PHP'de kritik güvenlik açıkları: Acil güncelleme çağrısı

Dünya genelinde milyonlarca internet sitesinin altyapısında kullanılan PHP programlama dilinde, saldırganların uzaktan zararlı kod çalıştırmasına ve sunucuların kontrolünü ele geçirmesine imkân tanıyabilecek iki kritik güvenlik açığı tespit edildi. PHP geliştirme ekibi, önem derecesi 10 üzerinden 9,2 olarak değerlendirilen bu açıkları kapatmak için acil güncelleme yayımladı.

Hangi sürümler etkilendi, güncelleme zorunlu mu?

Açıklamalara göre güvenlik açıkları, özellikle Apache sunucularında kullanılan "mod_php" yapılandırmasında daha yüksek risk taşıyor. Açıklar; PHP'nin 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderildi. PHP geliştirme ekibi, tüm kullanıcılara sistemlerini derhal güncellemelerini çağrısında bulunurken, PHP 8.1 ve daha eski sürümlerin artık resmi güncelleme desteği almadığını hatırlatarak bu sürümleri kullananların desteklenen sürümlere geçmesini ya da yazılım sağlayıcılarından güvenlik yaması temin etmesini önerdi.

PHP geliştirme ekibi, açıklardan birine ilişkin ilk bulguların 2024'te elde edildiğini ancak o dönemde ciddiyetinin somut biçimde ortaya konulamadığını kabul etti. Açığın giderilmesine yönelik çalışmaların teknik anlaşmazlıklar ve uzman eksikliği nedeniyle defalarca duraksadığını belirten ekip, "Gecikme, hem güvenlik ekibinin karar alma sürecinden hem de kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlıktı" ifadesini kullandı. OpenAI'ın "Patch the Planet" programı kapsamında yürütülen güvenlik incelemelerinde ağustos ve eylül aylarında açığın nasıl kötüye kullanılabileceğine dair yeni bulgular elde edilmesi üzerine açıkların giderilmesine öncelik verildi; güvenlik açıklarına ilişkin bilgilerin sosyal medyada yayılmasının ardından ise güncelleme takvimi öne çekildi.

Yapay zeka açıkların tespitinde rol oynadı

Güvenlik açıklarını tespit eden siber güvenlik şirketlerinden Wiz Research, araştırmalarda Gemini 4 Argon ve GPT-5.6 Sol yapay zeka modellerinden yararlandığını açıkladı. Şirket, PHP kaynak kodundaki açıkların karmaşık yapıları nedeniyle daha önce tespit edilmesinin güç olduğunu, Gemini 4 Argon'un ise açıkların bulunmasında ve güvenlik yamalarının doğrulanmasında belirleyici rol oynadığını bildirdi.

Türkiye'de siber güvenlik seferberliği

Küresel ölçekte "PHP2Shell" krizi olarak adlandırılan bu gelişmenin ardından Japonya, Danimarka, Hollanda ve Finlandiya dahil pek çok ülke uyarı yayımladı; bazı ülkelerde kamu internet siteleri ve çevrim içi hizmetler tedbir amaçlı geçici olarak erişime kapatıldı. Türkiye'de ise Cumhurbaşkanlığı Siber Güvenlik Başkanlığı kamu kurumları başta olmak üzere ülke genelindeki sistemlerde güvenlik taramaları başlatırken ilgili kurumlara acil tedbir alınması yönünde bildirimler iletildi.

Türkiye Yazılımcılar Federasyonu Genel Başkanı Mustafa Çalış, bu gelişmenin son 10 yılın en büyük siber güvenlik krizlerinden biri olarak değerlendirildiğini belirterek kamu kurumları ve özel sektör firmalarına önlem çağrısında bulundu. Çalış, tüm yazılımcı ve sistem yöneticilerinin PHP sürümlerini güncellemesini, güncelleme imkânı bulunmayan kritik sistemleri geçici olarak dış erişime kapatmasını ve geriye dönük sızma izlerini incelemesini önerdi. Kamusal Siber Savunma Derneği Başkanı Yakup Özdemir de vatandaşlara güçlü parola kullanımı, çok faktörlü kimlik doğrulama ve şüpheli bağlantılardan kaçınma gibi temel dijital güvenlik önlemlerini hatırlatırken, teknik uzmanlığı bulunmayan KOBİ'lerin hosting sağlayıcılarından veya siber güvenlik kuruluşlarından destek almasını tavsiye etti.