Yaygın olarak kullanılan PHP programlama dilinin geliştiricileri, uzaktan kod yürütülmesine olanak sağlayabilecek iki kritik güvenlik açığının bulunmasının ardından, kullanıcıları Çarşamba günü güvenlik güncellemelerini derhal yüklemeye çağırdı. Bu durum, dünya çapındaki web sitelerinin ve sunucuların güvenliği konusunda endişeleri artırdı.
Geliştiriciler programın yamalı sürümlerini yayınladılar ve saldırganların kimlik doğrulaması olmadan güvenlik açıklarından faydalanabileceği konusunda uyardılar.
PHP ekibi yayınladığı güvenlik uyarısında, web isteklerini işleyen tüm kurulumların potansiyel olarak risk altında olduğunu belirtti.
Geliştiriciler, söz konusu güvenlik açıklarını CVE-2026-109618 ve CVE-2026-109619 olarak tanımladı. Bu kusurlar, bellek yönetimi hataları ve istekler arasında kalıcı olabilen, güncel olmayan dahili durum içeriyor ve saldırganların etkilenen sunucularda kötü amaçlı kod çalıştırmasına olanak tanıyor.
ABD Ulusal Güvenlik Ajansı (NSA), PHP kullanan kuruluşlardan acil bir güncelleme için hazırlık yapmalarını istedi ve bu güvenlik açıklarının saldırganlara sunucu dosya sistemlerine veya veritabanlarına doğrudan erişim sağlayabileceği konusunda uyardı.
"Bu güvenlik açıkları genellikle sunucunun dosya sistemine veya veritabanına doğrudan erişim yolu sağlıyor. Acil bir güncelleme mümkün değilse, kuruluşların sistem tamamen giderilene kadar çevrimdışı kalması önerilir," diyen kurum, daha ayrıntılı bir kılavuzun daha sonra yayınlanacağını da ekledi.
FBI Siber Bölümü, kuruluşları etkilenen PHP kurulumlarını ve PHP çalıştıran sistemlerin envanterini derhal güncellemeleri konusunda uyardı ve özellikle internete açık sunuculara ve bu programlama dilini içeren üçüncü taraf ürünlere öncelik verilmesini istedi.
Büro ayrıca, olası istismarları tespit etmeye yardımcı olmak için, PHP işlemlerinin beklenmedik şekilde komut kabuklarını başlatması veya dosya indirmesi gibi şüpheli faaliyetler açısından web sunucularının izlenmesi çağrısında bulundu.
OpenAI yaptığı açıklamada, modellerinin, yazılım geliştiricilerini, araştırmacıları ve güvenlik sağlayıcılarını bir araya getirerek kamuoyuna açıklanmadan önce düzeltmeler geliştirmeyi amaçlayan Patch the Planet girişimi aracılığıyla araştırmacıların kusurları keşfetmelerine yardımcı olduğunu belirtti.
Şirket, hazırlık sürecinin iki ay sürdüğünü, çünkü güvenlik açıklarının giderilmesi için PHP motorunda karmaşık bir değişiklik yapılması gerektiğini belirtti.
PHP, internetin önemli bir bölümünde kullanılıyor; OpenAI'nin tahminlerine göre web sitelerinin yaklaşık %70'ine güç veriyor. Bu ölçek, yamalanmamış sistemlerin saldırganlar için önemli fırsatlar yaratabileceği anlamına geliyor.
