OpenAI, Google’ın sahibi olduğu Wiz ve siber güvenlik girişimi Calif, yapay zekanın internetteki web sitelerinin yüzde 70’ine altyapı sağlayan yazılımlarda iki kritik hata keşfettiğini açıkladı. OpenAI, bir blog yazısında, “Bunu yakın geçmişteki en büyük etkiye sahip güvenlik sorunlarından biri olarak değerlendiriyoruz” diye yazdı.
PHP nedir?
Web sitesi sahipleri yaygın olarak kullanılan PHP adlı web programlama dilindeki güvenlik açıklarını gidermeye çalışıyor. HTML ve CSS gibi diller bir web sitesinde görülen şeyleri oluştururken PHP, oturum açma bilgilerinin doğru olup olmadığını kontrol etmek ve ödemeleri işlemek gibi göremediğiniz işlemleri yürütüyor. 1990’ların başında geliştirilen PHP, dünyadaki web sitelerinin tahmini olarak yüzde 70’inin çalışmasına katkıda bulunuyor. Wiz’ göre PHP, web’in omurgası.
“Personal Home Page” (Kişisel Ana Sayfa) anlamına gelen PHP popüler web tasarım platformlarının temelini oluşturuyor. Bu da bu güvenlik açıklarının bilgisayar korsanlarının çevrimiçi mağazalardan devlet hizmetlerine kadar çeşitli sitelere sızmasına yol açabileceği anlamına geliyor. Açıkların tespit edilmesinin ardından bir düzeltme yayınlandı. PHP Vakfı, dünyanın dört bir yanındaki şirketlerin ve kuruluşların teknik departmanlarına şu uyarıda bulundu: “PHP kullanıyorsanız, hemen güncelleme yapmanız zorunlu.”
ABD’de FBI’dan Birleşik Krallık’ın GCHQ istihbarat teşkilatına kadar çeşitli devlet kurumları, insanları güvenlik düzeltmelerini mümkün olan en kısa sürede uygulamaya çağırıyor. Avrupa’da bazı hükümetler, düzeltmeleri uygularken web sitelerini tamamen erişime kapattı.
Güvenlik açığı nasıl keşfedildi?
OpenAI, Calif ve Wiz’deki araştırmacılar, 10 yılı aşkın süredir PHP kodunda bulunan ancak bugüne kadar hiç istismar edilmemiş açıkları ortaya çıkarmak ve bunlara saldırmak için OpenAI’ın GPT-5.6 Sol ve Google’ın Gemini 4 Argon modellerinin bir kombinasyonunu kullandıklarını söyledi. Bir bilgisayar korsanı, bu güvenlik açıklarından yararlanarak savunmasız bir web sunucusuna kötü amaçlı yazılım yükleyebilir veya müşterilere ait hassas verileri çalabilir.
Wiz araştırmacıları blog yazılarında, “Bu bulgular, PHP’de keşfedilen en ciddi güvenlik açıkları arasında ve muhtemelen yazılım tarihindeki en ciddi açıklar arasında yer alıyor” ifadelerini kullandı. Araştırmacılar, yapay zeka tarafından oluşturulan istismar yöntemlerine php2shell adını verdi.
Araştırmacılar, “Bu açıkların istismar edilebilir olduğunu göstermek, insanların uygulamada gerçekleştirebileceği çalışmaların sınırında yer alan, olağanüstü derecede karmaşık bir adımlar zinciri gerektiriyordu. En gelişmiş yapay zeka modelleri bu engeli önemli ölçüde azalttı ve uzun süredir var olan bir kusuru istismar edilebilir bir açığa dönüştürdü” ifadelerini kullandı.
PHP’nin web sitesinden indirilebilecek bir güvenlik yaması mevcut. Cloudflare’ın web uygulaması güvenlik duvarını kullananlar da web güvenliği şirketinin yayımladığı bir güncelleme sayesinde korunuyor. Yapay zeka, özellikle PHP gibi açık kaynaklı yazılımlarda güvenlik açıklarını bulma konusunda giderek daha yetenekli hale geliyor. Siber saldırılar düzenleme konusunda da başarılı. Geçen ay Forbes bir hacker’ın Anthropic ve DeepSeek modellerini kullanarak 100’den fazla web sitesine yönelik saldırılarda 600 binden fazla kredi kartı bilgisini çaldığını yazmıştı.
OpenAI’ın kurucu ortaklarından Greg Brockman X’te yaptığı paylaşımda, “Modellerin internet genelinde etki yaratabilecek güvenlik açıklarını bulabildiği yeni bir siber güvenlik dönemine girdiğimize inanıyorum. Her yerdeki savunma ekiplerinin bu süreçte üstlenmesi gereken bir rol var: modelleri kendi savunmalarında kullanmak, ortak altyapıdaki sorunları bulup düzeltmek ve nihayetinde interneti daha güvenli hale getirebilecek en iyi uygulamaları paylaşmak” ifadelerini kullandı.
Siber Güvenlik Başkanlığı'ndan PHP uyarısı
Siber Güvenlik Başkanlığı “PHP2Shell” olarak adlandırılan ve yüksek risk taşıyan bu güvenlik açıklarına dair ulusal ölçekte güvenlik taramalarını başlattı. Kurumdan yapılan açıklamaya göre kamu kurumları başta olmak üzere Türkiye genelindeki sistemlerde güvenlik taramaları başlatılırken, ilgili kurumlara acil tedbirlerin alınması yönünde bildirimler iletiliyor.
Bu kapsamda, Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden tüm kurum ve kuruluşlar ile kritik altyapılara acil güvenlik duyurusu iletilerek alınması gereken teknik ve idari tedbirler paylaşıldı. Kamu kurumları ve özel sektör kuruluşları başta olmak üzere tüm sistem yöneticilerine, internete açık bilişim altyapılarını gözden geçirmeleri ve yayımlanan güvenlik güncellemelerini ivedilikle uygulamaları çağrısında bulunuldu.
Bu süreçte sistemlerin güncel tutulması, yetkisiz erişim risklerinin azaltılması, ihtiyaç duyulmayan dış erişimlerin sınırlandırılması ve gerekli görülen servislerde ilave koruma tedbirlerinin uygulanmasının önemine işaret edildi. Başkanlığın, Türkiye'nin dijital altyapılarının güvenliği ve kritik hizmetlerin sürekliliğinin korunması amacıyla gelişmeleri yakından takip ettiği, ulusal siber güvenlik kapasitesi ve ilgili kurumlarla koordinasyon içerisinde önleyici çalışmalarını sürdürdüğü belirtildi. Kurum ve kuruluşlara, başkanlığın internet sitesinde paylaşılan resmi güvenlik duyurusundaki tedbirleri gecikmeksizin hayata geçirmeleri tavsiye edildi.