PHP geliştirme ekibi, önem derecesi 10 üzerinden 9,2 olan iki kritik güvenlik açığı için güncelleme yayımladı. Açıklar kimlik doğrulaması olmadan uzaktan zararlı kod çalıştırma ve sunucu kontrolünü ele geçirme riski taşıyor; Apache'deki mod_php yapılandırmasında risk daha yüksek.
İnternet sitelerinin geliştirilmesinde yaygın olarak kullanılan PHP programlama dilinde, sunucuların kontrolünün ele geçirilmesine neden olabilecek iki kritik güvenlik açığını gidermek üzere güncelleme yayımlandığı duyuruldu.
PHP geliştirme ekibinden yapılan açıklamada, önem derecesi 10 üzerinden 9,2 olarak değerlendirilen iki güvenlik açığının tespit edildiği belirtildi.
Açıklamada, söz konusu açıkların saldırganların kimlik doğrulaması yapmadan uzaktan zararlı kod çalıştırmasına ve sunucuların kontrolünü ele geçirmesine imkan tanıyabileceği uyarısında bulunuldu.
Güvenlik açıklarının PHP üzerinden sistemleri etkilediği, özellikle Apache sunucularında kullanılan "mod_php" yapılandırmasında riskin daha yüksek olduğu kaydedildi.
Açıkların PHP'nin "8.5.12", "8.4.27", "8.3.36" ve "8.2.35" sürümlerinde giderildiği belirtilen açıklamada, tüm kullanıcılara sistemlerini derhal güncellemeleri çağrısı yapıldı.
PHP 8.1 ve daha eski sürümlerin artık resmi güncelleme desteği almadığı hatırlatılarak, bu sürümleri kullananların desteklenen sürümlere geçmeleri veya yazılım sağlayıcılarından güvenlik yamaları temin etmeleri önerildi.
Güvenlik açıklarının giderilmesindeki gecikme
PHP geliştirme ekibinden yapılan bir başka açıklamada, güvenlik açıklarından birine ilişkin ilk bulguların 2024'te tespit edildiği ancak o dönemde bu açığın ciddiyetinin somut olarak ortaya konulamadığı aktarıldı.
Açığın giderilmesine yönelik çalışmaların, teknik anlaşmazlıklar ve uzman eksikliği nedeniyle defalarca duraksadığı aktarılan açıklamada, "Aksini iddia etmeyeceğiz. Gecikme, hem güvenlik ekibinin karar alma sürecinden hem de kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlıktı." ifadesi kullanıldı.
Açıklamada, OpenAI şirketinin "Patch the Planet" programı kapsamında yürütülen güvenlik incelemelerinde, ağustos ve eylül aylarında söz konusu güvenlik açığının nasıl kötü niyetle kullanılabileceğine ilişkin yeni bulgular elde edildiği kaydedildi.
Bu bulgular üzerine açıkların giderilmesine öncelik verildiği belirtilen açıklamada, güvenlik açıklarına ilişkin bilgilerin sosyal medyada yayılmasının ardından güncelleme takviminin öne çekildiği aktarıldı.
Güvenlik açıklarının tespitinde yapay zekadan yararlanıldı
PHP'deki güvenlik açıklarını tespit eden siber güvenlik şirketlerinden biri olan Wiz Research, açıkların tespitinde yapay zeka modellerinden yararlanıldığını açıkladı.
Şirketten yapılan açıklamada, PHP'nin kaynak kodunda bulunan açıkların, karmaşık yapıları nedeniyle daha önce tespit edilmesinin zor olduğu belirtildi.
Açıklamada, araştırmalarda Gemini 4 Argon ve GPT-5.6 Sol modellerinin kullanıldığını, özellikle Gemini 4 Argon'un açıkların tespiti ve güvenlik yamalarının doğrulanmasında önemli rol oynadığı bildirildi.