Yapay Zekâyla Bulunan Kritik PHP Açıkları Yamalandı: WordPress, Drupal ve Joomla da Etkileniyor
PHP’de yapay zekâ destekli araştırmalarla bulunan iki kritik güvenlik açığı 21 Ekim 2026’da yamalandı. Açıklar, dili kullanan sitelerde kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya yol açabiliyor.
PHP Foundation, aynı gün yayımladığı güvenlik sürümleriyle 8.5.12, 8.4.27, 8.3.36 ve 8.2.35’i çıkardı. CVE-2026-109618 ve CVE-2026-109619 numaralı açıkların CVSS puanı 9,2. İlki bellek sınırı aşıldığında yarım kalmış verinin geçerliymiş gibi kullanılmasından, ikincisi ölümcül bir hatanın ardından önceki isteğe ait bellek alanının kullanılmasından kaynaklanıyor.
Wiz, WordPress, Drupal ve Joomla’da kod çalıştırmayı gösterdi
Açıkları bulan ekiplerden Wiz Research, “PHP2Shell” adını verdiği çalışmasında dört ayrı hatanın bu iki CVE altında toplandığını açıkladı. Ekip, WordPress, Drupal ve Joomla’nın güncel konteyner görüntülerinde kimlik doğrulaması olmadan uzaktan kod çalıştırmayı gösterdi. Wiz’e göre son on yılda çıkan her sürümde bu hatalardan en az biri var; etkilenen sürümler 5.4’e kadar uzanıyor.
Vakfın aktardığına göre güvenlik şirketi Calif’ten Ryan A, aynı kök nedene dair bulguyu 11 Ağustos 2026’da bildirdi. OpenAI de aynı gün bağımsız olarak aynı sorunu raporladı; Wiz’in bildirimi ise 24 Ağustos’ta ulaştı.
Yapay zekâ modelleri keşfi ve sömürüyü hızlandırdı
Wiz, çalışmada Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol’dan yararlandığını belirtti. Şirkete göre modeller açıkların bulunmasında, farklı sürüm ve yapılandırmalara uyarlanan istismar kodlarının geliştirilmesinde ve yamaların doğrulanmasında rol aldı. Wiz, tek bir araştırmacının eskiden ekiplerin aylarını alacak işi bir haftada tamamladığını da söylüyor.
PHP sunucularının güncellenmesi gerekiyor
Açıklar uygulama kodundan değil dilin çekirdeğinden kaynaklandığı için kodu güvenli olan siteler de etkilenebiliyor. Çözüm, sunucudaki dil sürümünün güncellenmesinden geçiyor.
Vakıf, CVE numaralarının 20 Ekim’de sızdığını, Calif’in yanlışlıkla bir kanıt videosu yayımladığını ve Chainguard’ın düzeltilmiş görüntüleri eş güdümlü duyurudan altı saatten fazla önce çıkardığını da kayda geçirdi. Mayıs 2026’da bir Ecosystem Security Team kurduklarını, yapay zekâ destekli tarama araçları kullandıklarını ve güvenlik kararlarının oy çokluğuyla alınabilmesi için karar sürecini değiştirdiklerini belirtti.
Olay, yapay zekânın siber güvenlikteki iki yönlü etkisini somutlaştırıyor: aynı modeller onlarca yıllık kod tabanlarındaki açıkları haftalar içinde bulabiliyor, istismarın da hızlanmasının önünü açıyor. Açık kaynak projelerin bu hıza yetişebilmek için kaynak ihtiyacı duyduğu, vakfın şirketlere, barındırma sağlayıcılarına ve hükümetlere yönelik fon çağrısında da görülüyor. Gifi+’ta yazdığımız OpenAI’ın açık kaynaklı hataları bulmaya ve yamamaya yardımcı olacak girişimi de bu eğilimin parçası.
