PHP açığı: Avrupa’da siteler neden kapandı, sizi nasıl etkiliyor?

Yapay zekâ, internetin büyük kısmını sessizce çalıştıran programlama dili PHP’de iki kritik güvenlik açığını ortaya çıkardı. Dünyanın dört bir yanındaki kurumlar, bilgisayar korsanları bu açıkları kullanmaya başlamadan önce sitelerini kapatmak için seferber oldu.

REKLAM

REKLAM

Söz konusu hatalar, PHP'nin kodlarında on yılı aşkın bir süre fark edilmeden kaldı. Uzun süredir var olduğundan şüphelenilen bir zayıflığı gerçek bir saldırıya dönüştürmek için OpenAI ve Google'ın en gelişmiş yapay zekâ modelleri gerekti ve şimdi bu kapıyı kapatmak için zamanla yarışılıyor.

Yapay zekânın hızla gelişen yetenekleri yeni bir siber saldırı dönemi endişesini artırırken, bilmeniz gerekenler şöyle.

Avrupa harekete geçti

Hollanda, DigiD dijital kimlik sistemi, Overheid.nl devlet portalı ve parlamentonun alt kanadının internet sitesini devre dışı bıraktı; ardından Rotterdam Limanı, hastaneler ve ülkenin en büyük beş siyasi partisi aynı yolu izledi.

Hollanda Ulusal Siber Güvenlik Merkezi bile kendi sitesini kapattı.

Finlandiya'nın kamu bilişim sağlayıcısı Valtori, "önleyici bir tedbir" olarak devletin tüm web hizmetlerini topluca kapattı; Fransa İçişleri Bakanlığı yerel yönetim sitelerini bakım moduna aldı, Almanya'nın federal bilişim hizmeti ITZBund ise çok sayıda portalı devre dışı bıraktı.

AB kurumlarının siber güvenlik servisi CERT-EU, çoğu ülkenin ötesine geçerek, derhal yamalama imkânı olmayan tüm kurumlara, saldırıya uğrama riskini almaktansa sitelerini çevrimdışı hale getirmeleri çağrısında bulundu.

Avrupa Komisyonu, ENISA, CERT-EU, Europol ve AB'nin ulusal siber müdahale ekiplerinden oluşan ağı da ortak bir açıklama yayımlayarak kurumları derhal harekete geçmeye, özellikle internete açık sistemleri önceliklendirmeye çağırdı.

PHP nedir, neden önemli?

1990'ların başında geliştirilen PHP, ilk olarak Personal Home Page (Kişisel Ana Sayfa) anlamına gelen bir kısaltmaydı ve güvenlik şirketi Wiz Research'e göre bugün internet sitelerinin yaklaşık 10'da 7'sini perde arkasında çalıştıran kod; şirket PHP'yi "webin omurgası" olarak tanımlıyor.

HTML gibi diller sayfada gördüklerinizi yönetirken, PHP arka planda kalan işleri yapar: oturum açmaların doğrulanması, ödemelerin işlenmesi, içerik sunulması gibi.

PHP, kişisel bloglardan çevrimiçi mağazalara ve devlet portallarına uzanan WordPress, Drupal ve Joomla gibi platformların temelini oluşturuyor.

İşte bu yaygınlık, iki hatayı küresel bir olaya dönüştürüyor. Wiz'e göre son on yılda yayımlanan tüm PHP sürümleri, en az bir güvenlik açığından etkileniyor ve yamalanmamış bir sunucudaki, sadece "Hello World" yazan en basit sayfa bile savunmasız durumda olabilir.

Çarşamba günü bir yama yayımlandı; PHP Vakfı, dünyadaki tüm bilişim birimlerine "PHP çalıştırıyorsanız, derhal güncellemeniz hayati önem taşıyor" mesajını gönderdi.

Güvenlik güncellemesi içeren sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Daha eski sürümler artık resmi olarak güncelleme almıyor ve bir sağlayıcı düzeltmeyi geriye dönük olarak uygulamadıkça savunmasız kabul edilmeli; Avrupa Birliği'nin siber güvenlik acil müdahale ekibi CERT-EU, yayımladığı uyarıda böyle diyor.

Sonuç, geliştiriciler altyapı kodunu yamalarken Paris Emniyet Müdürlüğünün sitesinden bir Pokémon uyku takipçisine kadar birçok uygulama ve internet sitesinin kararması oldu. Avrupa genelindeki kamu siteleri de önlem amacıyla çevrimdışı alınanlar arasında yer aldı.

Yapay zekâ bu açıkları nasıl buldu?

Biri CVE-2026-109618, diğeri CVE-2026-109619 koduyla takip edilen ve 10 üzerinden 9,2 şiddet puanı verilen her iki zafiyet de neredeyse her isteğin dokunduğu PHP bileşenlerinde, yani bellek yönetimi ve hata işleme bölümlerinde yer alıyor.

Bir web isteği, tam da kritik bir anda PHP'nin bellek sınırına çarptığında, yazılım herhangi bir oturum açma gerektirmeden saldırganın kodunu çalıştıracak şekilde kandırılabiliyor.

PHP Vakfı, soruna dair ilk işaretleri kendi geliştiricilerinin 2024'te, harici bir denetim sırasında fark ettiğini kabul ediyor.

Kuramsal bir istismar yöntemi taslak halinde ortaya kondu, ancak somut bir saldırı yolunun olmayışı ve çekirdek ekibin çok küçük olması nedeniyle, olası bir düzeltmenin yaratacağı yan etkiler tartılmaya başlandı; çalışmalar aylar boyunca durup durup yeniden başladı. Vakıf bu gecikmeyi "yapısal bir başarısızlık" olarak nitelendirdi.

Sonrasında devreye yapay zekâ girdi. Ağustos ayında Calif adlı güvenlik şirketi, OpenAI'nin finanse ettiği bir PHP kaynak kodu denetimi kapsamında ve OpenAI'nin GPT-5.6 Sol modelini kullanarak, aynı kök nedene dayanan tam işleyen uzaktan saldırı senaryosunu raporladı.

OpenAI, aynı gün aynı sorunu bağımsız olarak tespit etti. Wiz ise iki hafta sonra, kendi Wiz Atlas aracıyla birlikte Google'ın Gemini 4 Argon ve GPT-5.6 Sol modellerini kullanarak ek saldırı vektörleri ortaya koydu.

Wiz araştırmacıları, "Öncü yapay zekâ modelleri ve doğru araçlarla, tek bir araştırmacı bir haftada, geçmişte dünya çapında bir uzman ekibin aylar süren çalışmayla yapabileceğini başardı" değerlendirmesinde bulundu.

OpenAI, söz konusu keşfi "yakın geçmişte görülen en etkili güvenlik açıklarından biri" diye niteledi ve bunun "yapay zekânın internet ölçeğinde etki yaratabilecek güvenlik hatalarını bulabildiği yeni bir dönemin başlangıcı" olduğunu ekledi.

Bulunan açıklar, bir yama geliştirilene kadar gizli tutuldu.

Ancak salı öğleden sonra, iki CVE tanımlayıcısı çevrimiçi forumlara ve sosyal medyaya sızdı.

PHP ekibi, sürümü bir gün erkene çekti; PHP Vakfı'nın aktardığına göre Calif, hatalı biçimde, birden çok hedefe karşı çalışan kavram kanıtı saldırılarını gösteren bir videoyu yayımlayıp kısa süre sonra sildi. Videonun kopyaları hızla yayıldı.

James Cook Üniversitesi'nin Singapur kampüsünde siber güvenlik alanında kıdemli öğretim görevlisi olan Steve Kerrison, AFP'ye yaptığı açıklamada, "Yapay zekâ gibi araçlarla ilgili sorun şu: Tüm bilgiler ortalığa saçıldığı anda insanlar bunları çok, çok hızlı bir şekilde silah haline getirebiliyor" dedi.

Kerrison, "Bu yüzden herkes bu soruna böylesine acil bir şekilde karşılık vermeye çalışıyor" diye konuştu.

Siteler şimdiden saldırıya uğradı mı?

Henüz değil. Avustralya'daki Swinburne Teknoloji Üniversitesi'nden Dimitrios Salampasis, "Sitelerin çevrimdışı alınması, mutlaka saldırıya uğradıkları anlamına gelmez. Bu, güvenlik güncellemeleri uygulanırken sistemleri korumaya yönelik sorumlu bir önlem olabilir" dedi.

PHP Vakfı, sızıntının ardından dolaşıma giren kavram kanıtı kodu güvenlik ekibinin incelediğini ve yayımlama sırasında işlevsel bir istismar yönteminin bulunamadığını açıkladı.

Kerrison, "Güvenlik araştırmacılarının şu ana dek gördüğü kanıtlar, kimsenin mevcut teknikleri kullanarak aktif saldırı gerçekleştirmediğine işaret ediyor" diye ekledi.

Tablo ise hızla değişiyor. Web altyapı şirketi Cloudflare, çarşamba günü müşterilerine yönelik saldırı trafiği tespit ettiğini bildirdi; CERT-EU ise teknik ayrıntıların kamuya açık hâle gelmesinin, saldırganların açıkları şimdiden yokluyor olma ihtimalini artırdığı uyarısında bulundu.

Kamu kurumlarından medya kuruluşlarına kadar büyük kurumların, sistemlerini nispeten hızlı biçimde yamalayabilmesi bekleniyor. Bunun dışında kalanlar ise çok daha uzun süre savunmasız kalabilir.

Kerrison, "Bu konuda hiçbir fikri olmayan ve günler, haftalar, hatta aylar boyunca da olmayacak siteler, sistemler ve insanlar var" uyarısını yaptı.

Buna, kullanıcıların yönettiği bloglar ve küçük işletme siteleri de dahil; saldırganlar bu siteleri ele geçirerek bilgisayar virüsleri yayabilir, spam gönderebilir veya zararlı içerik barındırabilir.

Başka sonuçlar da olabilir mi?

Olası bir veri ihlali, yamalar çoktan uygulanmış olsa bile müşterileri uzun süre rahatsız edebilir; kişisel bilgiler, bir kişinin parolasını veya ödeme bilgilerini vermesi için kandırıldığı oltalama saldırılarında kullanılabilir.

Çevrimiçi sistemlerin karmaşık ve birbirine sıkı sıkıya bağlı yapısı, riskin kendi sunucunuzu güncelledikten sonra da bitmediği anlamına geliyor. Birçok site, kendileri de PHP çalıştıran üçüncü taraf hizmetlere bağımlı.

Sydney'deki New South Wales Üniversitesi'nde siber güvenlik alanında kıdemli öğretim görevlisi olan Rahat Masood, bu hizmetlerin yamaları geciktirmesi hâlinde "siz kendi sisteminizi yamalamış olsanız bile hâlâ güvende değilsiniz" uyarısını yapıyor.

Kerrison, PHP'nin hikâyenin tamamı olmadığına da dikkat çekiyor. Güçlü siber güvenlik, tek bir kilidin bozulmasının tüm kapıları açmamasını sağlayan, birbiri üzerine inşa edilmiş birden fazla savunma katmanı gerektiriyor.

PHP Vakfı ise bu olayı önemli bir çağrı için fırsat olarak kullanıyor. Dil, dünya genelinde kamu hizmetleri, bankalar ve çevrimiçi mağazaları çalıştırıyor; buna karşın güvenliği, vakıf tarafından finanse edilen sınırlı sayıda geliştirici ile gönüllülerden oluşan küçük bir grubun omuzlarında.

Vakıf, araçların artık hataları her zamankinden hızlı bulabildiğini, ancak bunları tüm ağı bozmadan nasıl düzelteceğine karar vermenin deneyimli mühendisler gerektirdiğini vurguluyor.