Web sitelerinin yaklaşık %70'inin arkasında çalışan PHP programlama dilinde, uzaktan kod yürütülmesine olanak tanıdığı öne sürülen iki ciddi zafiyet gün yüzüne çıktı. Geliştirici ekip 20 Ekim günü yaptığı açıklamada, sorunu gideren acil güncellemelerin dün yayınlandığını duyurdu.

Açıkların resmi ciddiyet puanı CVSS v4.0 ölçeğinde 9,2 olarak hesaplandı. Buna karşılık siber güvenlik şirketi watchTowr tehlikeyi 10 üzerinden 10 tam puanla tanımladı. Etkilenen sürüm aralıkları ve teknik ayrıntılar henüz paylaşılmış değil; yine de milyonlarca sistem yöneticisi alarm durumuna geçti.

Keşfi yapay zekâ üstlendi

php1

Elle yapılan kod denetimlerinde yıllarca fark edilmeyebilen mantık hataları, bu kez yapay zekâ sayesinde yakalandı. Calif araştırma ekibi, OpenAI'ın GPT-5.6 Sol modeliyle zafiyetleri ortaya çıkarırken; Google'ın sahibi olduğu Wiz firması da kendi yapay zekâ araçlarıyla bulguyu ayrıca teyit etti.

Wiz'in raporuna göre bu açıkların silaha dönüştürülmesi eskiden son derece zahmetli bir süreçti. Yapay zekâ modelleri kod inceleme ve saldırı senaryosu hazırlama işlerini büyük ölçüde hızlandırarak uzun süredir kodda yatan hataların pratik saldırı araçlarına evrilmesini kolaylaştırdı.

PHP2Shell ve etkilenen platformlar

CVE-2026-109618 ve CVE-2026-109619 kimlik numaralarıyla izlenen zafiyetlerin uzaktan kod yürütülmesine imkân verdiği belirtiliyor. Sızan materyaller içinde yer alan "PHP2Shell" isimli istismar aracına ait görüntüde, PHP tabanlı önde gelen platformlarda kod çalıştırılabildiği iddia ediliyor. Söz konusu yazılımlar şunlar: WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Symfony 8.1.9, Drupal 11.4.10 ve WHMCS 9.0.9.

watchTowr, zafiyetlerin gerçek olduğunu doğruladığını ve en az birini laboratuvar ortamında yeniden oluşturmayı başardığını bildirdi. Sansec firması ise yamaların çıkışının ardından ilk büyük saldırı dalgasının 15 dakika gibi kısa bir sürede başlayabileceğini öngörerek hızlı hareket edilmesi uyarısında bulundu.

PHP neden bu kadar kritik?

p2

PHP, gezinilen internet sitelerinin önemli bir bölümünün sunucu tarafındaki işlemlerini üstlenen bir programlama dilidir. Sitelerdeki yoğun veri trafiğini ve hesaplama yükünü yönetir; karmaşık süreçleri kullanıcının cihazında değil, uzak sunucuda yürütür.

Dilin internetin %70'inde kullanıldığı tahmin ediliyor. WordPress gibi son derece yaygın sistemlerin de PHP temelli olduğu düşünülürse, keşfedilen zafiyetin potansiyel kapsamının ne kadar geniş olduğu ortada.