PHP, web sitelerinin sunucu tarafında çalışmasını sağlayan, ücretsiz ve açık kaynak kodlu bir programlama dilidir. W3Techs verilerine göre, kullanılan dili tespit edilebilen sitelerin yaklaşık yüzde 70’i PHP’den yararlanıyor. Dil; bloglar, kamu portalları, haber siteleri ve çevrimiçi alışveriş platformlarında yaygın biçimde kullanılıyor.
Bu altyapıdaki iki açık, CVSS v4.0 ölçeğinde 9,2 puan aldı. CERT-EU, puanın kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma riskini gösterdiğini belirtti. Saldırgan, parola veya kullanıcı hesabı olmadan açık bulunan sunucuda komut çalıştırabiliyor; başarılı saldırı sitenin kontrolünün ele geçirilmesine yol açabiliyor.
GoDaddy’ye göre risk; veri çalınması, içeriklerin izinsiz değiştirilmesi ve sistemlerin tamamen ele geçirilmesi biçiminde ortaya çıkabilir. Cloudflare, açıkların duyurulmasının ardından saldırı girişimlerinin hızla arttığını ve milyonlara ulaştığını bildirdi. Wordfence ise otomatik güncellemelerin sorunu gidermeye yetmediğini uyardı.
Açıkları keşfeden Calif araştırmacıları, OpenAI ile yürüttükleri çalışmada GPT-5.6 Sol modelini kullandıklarını bildirdi. İlk bulguyu 11 Ağustos’ta PHP geliştiricilerine ilettiler. Wiz ise yapay zekâ modellerinden yararlanarak ikinci açığı bağımsız biçimde buldu ve 24 Ağustos’ta bildirdi.
Wiz, açıkları PHP tarihindeki en ciddi sorunlar arasında değerlendirdi. Nedenlerin kod tabanında onlarca yıl bulunduğunu, ancak saldırı üretmek için karmaşık ve birbirine bağlı işlemler gerektiğini açıkladı. CERT-EU ile FBI, güncelleme yapamayan sitelerin geçici olarak kapatılmasını önerdi.
Hollanda, Fransa, Danimarka ve Finlandiya hükümetlerinin resmî siteleri, güncelleme tamamlanana kadar çevrimdışı bırakıldı. Japonya Başbakanı Sanae Takaichi, PHP kullanımını kontrol etmeyi, 21 Ekim saat 23:00’a kadar güncelleme yapılmasını veya siteleri askıya almayı istedi. Türkiye’de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı ulusal tarama başlattı; kamu kurumları başta olmak üzere ilgili kurumlara acil tedbir bildirimleri iletildi.
Kaynak: Habertürk
