PHP, açık kaynaklı bir programlama dili olarak web sitelerinin arka planında çalışır. İçerik yönetim sistemlerinden WordPress, Joomla, Drupal ve MediaWiki ile e-ticaret siteleri bu teknolojiye dayanır. Wiz araştırmasına göre dünyadaki internet sitelerinin yaklaşık yüzde 70'i PHP kullanıyor.
PHP'nin küresel ölçekte önemli olması, bu açıkların çok geniş bir sistem tabanını etkileyebilmesinden kaynaklanıyor. CVE-2026-109618 ve CVE-2026-109619 kodlu kusurlar bellek yönetimi ve işlem sonlandırma hatalarıyla ilişkili. Hataların bir bölümü on yılı aşkın süredir yazılımın içinde bulunuyor.
Araştırmacılar Calif ve Wiz, PHP kaynak kodunu incelemek için OpenAI'ın GPT-5.6 Sol ile Google'ın Gemini 4 Argon modellerini kullandı. Yapay zekânın çok sayıda koşul altındaki davranışları incelemesi normal testlerde fark edilmeyen hata zincirlerini ortaya çıkarmayı kolaylaştırdı. Wiz'e göre analizler uzman ekiplerinin aylarca sürebileceği sürede tamamlandı.
Güvenlik açıkları belirli saldırı yöntemleriyle birleştiğinde kullanıcı adı veya şifre olmadan sunucuda kötü amaçlı kod çalıştırılmasına yol açabiliyor. Bu durum uzaktan kod çalıştırma olarak tanımlanıyor. Başarılı bir saldırı hassas bilgilerin ele geçirilmesine, veri tabanlarına erişilmesine veya site içeriğinin değiştirilmesine yol açabilir.
Bazı hükümetler ve kuruluşlar, güvenlik güncellemeleri tamamlanana kadar siteleri geçici olarak erişime kapattı. Bu önlem saldırı gerçekleştiğini kanıtlamak değil riski sınırlamak amacı taşıyor. PHP kullanan her sitenin saldırıya uğradığı ya da aynı ölçüde savunmasız olduğu söylenemez.
PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleri 21 Ekim'de yayımlanan düzeltmeleri içeriyor. Site sahiplerinin yalnız içerik yönetim sistemini değil sunucudaki PHP yazılımını da güncellemesi gerekiyor. UNSW Sydney'den Salil Kanhere, temel sorunların yeni olmadığını, yapay zekânın hataları bulma kapasitesinin değiştiğini vurguladı.
Kaynak: Karar
