OpenAI, Küresel İnterneti Sarsan Kritik PHP Açıklarının Keşfedilmesine Yardımcı Oldu
Dünya genelindeki web sitelerinin büyük çoğunluğuna güç veren PHP programlama dilinde ortaya çıkan ve küresel çapta siber güvenlik alarmına yol açan kritik açıkların arkasında OpenAI'ın yapay zeka teknolojisinin bulunduğu açıklandı. Şirketin Patch the Planet girişimi kapsamında siber güvenlik firması Calif tarafından kullanılan GPT-5.6 Sol modeli, on yılı aşkın süredir fark edilmeyen uzaktan kod yürütme zafiyetlerinin tespit edilmesini sağladı.
Küresel internet altyapısının en önemli yapı taşlarından biri olan PHP programlama dilinde tespit edilen ve dünya çapında acil siber güvenlik alarmlarına yol açan kritik zafiyetlerin perde arkası netleşmeye başladı. Dünya genelindeki aktif web sitelerinin ve içerik yönetim sistemlerinin yaklaşık yüzde 70'ine güç veren PHP çekirdeğindeki bu tehlikeli kusurların gün yüzüne çıkarılmasında OpenAI tarafından geliştirilen ileri düzey yapay zeka modellerinin doğrudan rol oynadığı resmen doğrulandı.
Ağustos ve Eylül aylarında yürütülen kapsamlı güvenlik taramaları sonucunda keşfedilen ve siber güvenlik dünyasında PHP2Shell olarak adlandırılan bu açıklar, geçtiğimiz günlerde FBI, NSA, CISA ve birçok ülkenin ulusal siber güvenlik merkezlerini harekete geçirmişti. On yılı aşkın süredir PHP'nin temel kaynak kodlarında gizlenen ve geleneksel denetim araçlarının gözünden kaçan bu zafiyetlerin, kötü niyetli bilgisayar korsanlarının eline geçmeden önce yapay zeka desteğiyle bulunması olası bir küresel dijital felaketin önüne geçti.
GPT-5.6 Sol ve Calif İş Birliğiyle Gelen Keşif
OpenAI tarafından paylaşılan resmi bilgilere göre, PHP çekirdeğindeki kritik hataların tespit edilme süreci siber güvenlik araştırma şirketi Calif uzmanlarının çalışmalarıyla başladı. Calif araştırmacıları, OpenAI'ın siber güvenlik ve düşük seviyeli kod analizi yetenekleriyle öne çıkan sınır modeli GPT-5.6 Sol versiyonunu kullanarak PHP'nin karmaşık kaynak kodu mimarisini derinlemesine inceledi.
İnsan araştırmacıların ve standart statik kod analizi yazılımlarının yıllar boyunca fark edemediği bellek yönetimi ve girdi doğrulama hataları, büyük dil modelinin kod akışlarını semantik olarak değerlendirmesi sayesinde yakalandı. Aynı zaman diliminde Google bünyesindeki siber güvenlik firması Wiz araştırmacılarının da bağımsız olarak aynı zafiyet noktalarını tespit etmesiyle birlikte, bulgular hızla PHP Vakfı ve çekirdek geliştirici ekibiyle paylaşıldı.
Patch the Planet Girişimi Nedir ve Nasıl Çalışıyor?
PHP'deki bu tarihi keşif, OpenAI'ın açık kaynaklı yazılım ekosistemini korumak amacıyla hayata geçirdiği Patch the Planet (Gezegeni Yamala) girişiminin en somut başarılarından biri olarak kayıtlara geçti. Şirketin siber savunma vizyonunun önemli bir parçasını oluşturan bu program, dünyadaki en kritik açık kaynak projelerindeki güvenlik açıklarını siber suçlulardan önce tespit edip onarmayı hedefliyor.
Girişimin temel çalışma prensipleri ve siber güvenlik ekosistemine sağladığı katkılar şu başlıklarda toplanıyor:
- Yapay Zeka Destekli Derin Denetim: Gelişmiş dil modelleri ve otonom güvenlik ajanları, milyonlarca satırlık açık kaynak kod tabanlarını tarayarak karmaşık mantık hatalarını ve bellek taşması kusurlarını tespit ediyor.
- Finansman ve Model Desteği: OpenAI, bağımsız siber güvenlik araştırmacılarına ve uzman kuruluşlara hem finansal kaynak hem de en güçlü yapay zeka modellerine erken erişim imkanı tanıyor.
- Sorumlu Bildirim ve Koordinasyon: Keşfedilen güvenlik açıkları kamuoyuna duyurulmadan önce ilgili yazılım vakıfları, bulut sağlayıcıları (Cloudflare, AWS vb.) ve geliştirici topluluklarıyla koordineli biçimde yamalanıyor.
CVE-2026-109618 ve CVE-2026-109619 Neden Bu Kadar Tehlikeli?
Yapay zeka yardımıyla ortaya çıkarılan ve resmi olarak CVE-2026-109618 ile CVE-2026-109619 kodlarıyla sınıflandırılan iki temel zafiyet, CVSS kritiklik ölçeğinde en üst sınır olan 9.2 ve üzeri risk puanlarıyla değerlendiriliyor. Yazılım tarihinin en tehlikeli açıkları arasında gösterilen bu kusurlar, hedef sunucularda uzaktan kod yürütülmesine (Remote Code Execution - RCE) doğrudan kapı aralıyor.
Küresel PHP Krizi İnterneti Vurdu: Yapay Zekanın Keşfettiği Güvenlik Açıkları Nedeniyle Web Siteleri Kapatılıyor
Sam Altman Açıkladı: OpenAI Halka Arz Süreci Neden Erteleniyor?
Saldırganlar bu zafiyetleri istismar ettiklerinde, herhangi bir kullanıcı adı veya parola doğrulamasına takılmadan özel hazırlanmış HTTP istekleriyle sunucu üzerinde tam yetkili komutlar çalıştırabiliyor. Bu durum; kurumsal veritabanlarının çalınması, sunucu yapılandırmalarının değiştirilmesi, fidye yazılımlarının dağıtılması ve sistemlere kalıcı arka kapılar (backdoor) yerleştirilmesi gibi yıkıcı sonuçlar doğurabiliyor.
Küresel Alarm ve Kapatılan Web Siteleri
Güvenlik yamalarının yayınlanmasının hemen ardından siber istihbarat birimleri, tehdit aktörlerinin yamalanmamış sunucuları hedef almak için otomatik tarama faaliyetlerine başladığını duyurdu. ABD'de FBI ve CISA başta olmak üzere Avrupa ve Asya'daki ulusal siber güvenlik otoriteleri, kurumlara sistemlerini derhal güncellemeleri yönünde acil çağrı yaptı.
Teknik bağımlılıklar veya operasyonel süreçler nedeniyle yamaları anında kuramayan birçok bakanlık, belediye, liman işletmesi ve kamu kurumu ise veri sızıntısı riskini göze almamak adına web sitelerini geçici olarak çevrim dışı bırakma yoluna gitti. Fransa, Almanya, Hollanda ve Japonya gibi ülkelerde yaşanan bu planlı kesintiler, açığın ciddiyetini tüm dünyaya bir kez daha gösterdi.
Siber Güvenlikte Yapay Zeka Çağı: Savunma ve Saldırı Dengesi
OpenAI'ın PHP krizindeki rolü, yapay zeka teknolojilerinin siber güvenlik dünyasındaki ikili doğasını yeniden gündeme taşıdı. Bugüne kadar gelişmiş dil modellerinin kötü niyetli bilgisayar korsanları tarafından siber saldırıları otomatikleştirmek ve sıfırıncı gün (zero-day) açıkları bulmak için kullanılabileceğine dair ciddi endişeler bulunuyordu. Ancak PHP örneği, aynı teknolojinin savunma cephesinde de oyunun kurallarını değiştiren bir kalkan olabileceğini kanıtladı.
Siber güvenlik uzmanları ve sistem yöneticileri, bu tür yapay zeka destekli zafiyet keşiflerinin önümüzdeki dönemde çok daha sık yaşanacağına dikkat çekiyor. Geliştiricilerin ve kurumların sunucu güvenliğini sağlamak için atması gereken temel adımlar ise oldukça net:
- Acil Sürüm Güncellemesi: PHP altyapısı kullanan tüm sistemlerin zaman kaybetmeden güvenlik yamalarını içeren PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerine yükseltilmesi gerekiyor.
- WAF ve Ağ İzolasyonu: Doğrudan güncellenemeyen eski (legacy) uygulamaların önünde mutlaka güncel imzalara sahip bir Web Uygulama Güvenlik Duvarı (WAF) konumlandırılmalı ve dış erişimler sınırlandırılmalıdır.
- Sürekli Log ve Bütünlük Denetimi: Sunucu erişim kayıtları olası istismar denemelerine karşı geriye dönük incelenmeli ve sistem dosyalarında yetkisiz bir değişiklik olup olmadığı kontrol edilmelidir.
OpenAI ve güvenlik araştırmacılarının ortak çalışmasıyla önlenen bu dev kriz, açık kaynak dünyasında yapay zeka destekli proaktif kod denetiminin artık bir tercih değil, küresel internet güvenliği için vazgeçilmez bir zorunluluk olduğunu ortaya koyuyor.
