ABD Ulusal Güvenlik Ajansı ve Avrupa Siber Güvenlik Ajansı, şirketlere PHP'deki iki kritik açığı derhal gidermeleri tavsiyesinde bulundu. Açıkların varlığının çarşamba günü kamuoyuna duyurulmasının ardından bazı web siteleri ve hizmetler kısa süreliğine erişime kapandı.
Açıkları, OpenAI ile Google'a ait siber güvenlik şirketi Wiz ve Kalif adlı bir başka siber güvenlik firmasının ekipleri tespit edip giderdi. Wiz'e göre temel hatalar yaklaşık on yıldır mevcuttu, ancak bunların kötüye kullanılması "insan araştırmacıların pratikte ulaşabileceği sınırın tam kenarında" yer alan karmaşık bir dizi adım gerektiriyordu. Araştırmacılar daha sonra, siber güvenlikte "exploit" olarak bilinen bu açıklardan yararlanma tekniklerini uyarlamak ve sonuçları analiz etmek için yapay zekâdan yararlandı.
Toplu olarak PHP2Shell adı verilen hatalar, saldırganların web sitelerine sızmasına ve parolalar gibi hassas bilgiler içerebilecek belleği okumasına olanak tanıyabiliyor.
Programlama dilinin arkasındaki kuruluş olan PHP Vakfı (PHP Foundation), yazılımlarında yıllardır gizli kalan hatalar için bir yama yayımladı ve web sitesi operatörlerine sistemlerini derhal güncelleme çağrısı yaptı. Cloudflare'in genel müdürü, X üzerinden yaptığı açıklamada şirketinin ağının son birkaç günde bu açıklardan yararlanmaya yönelik milyonlarca girişim kaydettiğini belirtti.
Finansal danışmanlık firması deVere Group'un genel müdürü Nigel Green, PHP'nin webde bu kadar büyük bir paya sahip olması nedeniyle riskin insanların çevrimiçi para harcadığı neredeyse her alana ulaşabileceğini söyledi. Green, rezervasyon platformları, çevrimiçi mağazalar, abonelik hizmetleri, bilet satış siteleri, teslimat uygulamaları ve kamu hizmeti portallarının tamamının aynı tür koddan inşa edilen sistemlerde kart bilgisi tutabileceğini ekledi.
Açıklar, PHP'nin bilgisayar belleğiyle çalışma biçimindeki bir sorundan kaynaklanıyor. Bir web sitesi isteği beklenmedik şekilde kesildiğinde PHP, bellekte daha sonra erişilebilecek, bozulabilecek veya açığa çıkabilecek veriler bırakabiliyor.
PHP Vakfı ile Kalif, OpenAI ve Wiz ile birlikte sorunun çözümünde çalışan web altyapısı sağlayıcısı Cloudflare'e göre açıklar, saldırganların uzaktan kod çalıştırmasına, hizmetlerin işleyişini bozmasına ve kullanıcı verilerini açığa çıkarmasına imkân verebiliyor.
IBM'in küresel saldırı simülasyonu şefi Patrick Fasel, durumu CNN'e şöyle anlattı: "Çıkış yaptığınız ama anahtarınızın hâlâ çalıştığı bir otel odası düşünün. Böylece daha sonra o odaya kolayca geri dönebilirsiniz, ama artık orada başkasının eşyaları var."
Hatalar ağustos sonunda tespit edildi, ancak PHP'nin çözüm geliştirmesinin ardından ancak çarşamba günü kamuoyuna açıklandı.
Wiz, yapay zekânın "PHP kodunda on yıldan uzun süredir gizli kalan" açıkların belirlenmesinde ve giderilmesinde kilit rol oynadığını belirtti. Şirket PHP'yi "webin omurgası" olarak nitelendirdi ve bu olayın yapay zekâ için bir dönüm noktası olduğunu ifade etti.
Wiz araştırmacıları, çarşamba günü yayımladıkları blog yazısında, "Yapay zekânın değiştirdiği şey, zayıflıkları anlama yeteneğiydi" diyerek bu zayıflıkların hızla bir saldırı yöntemine dönüştürüldüğünü kaydetti. Araştırmacılar, "En gelişmiş yapay zekâ modelleri ve doğru araçlarla bir araştırmacı, daha önce en iyi ekibin aylar süren çalışmasını gerektiren işi bir haftada tamamladı" ifadelerini kullandı.
Wiz araştırmacıları inceleme sürecinde Google'ın Gemini 4 Argon, Wiz Atlas ve OpenAI'ın GPT-5.6 Sol modellerinden yararlandı.
Dünya liderleri de kuruluşları harekete geçmeye çağırdı. Hollanda Başbakanı Rob Jetten, kabinesinin "PHP'deki açıklarla ilgili durumu yakından izlediğini" söyledi.
Japonya Başbakanı Sanae Takaichi, maruziyeti azaltmak için gerekirse hizmetlerin geçici olarak durdurulmasının değerlendirilmesi gerektiğini belirtti. Takaichi, çarşamba günü X üzerinden yaptığı paylaşımda, "Lütfen herkese açık web sitelerinizin PHP kullanıp kullanmadığını kontrol edin ve bu gece yayımlanacak yamayı mümkün olan en kısa sürede uygulamaya hazırlanın" dedi.
Japonya'da havayolu şirketi ANA, demiryolu işletmecisi JR West ve ülkenin en büyük bankası MUFG, bazı web sayfaları ve hizmetlerinde geçici kesinti bildiren şirketler arasında yer aldı.
Avrupa'da Fransa, Danimarka, Finlandiya ve Hollanda'daki hükümet siteleri, aralarında Hollanda siber güvenlik ajansının da bulunduğu kurumlarla birlikte güvenlik yamaları uygulanırken geçici olarak erişime kapatıldı.
Vikipedi'yi işleten kâr amacı gütmeyen Wikimedia Vakfı, perşembe günü CNN'e yaptığı açıklamada "PHP'deki güvenlik açıklarını giderme sürecinde" olduğunu ve bazı sistemlerinin "önlem olarak" kapatıldığını bildirdi.
İngiltere hükümetinde bakan olan Elizabet Lojd, perşembe günü Lordlar Kamarası'nda yaptığı açıklamada hükümete ait hizmetlerin yaklaşık üçte birinin erişilemez durumda olduğunu, güvenlik güncellemesi sürerken dört hizmetin de "kısmen erişilemez" olduğunu söyledi. İrlanda'nın en popüler ikinci medya kuruluşu olan Journal, "savunmasını" güçlendirirken perşembe sabahı geçici olarak yayın dışı kaldı.
Wiz araştırmacıları, sorunun webin yaklaşık üçte ikisinde kullanıldığı tahmin edilen şifreleme teknolojisini etkileyen 2014'teki Heartbleed hatasıyla aynı düzeyde olduğunu belirtiyor. Heartbleed, siber suçluların korunması gereken verilere erişmesine olanak tanımıştı.
Wiz araştırmacılarına göre Heartbleed gibi PHP2Shell de siber güvenlikte benzer şekilde bir dönüm noktası işlevi görebilir. Açıklar yıllardır mevcut olsa da yapay zekâ bunların etkinleştirilmesini pratik hale getirdi.
Fasel, "Açıkların keşfedilme hızı, daha önce hiç görülmemiş bir düzeyin çok üzerinde" dedi.
Illinois Üniversitesi'nde bilgisayar bilimleri doçenti Gang Wang'a göre yama yayımlanmış olsa da tüm şirket ve kuruluşların sistemlerini aynı anda güncellemesi olası değil. Bu durum, açık artık kamuya açıklandığına göre kötü niyetli aktörlere bunu kullanmak için alan bırakabilir; üstelik artık bunu yapay zekâ yardımıyla daha hızlı gerçekleştirebilirler.
Ancak Fasel, bu açığın kötüye kullanılmasının yapay zekâ yardımıyla bile kolay bir iş olmadığını savunuyor. Fasel, "Bu, 'Bir düğmeye bas ve sunucuyu ele geçir' tarzında tanıtılıyor" diyerek şöyle devam etti: "Bunu gerçekten hayata geçirmek için oldukça karmaşık birkaç koşulun bir araya gelmesi gerekiyor ve bunlar bu hatayı kullanmaya çalışan birinin lehine her zaman oluşmayacaktır."
