OpenAI, PHP2Shell Açıklarını Bulan Koalisyona Liderlik Etti: Beş Aşamalı Savunma Planı

OpenAI, GPT-5.6 Sol modelinin PHP’deki iki kritik güvenlik açığından birinin bulunmasına yardımcı olduğunu açıkladı. Şirket, “PHP2Shell” adıyla anılan açıkların ardından yapay zekânın bulduğu hataların artacağını söyleyerek bunlarla başa çıkmak için beş aşamalı bir çerçeve önerdi.

PHP2Shell’i Kim, Nasıl Buldu?

OpenAI, 21 Ekim’de yayımladığı blog yazısında açıklar için bakımcılardan, araştırmacılardan ve güvenlik şirketlerinden oluşan bir koalisyona iki ay boyunca liderlik ettiğini belirtti. Güvenlik şirketi Calif, açıklardan birini OpenAI’ın Patch the Planet girişimi kapsamında GPT-5.6 Sol ile tespit etti. Wiz ise her iki açığı da bağımsız olarak buldu ve bildirdi. Wiz araştırmacıları, hataları PHP’de keşfedilen en ciddi açıklar arasında gösterdi. Açıklar, etkilenen sunucularda parola gerekmeden uzaktan zararlı kod çalıştırılmasına imkân tanıyabiliyor.

Hükümetlerden Sert Uyarılar

ABD Ulusal Güvenlik Ajansı (NSA), kurumlara güncellemeleri uygulamaları, hemen yama yapamayanlara ise sistemlerini çevrimdışı bırakmaları çağrısında bulundu. FBI ile Singapur, Birleşik Krallık, Avustralya, Kanada ve Avrupa Birliği makamları da benzer uyarılar yayımladı. Amazon, saldırı girişimlerini açıklar duyurulmadan önce tespit ettiğini söyledi. Google ise Wiz birimiyle birlikte yapay zekâdan yararlandığını, Gemini’nin yamaları doğrulamaya yardım ettiğini belirtti. Cloudflare güvenlik duvarına yeni korumalar ekledi. OpenAI Başkanı Greg Brockman, açıkların 22 Ekim’de duyurulmasının planlandığını, ancak ayrıntılar erken sızınca PHP geliştiricilerinin düzeltmeleri bir gün önce yayımladığını aktardı.

OpenAI’ın Beş Aşamalı Planı

Önerilen çerçevede önce açık doğrulanıyor ve kaynağında düzeltiliyor. Ardından etkilenen kuruluşlara hazırlanmaları için süre tanınıyor ve devlet kurumları sürece katılıyor. Sonraki adımda aşağı akıştaki ürünler için güncellemeler hazırlanıyor, yama çıktıktan sonra da rehber yayımlanıyor. Planda erken bildirimi kimin alacağına bakım sorumluları karar veriyor. OpenAI ayrıca kaynakları kısıtlı, temel hizmetleri koruyan kuruluşlar için güvenlik aracı Daybreak’e 1 milyar dolarlık sübvanseli erişim taahhüdünde bulundu. Şirket, PHP’nin son vaka olmayacağını ve benzer bulguların önümüzdeki aylarda keskin biçimde artmasını beklediğini vurguladı.