Yapay zeka PHP'de kritik güvenlik açığı buldu, Avrupa'da siteler durduAI discovers critical security flaw in PHP, halting websites across Europe

ÖzetSummary

OpenAI ve Google'dan bağımsız olarak iki yapay zeka modeli, PHP'de 'PHP2Shell' olarak adlandırılan, CVSS 9.2 puanına sahip iki kritik komut çalıştırma güvenlik açığını keşfetti. Bu durum, yama yayımlanana kadar önlem amaçlı olarak Avrupa'daki hükümetlerin, hastanelerin ve üniversitelerin web sitelerini çevrimdışı bırakmasına yol açtı.Two AI models, independently of OpenAI and Google, discovered two critical command execution vulnerabilities in PHP, known as 'PHP2Shell,' with a CVSS score of 9.2. This led European governments, hospitals, and universities to take their websites offline as a precautionary measure until a patch was released.

Neden ÖnemliWhy it matters

PHP, sunucu tarafı web trafiğinin yaklaşık %70'ini destekliyor ve WordPress, Drupal ile Joomla gibi platformların altyapısını oluşturuyor. Bu nedenle bu ortak temeldeki bir güvenlik açığı, kamu sektörü ve kritik altyapı sitelerinde çok geniş bir etki alanına sahip oluyor. Olay, aynı zamanda yapay zekânın küresel bir araştırma ekibinin aylar süren çabasını tek bir araştırmacının haftalık sürecine indirgediği somut bir örnek teşkil ediyor. Bu durum, güvenlik açığının keşfedilme ve istismar edilme hızını köklü biçimde değiştirdi.PHP supports approximately 70% of server-side web traffic and underpins platforms like WordPress, Drupal, and Joomla. Consequently, a vulnerability in this common foundation has a massive impact scope across the public sector and critical infrastructure. The incident also serves as a concrete example of AI reducing the effort required to find such flaws from months of work by a global research team to a single researcher’s weekly process, fundamentally changing the speed at which vulnerabilities are discovered and exploited.

Öne ÇıkanlarHighlights

• Güvenlik açıkları PHP kodunda 10 yılı aşkın süredir bulunuyordu. PHP Vakfı 2024'te bir işaret fark etmiş, ancak kaynak ve karar alma süreçlerindeki eksiklikler nedeniyle sorunu giderememenin bir 'yapısal başarısızlık' olduğunu belirtmişti.The security flaws had existed in PHP code for over 10 years. The PHP Foundation noted in 2024 that it had spotted signs but failed to resolve the issue due to resource and decision-making shortcomings, describing it as a 'structural failure.'
• Wiz, yapay zekânın bu güvenlik açığını bir saldırı aracına dönüştürme eşiğini düşürdüğünü belirtti. Cloudflare ise yamanın kamuoyuyla paylaşılmasından saatler içinde erken aşama saldırı denemeleri gözlemledi.Wiz stated that AI lowered the threshold for turning this vulnerability into an attack tool. Cloudflare observed early-stage attack attempts within hours of the patch being made public.
• Sensys verileri, gözlemlenen 2,6 milyon barındırıcının yaklaşık 1,5 milyonunun resmi yamayı alamayacak şekilde son destek tarihi geçmiş PHP sürümlerini çalıştırdığını gösteriyor. Bu durum, söz konusu sistemlerin süresiz olarak savunmasız kalmasına neden oluyor.Sensys data indicates that approximately 1.5 million of the 2.6 million observed hosts are running PHP versions past their end-of-support date, meaning they cannot receive the official patch and remain vulnerable indefinitely.

EleştiriCritical take

Yapay zekânın hatayı bulduğu şeklindeki başlık çekici gelse de, makalenin kendisi bu açığın on yıldır var olduğunu ve PHP ekibinin 2024'ten bu yana kısmen haberdar olduğunu kabul ediyor. Yapay zeka keşfi hızlandırdı, ancak altta yatan mühendislik borcunu oluşturan taraf değildi. Ayrıca CISA, haberin yayımlandığı sırada onaylanmış bir istismar vakası raporlamadı. Etkilenen bazı ülkeler (Almanya, Finlandiya) de sitelerini çevrimdışı bırakma kararlarının önleyici nitelikte olduğunu açıkça belirtti. Bu bilgiler, aktif ve büyük ölçekli bir saldırı anlatısını yumuşatıyor.While the headline suggesting AI found the error is appealing, the article itself acknowledges that the vulnerability has existed for a decade and that the PHP team has been partially aware of it since 2024. AI accelerated the discovery but was not the source of the underlying engineering debt. Furthermore, CISA did not report any confirmed exploitation cases at the time of publication. Some affected countries (Germany, Finland) also explicitly stated that their decision to take websites offline was precautionary. These details soften the narrative of an active, large-scale attack.