Çarşamba günü, onlarca yıldır var olan açık kaynaklı ağ teknolojisi PHP, iki açığın yıllarca uykuda kalmasının ardından son zamanlarda araştırmacılar tarafından kullanılabilecek hale getirilmesi nedeniyle interneti neredeyse durdurdum.
Bu iki açıklık PHP2Shell olarak adlandırılır ve resmi numaraları CVE-2026-109618 ve CVE-2026-109619'dur. Basitçe ifade edersek, bu açıklıklar, PHP çalıştıran çevrimiçi sistemlere—örneğin web sitelerine veya internete açık sunuculara—şifre girmeden erişim sağlayıp verileri görüntülemek veya değiştirmek isteyen herkes tarafından kullanılabilmektedir.
Olayın ciddiyeti nedeniyle, milyonlarca kişi kötü niyetli bir hacker tarafından istismar edilmeden önce sistemlere düzeltme eklemek için acele etti.
PHP Foundation, Çarşamba günü PHP tabanlı web yazılımlarının bakımını sağlayan bir onarım düzeltmesini kamuoyuna açıkladı; bu düzeltme, web'e açık sunucuların saldırılarından korunmasını sağlıyor. Vakıf, PHP'ye bağımlı olan bazı en büyük internet şirketlerine ve web hosting sağlayıcılarına önceden bu düzeltmeyi sağlamıştı.
Saatlerce arka planda yapılan iletişim ve sektör içindeki dikkatli koordinasyon sayesinde, dünya çapında büyük ölçekli bir internet kullanımının önüne geçildi. Çarşambadan itibaren, ülkelerin hükümetleri vatandaşları ve web sitelerine sahip işletmeleri, kendi risklerini azaltmak için harekete geçmeye çağırdı. Bankalar, perakendeciler, oyun siteleri, online mağazalar, hastaneler ve bazı hükümet kurumları, saldırıları önlemek için sunucularını kapattı.
Ancak güvenlik araştırmacıları, durumun henüz bitmediğini ve dünya çapında hâlâ birçok sistemin düzeltme yapılmamış olduğunu, bu nedenle hâlâ sızma ve veri çalma riski taşıdığını uyarıyor.
Bu aynı zamanda son büyük internet yazılım krizi olma olasılığı da yüksek. Bazıları, yapay zekânın henüz tanımlanmamış, bulunması beklenen ve kötüye kullanılacak daha fazla açığı hızla keşfedeceğini tahmin ediyor.
Ne oldu?
Calif'den güvenlik araştırmacıları, PHP'de iki güvenlik açığı keşfetti. PHP, internet ve şirket ağlarında yerel olarak barındırılan sistemlerde, örneğin intranet ve dahili web sitelerinde küresel olarak geniş çapta kullanılan bir programlama dilidir.
Bu iki güvenlik açığı ilk olarak 2024 yılında keşfedildi, ancak o dönemde kullanılabilecek olarak görülmediği için düzeltilmedi. Güvenlik araştırmacıları, bu açıkları kullanma yöntemleri bulduktan sonra yazılım geliştiricilere hızlıca düzeltme yapmaları konusunda uyarıda bulundu.
Calif, PHP Vakfı'na bildirildi ve vakıf, deliği onarmaya ve açıklamayı koordine etmeye başladı. Vakıf, belirli bir bitiş tarihine kadar gizli tutma kararı alarak, büyük şirketlerin onarım patch'lerini önceden kurmaları için ilgili bilgileri ve patch'leri sıkı gizlilik altında sağladı.
Bu açıklar neden bu kadar ciddi?
PHP2Shell, uzaktan internet üzerinden kötüye kullanılabilmesi nedeniyle ciddidir ve kurbanların bir bağlantıya tıklamadan veya bir dosya açmadan etkilenebilir. Bu, uzaktan kod yürütme olarak bilinir ve etkilenen ve düzeltilmemiş sistemlere dünyadaki herhangi bir hakerin neredeyse tamamen kontrolünü sağlayabilmesi nedeniyle en yıkıcı güvenlik açıklarından biridir.
Daha da kötüsü, bu özel PHP açıkları, saldırganların hiçbir şifre veya diğer kimlik doğrulama bilgisi olmadan,互联网 üzerinden onarılmamış sistemlere erişmesine izin verir; bu, kimlik doğrulamasız erişim olarak bilinir.
Bu, kötü niyetli bir hacker'ın bilgisayara veri çalmak için veya daha sonra tekrar geri dönmek amacıyla uzun vadeli bir nokta kurmak için zararlı yazılım yerleştirmesine izin verecektir.
Neden web sitelerinin %70'i etkileniyor?
PHP, internetin birçok döngüsü ve nesli boyunca hayatta kalmış ve hâlâ düzgün çalışan teknolojilerden sadece biridir; bugün neredeyse internetin büyük bir kısmını çalıştıran yapıştırıcı gibi yerlerde bulunur. Bu araçların çoğu, bu işten para kazanmayan açık kaynak bakım görevlileri tarafından geliştirilmiştir ve bu nedenle üçüncü taraf güvenlik denetimleri yapmak için maddi imkânları yoktur—ancak şirketler bu projelere büyük ölçüde güvenmekte ve bunlara finansal destek sağlamamaktadır.
Bu açıklar yapay zeka tarafından mı bulundu?
Calif, bu açıkları bu yıl başlarında PHP kodu üzerinde bir güvenlik denetimi yaparken keşfettiği için takdir edildi. Calif, OpenAI ve bulut güvenliği devi Wiz'in başlattığı "Hack the Planet" programına katıldı; Wiz daha sonra Calif'in oluşturduğu kanıtlama kodunu doğruladı.
Calif'in açıklama makalesinde (ayrıca harika ve izlenmeye değer bir karikatür de yer alıyor), araştırmacılar, yapay zekânın bu zafiyetin istismarına yardımcı olmak için kullanıldığını, ancak işin büyük bir kısmının hâlâ araştırmacıların mevcut bilgilerine ve PHP kod tabanına ile istismar geçmişine olan aşinalığına dayandığını açıkladı.
Calif, "Hiçbir model, basit bir ipucuyla doğrudan 'tüm açıkları' kazamaz. En azından şu anda değil."
Bu açıklar neden bildirilmeden önce zaten kullanılmıştı?
Tüm tarafların çabalarına rağmen, açıkların detaylarının Çarşamba gününe kadar gizli tutulması başarısız oldu ve patch yayınlanmadan önce PHP2Shell için bazı yararlanmalar gözlemlendi.
Ölçekli ve yüksek görünürlük nedeniyle Amazon, çevrimiçi tehditler konusunda büyük bir insight sahibidir. Şirket, bir blog yazısında, PHP2Shell'in istismar işaretlerini PHP düzeltmesi yayınlanmadan yaklaşık bir hafta önce tespit ettiğini belirtti; bu da açıklanmadan önce bazı yerlerde ve bazı kişilerin bu açıkları nasıl kullanacağını bildiğini gösteriyor. Amazon, hakerlerin bu açıkları nasıl öğrendiğini şu anda bilmediğini ancak savunmacıların 17 Ekim'den itibaren istismar kanıtları aramaları gerektiğini ifade etti.
Olayla ilgili birkaç farklı açıklama var. Açıklık giderildikten sonra, özellikle PHP gibi açık kaynak kodlu sistemlerde, herkesin açıkça görebileceği bu tür düzeltme detayları hemen ortaya çıkabilir. Bu açıklığı kullanmak kolay olmayabilir, ancak açıklığın nerede olduğunu ve nasıl düzeltildiğini bilmek, kötü niyetli hacker'ların hedefleri belirlemesine ve exploitation kodlarını geliştirmesine yardımcı olabilir.
Yasak süresi içinde bir yerde sızıntı yaşanmış olabilir ya da iletişim kesilmiş olabilir. Açık kaynak topluluğu büyük bir ölçektedir ve bu şekilde bilgi kontrolü, tarafların dürüstlükle iş birliği yapmasına dayanır.
Ayrıca, bu açıkların bir hacker tarafından önceden bağımsız olarak keşfedildiği ya da casusluk yoluyla öğrenildiği de olabilir.
Araştırmacılar, bu açıkların gerçekten kullanılabilmek için büyük çaba gerektirdiğini, açıkları silah haline getirmenin her zaman bir zorluk olduğunu—ancak imkânsız olmadığını—ve bu nedenle şimdiye kadar büyük ölçekli istismar senaryoları görmediğimizi belirtiyor.
İnternet genelinde büyük ölçekli bir kesinti yaşandı, ancak iyileşme sürecinde. En kötü durumu atlattık mı?
Şu anda sonuç çıkarmak erken, ancak şu ana kadar büyük ölçekli istismar işaretleri görülmemiş olması en azından umut verici bir sinyal—ancak tamamen tehlikeli bölge dışına çıkmadık.
Güvenlik ve izleme şirketi Cloudflare’in CEO’su Matthew Prince, bu hafta açıklanan bir açığın duyurulmasından sonra bu açıklığı kullanma girişimlerinin üssel olarak arttığını belirtti. Bu durum, kötü niyetli aktörlerin bu kusurları kendi lehlerine kullanmak için ne kadar hızlı harekete geçtiğini de göstermektedir.
PHP, web sunucularında değil, aynı zamanda geliştirme araçlarında, komut satırı ve terminal paketlerinde, ayrıca routeralar, depolama cihazlarında ve güvenlik cihazlarında (örneğin güvenlik duvarları ve VPN'ler) kullanılan diğer yazılım bileşenlerinde de kullanılır.
PHP2Shell'in daha sonra da kullanımları beklenmektedir, çünkü daha küçük IT ekipleri ve bireysel geliştiriciler güncelleme yapmada daha yavaş olabilir. Bununla birlikte, PHP'yi kendi ürünlerine ve yazılımlarına entegre eden birçok şirketin de güncelleme yapması gerekecek ve bu bir geçiş dönemi sürecektir.
Gittikçe daha fazla cihaz ve sistem güncellendikçe saldırı yüzeyi daralacaktır. Ancak bu açıkların zincirleme etkileri, özellikle güncellenemeyen eski sistemlerde yıllarca sürebilir.
Bu durum tekrar mı yaşanacak?
Güvenlik habercisi olarak yıllardır yaşadığım sürede, bu, interneti durduran nadir ve etkileyici bir gün oldu. 2016'da, devasa bir bot ağı, internet kayıtları kuruluşu Dyn'ye spam trafiği saldırısı düzenleyerek birçok üst düzey web sitesinin hizmetlerini neredeyse durdurdı. 2017'de, Kuzey Kore, ABD hükümetinin sızdırılmış hacker araçlarını kullanarak İngiliz sağlık sistemini bulaştırdı ve ransomware yaydı. 2024'te, CrowdStrike'in hatalı bir güncellemesi küresel çapta büyük bir kesintiye neden oldu ve dünya çapında çoğu Windows bilgisayarı aynı anda çöktü.
PHP2Shell sayesinde, internet muhtemelen çok acı verici ve yıkıcı olabilecek bir günü atlattı. Ancak bu, ağ üzerindeki gelecekteki son büyük olay olmayabilir ve bu, eski teknoloji zayıflıklarından yararlanan bir dizi olayın başlangıcı olabilir. Bunun büyük ölçüde nedeni, henüz keşfedilmemiş olan bu eski ancak yaygın olarak kullanılan yazılımların kendisindeki temel hatalar ve yapay zeka araçlarının açıkları bulmayı kolaylaştırmasıdır.
PHP, onlarca yıl önceki web programlama dilleri ve teknolojileri gibi "hafıza güvenli olmayan" yazılımlara aittir; bu da duyarlı verilerin hafıza saklamasından sızmasına veya taşmasına neden olabilecek bir tür zafiyetlere karşı savunmasız olduğunu anlamına gelir. ABD Ulusal Güvenlik Ajansı, aktif olarak istismar edilen zafiyetlerin yaklaşık %75'inin hafıza ile ilgili eksiklikleri kullandığını belirtti; yani hackerlar bu tür zafiyetleri sıklıkla kullanır.
Bu, Python, Rust ve Swift gibi bellek güvenli dillerin kullanımına doğru endüstride bir geçiş sağladı; bu diller, bellek açıklarına kadar kolayca kötüye kullanılamaz. Bu nedenle, bu diller, öncüllerini hâlâ etkileyen büyük sayıdaki açıklardan büyük ölçüde korunaklıdır.
Ancak bu, PHP, medya ve video kod çözücüler, sıkıştırma kütüphaneleri ve onlarca yıl önce geliştirilen diğer yazılımlarla çalışan internetin oldukça büyük bir kısmını hâlâ bırakıyor—ve bu teknolojiler sorun yaşadığında tüm ağ üzerinde büyük etkiler yaratıyor.