serbest bırakma sonrası kullanım açığını ve OPcache tür karışıklığını kapsadığı belirtiliyor. Bunların tümü, PHP’nin istekleri işlerken, özellikle bellek yetersizliği hataları gibi ölümcül hataları ele alış biçiminden kaynaklanan bellek güvenliği sorunlarıdır.

Wiz, son on yılda yayımlanan tüm PHP sürümlerinin en az bir güvenlik açığından etkilendiğini ve bu durumun 5.4 sürümüne kadar uzandığını söyledi. Calif, tespit ettiği en eski etkilenen yolun PHP 5.4.0’a dayandığını ve PHP sürümüne ve SAPI’ye bağlı olan istismar yollarının varsayılan yapılandırmalarda her zaman kullanılabilir olduğunu bildirdi.

Wiz, güvenlik açıklarını php2shell adlı tek bir istismar betiğinde birleştirdi ve WordPress, Drupal ve Joomla’nın en güncel konteyner görüntülerine karşı kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeyi gösterdi. Ayrıca, parolalar, kimlik doğrulama belirteçleri, API anahtarları ve sertifikalar içerebilen PHP çalışan süreçlerinin belleğinin uygulamadan bağımsız biçimde ifşa edilebildiğini gösterdi. Calif’in yazısı, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 ve WHMCS üzerinde, ayrıca bazı durumlarda rastgele PHP betiklerinde, kimlik doğrulaması öncesinde uzaktan kod yürütmenin doğrulandığını bildiriyor.

Wiz, WordPress, Joomla, Drupal ve Wikipedia’nın MediaWiki’si dâhil tüm web sitelerinin %70’ine güç veren PHP’yi tanımlıyor ve bu bulguları PHP’de keşfedilen en ciddi güvenlik açıkları arasında gösteriyor.

Sınırdaki Yapay Zekâ Modelleri Açıkları Nasıl Buldu?

OpenAI, son iki ay içinde güvenlik açıklarını gidermek için bakımcılar, araştırmacılar ve güvenlik sağlayıcılarından oluşan bir koalisyona öncülük ettiğini söyledi. Bu süreçte Calif, OpenAI’nin Patch the Planet girişimi kapsamında GPT-5.6 Sol modelini kullanarak kritik bir açığı tespit ederken Wiz de her iki güvenlik açığını bağımsız olarak keşfedip bildirdi. Düzeltmelerin hazırlanmasına ve sürümün yayımlanmasına PHP’nin bakımcıları öncülük etti.

Katılımcıların zaman çizelgeleri, birbirinden bağımsız keşiflerin örtüşen süreçlerde gerçekleştiğini gösteriyor. PHP Foundation kayıtlarına göre Calif, denetimine 30 Temmuz 2026’da başladı ve Calif araştırmacısı Ryan A, 11 Ağustos 2026’da koşulsuz uzaktan kod yürütme açığını bildirdi; OpenAI de aynı gün aynı temel nedeni bağımsız olarak bildirdi. Calif’in anlatımına göre keşif 1 Ağustos 2026’da yapıldı, uzaktan kod yürütme kavram kanıtı 14 Ağustos 2026’da PHP ile paylaşıldı, PHP açığı 15 Ağustos 2026’da doğruladı ve ikinci bir hata 21 Ağustos 2026’da bildirildi.

Wiz, ilk güvenlik açığını 19 Ağustos 2026’da Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol’u kullanarak keşfettiğini; 20 Ağustos 2026’da Drupal’da, 21 Ağustos’ta ise WordPress’te kimlik doğrulaması gerektirmeyen kod yürütmeyi doğruladığını ve güvenlik açıklarını 24 Ağustos 2026’da PHP güvenlik ekibine bildirdiğini aktarıyor. Foundation’a göre OpenAI, 18 Eylül 2026’da ek saldırı yolları bildirdi. Wiz’e göre PHP ise 21 Eylül 2026’da bildirimleri kabul etti ve koordineli bir düzeltme geliştirmeye başladı.

Temel güvenlik açığının uzun bir geçmişi var. Calif, Stefan Esser’ın 2004’te PHP’de bellek sınırıyla ilgili ilk uzaktan güvenlik açığını bulduğunu, bellek yetersizliği durumunu açıklayan bir hatanın 2020’de projeye bildirildiğini ve OSTIF ile Quarkslab’ın 2024’te gerçekleştirdiği bir denetimde sorunu yeniden keşfettiğini, ancak istismar edilebileceğini kanıtlayamadığını aktarıyor. PHP Foundation, 2024 denetiminin Sovereign Tech Agency tarafından finanse edildiğini ve düzeltme çalışmalarının aylar boyunca defalarca durup yeniden başladığını yazdı: “Aksini iddia etmeyeceğiz: Gecikme, yapısal bir başarısızlıktı.”

OpenAI, güvenlik açıklarının ciddiyeti ve PHP’nin yaygın kullanımı göz önüne alındığında, bunları yakın geçmişin en etkili güvenlik sorunlarından biri olarak gördüğünü belirtti. Şirket ayrıca, bildiği kadarıyla güvenlik açıklarını saldırganlardan önce öncü yapay zekânın bulduğunu ve bunun kendi deyişiyle Savunucular İçin Bir Fırsat Penceresi açtığını söyledi. OpenAI, ön saflardaki savunuculara sübvansiyonlu Daybreak erişimi sağlamak için 1 milyar dolar taahhüt etti ve openai/php2shell-checker GitHub deposunda Codex becerisi olarak bir PHP sürüm denetleyicisi yayımladı.

Sızdırılan Açıklama ve İhlal Edilen Ambargo

PHP Foundation, koordineli açıklama sürecinin hedeflenen yayımlanma tarihine iki gün kalana kadar sürdüğünü bildiriyor. 20 Ekim 2026’da saat 15.00 UTC civarında, iki CVE kimliği çevrimiçi forumlarda ve sosyal medyada yanlış bir yayımlanma saati ve 10.0 olarak belirtilen yanlış bir CVSS puanıyla dolaşıma girmeye başladı; ancak teknik ayrıntılar sızmadı. PHP projesi, ön duyurusunu aynı gün saat 19.30 UTC’ye aldı ve düzeltmenin dağıtımcılar tarafından hâlâ paketlenmekte olduğunu belirterek yayımlanma tarihini 22 Ekim 2026’dan 21 Ekim 2026 saat 14.00 UTC’ye çekti.

Foundation’a göre Calif, 20 Ekim’de saat 20.00 UTC civarında, kavram kanıtının çeşitli hedeflerde çalıştığını gösteren bir videoyu yanlışlıkla yayımladı. Videonun kopyaları dolaşıma girdi ve 21 Ekim’de çeşitli kavram kanıtı açıklarının geliştirilme sürecinin hızlanmasına katkıda bulundu. Foundation, 21 Ekim’de saat 07.41 UTC’de, koordineli yayımlanmadan altı saatten fazla süre önce Chainguard’ın ambargoyu tek taraflı olarak ihlal edip düzeltmeyi içeren oluşturulmuş imajları yayımladığını bildiriyor. PHP güvenlik ekibi, sızıntıdan sonra ortaya çıkan kavram kanıtlarını izledi; ancak yayımlanma ve kamuya açıklanma sırasında işlevsel bir istismar örneği tespit etmedi.

Hükümetlerle Koordinasyon ve Önerilen Bir Çerçeve

OpenAI, güvenlik yönergelerinin kritik kuruluşlara ulaşmasına yardımcı olmak için Beyaz Saray’ın Süper İstihbarat Gücü, Ulusal Siber Direktör Ofisi ve Siber Güvenlik ve Altyapı Güvenliği Ajansı dâhil olmak üzere ABD hükümetinin çeşitli birimleriyle ve uluslararası ortaklarla birlikte çalıştığını belirtti. Wiz, kamuya açıklama yapılmadan önce Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva ve diğerleriyle ortaklaşa çalışarak müşteri yönergeleri, tespit mekanizmaları ve hemen güncelleme yapamayan kuruluşlar için hazır azaltıcı önlemler hazırladığını söyledi.

OpenAI ayrıca, yaygın kullanılan yazılımlardaki kritik güvenlik açıklarına müdahale etmek için beş aşamalı bir çerçeve önerisi yayımladı: ana projedeki güvenlik açığını doğrulayıp düzeltmek, etkilenen kuruluşlara harekete geçmeleri için zaman tanımak, hükümet ortaklarıyla koordinasyon sağlamak, etkilenen ürünlerde güncellemeler hazırlamak ve yama kullanılabilir olduğunda yönergeleri yayımlamak. Şirket, güvenlik topluluğundan bu yaklaşıma ilişkin görüşlerini paylaşmasını istedi.

Mayıs 2026’da Ekosistem Güvenliği Ekibi’ni kuran ve Alexandre Daubois’ı Temmuz 2026’da, Daniel Scherzer’i ise Eylül 2026’da işe alan PHP Foundation, ekibin 1 Temmuz 2026’dan bu yana 15 CVE yayımladığını; bu sırada geçersiz olduğu, yinelendiği veya yeniden üretilemediği anlaşılan 100’den fazla bildirimi değerlendirdiğini söyledi. Hizmetleri PHP üzerinde çalışan şirketlerden, barındırma sağlayıcılarından, bulut platformlarından, dağıtımlardan ve hükümetlerden sponsorluk desteği talep etti.