FBI’dan PHP2Shell Uyarısı: Yapay Zekâyla Bulunan Açıklar İçin Acil Yama Çağrısı

Dünya genelinde web sitelerinin büyük bölümüne güç veren PHP’deki iki kritik güvenlik açığı, siber güvenlik dünyasında “Kara Ekim” olarak anılan bir yama yarışına dönüştü. FBI, cuma günü yayımladığı kamu duyurusunda güvenlik güncellemelerinin hazır olduğunu ve vakit kaybetmeden uygulanması gerektiğini bildirdi.

Saldırganlara giriş yapmadan kod çalıştırma imkânı

CVE-2026-109618 ve CVE-2026-109619 olarak izlenen açıklar, birlikte PHP2Shell adıyla biliniyor. Saldırganlar bu zafiyetler sayesinde bir sunucuda kullanıcı girişi gerekmeden kendi kodlarını çalıştırabiliyor. Bu tür açıklara “uzaktan kod yürütme” deniyor ve en tehlikeli güvenlik zafiyetleri arasında sayılıyor. PHP ekibi düzeltmeleri 21 Ekim’de 8.2’den 8.5’e kadar olan sürümler için yayımladı. NSA da açıkların çoğu zaman sunucunun dosya sistemine ve veritabanına doğrudan erişim yolu açtığını belirtti.

Kurumlardan yama ya da çevrimdışı kalma uyarısı

NSA, FBI ve CISA çarşamba günü kurumlara ortak bir çağrı yaparak yamaların hemen uygulanmasını istedi. Yama yapılamıyorsa sistemlerin çevrimdışı bırakılması gerektiği vurgulandı. Uyarıların ardından İngiltere, Finlandiya ve Japonya’daki bazı devlet sitelerinde kesintiler yaşandı ya da hizmetler kısıtlandı. New York’taki Broome İlçesi ise web sitesini ihtiyaten kapattı. Site sahipleri için en güvenli yol, güncel PHP sürümüne geçmek ve açık bırakılan sistemleri izole etmek.

Açıklar yapay zekâyla nasıl bulundu?

Haberlere göre Google’a ait güvenlik şirketi Wiz’in araştırmacısı, ağustosta bir yapay zekâ ajanından bir istismar kodunu başka bir platforma uyarlamasını istedi. Ajan görevi tamamlayamadı ama on yıldan uzun süredir fark edilmeyen bir PHP açığını ortaya çıkardı. Açıkların ayrıntıları planlanan yama tarihinden önce sızınca PHP bakımcıları düzeltmeyi bir gün erken yayımladı. Cloudflare, duyurudan sonraki 45 dakika içinde on binlerce istismar girişimi saptadığını, sayının sonradan milyonlara çıktığını bildirdi.