Yapay Zekâ Destekli Araştırma, Uzun Süredir Var Olan PHP Açıklarını Buldu

OpenAI ve güvenlik şirketi Wiz'den araştırmacıların yapay zekâ araçlarının yardımıyla açıkları bulmasının ardından PHP'deki iki kritik güvenlik açığı kamuoyuna duyuruldu. PHP Foundation yamaları yayımladı. ABD Ulusal Güvenlik Ajansı, yamaları hemen yükleyemeyen web sitelerinin yükleyene kadar çevrimdışı bırakılması gerektiği uyarısında bulundu.

Açıklar, saldırganların bir sunucunun dosya sistemine veya web uygulamasının kullandığı bir veritabanına erişmesine olanak tanıyabiliyor. Bu açıklar, 2004'te yayımlanan sürüm 5'ten bu yana tüm PHP sürümlerinde bulunuyordu. PHP, web sitelerinin yaklaşık %70'ine güç veriyor; bazı tahminlere göre 33 milyondan fazla sitede kullanılıyor. WordPress de PHP kullanıyor, ancak açıkların kendi yazılımına özgü olmadığını belirtti. Etkilenen sitelerin sunucularına yama uygulaması gerekiyor.

PHP 8.1 ve daha eski sürümler artık desteklenmiyor. Kaynak, PHP 8.5.12 sürümüne güncellemeyi öneriyor. OpenAI, araştırmacıların açıkları bilgisayar korsanlarından önce bulduğunu ve bunların kullanıldığı gerçek saldırı bildirilmediğini söyledi.

OpenAI'ye göre Calif, “Patch the Planet” girişimi kapsamında GPT-5.6 Sol kullanarak açıklardan birini buldu. Wiz ise ekibinin birden fazla güvenlik açığını bulmak için Wiz Atlas güvenlik yapay zekâ ajanını, Gemini 4 Argon'u ve GPT-5.6 Sol'u kullandığını belirtti. Şirketler, açıklamaları duyurmadan önce yamalar üzerinde PHP ile çalıştı. Wiz; Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ve Vercel'e yardımları için teşekkür etti.

Wiz, yapay zekânın bir istismarı farklı PHP sürümlerine, yapılandırmalara ve bellek düzenlerine uyarlamaya yardımcı olarak açıkların kullanılmasını kolaylaştırabileceği uyarısında bulundu. Açıklamayla birlikte güvenlik açıkları kamuoyuna duyuruldu; çok sayıda sitenin yamaları hâlâ uygulaması gerekebilir.