Yapay zekâ destekli araştırmalar PHP’de iki kritik güvenlik açığını ortaya çıkardı

PHP altyapısında ortaya çıkarılan iki kritik güvenlik açığı, internet siteleri açısından risk oluşturuyor. PHP2Shell olarak adlandırılan ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla izlenen açıklar, belirli koşullar altında kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına ve hassas verilerin erişime açılmasına yol açabiliyor. PHP ekibi, güvenlik güncellemelerini 21 Ekim 2026’da yayımladı.

Açıkların tespitinde yapay zekâ kullanıldı

Calif Research ve Wiz Research ekipleri, PHP’nin kod yapısını bağımsız biçimde inceledikleri çalışmalar sırasında açıkları tespit etti. Ekipler, elde ettikleri bulguları PHP ekibiyle paylaştı.

OpenAI’ın yayımladığı bilgilere göre Calif Research, çalışmalarında GPT-5.6 Sol modelinden yararlandı. Wiz Research ise Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol araçlarını kullandı. Wiz’in açıklamasında, Gemini 4 Argon’un açığın belirlenmesi ve hazırlanan güvenlik düzeltmesinin doğrulanması süreçlerine katkı sunduğu belirtildi.

Calif Research, açığı 1 Ağustos 2026’da tespit ettikten sonra 11 Ağustos’ta bildirdi. Wiz Research ise ilk bulgusuna 19 Ağustos’ta ulaştı ve durumu 24 Ağustos’ta PHP ekibine iletti.

WordPress siteleri de risk altında olabilir

PHP; başta WordPress olmak üzere çok sayıda internet sitesi ve web uygulamasında kullanılıyor. Bu nedenle etkilenen PHP sürümlerini çalıştıran sunucular, üzerlerinde hangi uygulamanın bulunduğundan bağımsız olarak risk altında olabiliyor.

Açıkların istismar edilmesi, sunucudaki yetki seviyesine bağlı olarak kod çalıştırılmasına ve hassas verilere erişilmesine neden olabiliyor. NHS England Digital, açıkların başarıyla istismar edildiğinin WordPress, Drupal ve Joomla gibi PHP tabanlı ürünlerde gösterildiğini bildirdi. Ancak bu bulgu, tüm sitelerin saldırıya uğradığı anlamına gelmiyor.

Güvenlik güncellemeleri yayımlandı

PHP ekibi, güvenlik açıklarını kapatmak amacıyla PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. PHP 8.1 ve daha eski sürümleri kullanan sistemlerde sağlayıcının güvenlik yaması sunup sunmadığı kontrol edilmeli. Uygun bir düzeltme bulunmuyorsa desteklenen bir sürüme geçiş yapılmalı.

Güncelleme sürecinde yalnızca komut satırında görüntülenen PHP sürümünün kontrol edilmesi yeterli değil. Web sunucusunun kullandığı PHP çalışma ortamı da incelenmeli. Aynı sunucuda bulunan farklı siteler, farklı PHP sürümleriyle çalışabiliyor.

Güvenlik yamasının yüklenmesi mevcut riski azaltıyor; ancak daha önce gerçekleşmiş olabilecek saldırıları veya sisteme bırakılmış zararlı dosyaları ortadan kaldırmıyor. Bu nedenle güncellemenin ardından sunucu kayıtları, şüpheli dosyalar ve yetkisiz hesaplar incelenmeli. WordPress çekirdeği, temalar ve eklentilerin yanı sıra sunucuda bulunan diğer yazılımların da güncel tutulması gerekiyor.