PHP'den sunucuları tehdit eden iki kritik güvenlik açığı için güncelleme

PHP'nin bazı sürümlerinde tespit edilen iki kritik güvenlik açığının, saldırganların kimlik doğrulaması yapmadan uzaktan kod çalıştırmasına ve sunucuların kontrolünü ele geçirmesine yol açabileceği belirtildi. Açıkların giderilmesi için yeni sürümler yayımlanırken, PHP geliştirme ekibi güvenlik açığının kapatılmasındaki gecikmenin yapısal sorunlardan kaynaklandığını kabul etti.

İnternet sitelerinin geliştirilmesinde yaygın olarak kullanılan PHP programlama dilinde, sunucuları riske atabilecek iki kritik güvenlik açığı tespit edildi. Güvenlik açıklarının önem derecesi 10 üzerinden 9,2 olarak değerlendirilirken, kullanıcıların sistemlerini vakit kaybetmeden güncellemeleri istendi.

AA'nın PHP geliştirme ekibinin açıklamasına dayandırarak verdiği bilgiye göre, söz konusu açıklar saldırganların herhangi bir kimlik doğrulaması yapmadan uzaktan zararlı kod çalıştırmasına olanak tanıyabiliyor. Bu durum, etkilenen sunucuların kontrolünün ele geçirilmesine kadar varabilecek ciddi riskler yaratıyor.

Açıkların özellikle Apache sunucularında kullanılan “mod_php” yapılandırmasında daha yüksek risk oluşturduğu belirtildi.

Güvenlik sorunlarının PHP’nin 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderildiği bildirildi. PHP 8.1 ve daha eski sürümlerin ise artık resmî güvenlik güncellemesi desteği almadığı hatırlatıldı. Bu sürümleri kullananların desteklenen sürümlere geçmesi veya yazılım sağlayıcılarından güvenlik yamaları temin etmesi gerektiği vurgulandı.

Güvenlik açığının kapatılması gecikti

PHP geliştirme ekibinin bir başka açıklamasında, güvenlik açıklarından birine ilişkin ilk bulguların 2024 yılında tespit edildiği, ancak o dönemde açığın ciddiyetinin somut biçimde ortaya konulamadığı belirtildi.

Açığın giderilmesine yönelik çalışmaların teknik anlaşmazlıklar ve uzman eksikliği nedeniyle defalarca kesintiye uğradığı aktarıldı. Ekip, gecikmenin sorumluluğunu kabul ederek bunun hem güvenlik ekibinin karar alma süreçlerinden hem de kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlık olduğunu ifade etti.

Açıklamada, OpenAI’ın “Patch the Planet” programı kapsamında yürütülen güvenlik incelemelerinde ağustos ve eylül aylarında yeni bulgulara ulaşıldığı kaydedildi. Bu çalışmalar sırasında güvenlik açığının kötüye nasıl kullanılabileceğine ilişkin yeni yöntemlerin ortaya konulduğu belirtildi.

Yeni bulguların ardından açıkların giderilmesine öncelik verildiği, güvenlik açıklarına ilişkin bilgilerin sosyal medyada yayılması üzerine güncelleme takviminin öne çekildiği aktarıldı.

Açıkların tespitinde yapay zeka kullanıldı

Siber güvenlik şirketi Wiz Research, PHP kaynak kodundaki güvenlik açıklarının tespit edilmesinde yapay zekâ modellerinden yararlanıldığını duyurdu.

Şirketin açıklamasında, kaynak kodunun karmaşık yapısı nedeniyle söz konusu açıkların daha önce tespit edilmesinin zor olduğu belirtildi. Araştırmalarda Gemini 4 Argon ve GPT-5.6 Sol modellerinin kullanıldığı, özellikle Gemini 4 Argon’un açıkların tespiti ve hazırlanan güvenlik yamalarının doğrulanmasında önemli rol oynadığı bildirildi.

  (Medya Servisi)