PHP'de CVSS 9,2 puanlık 2 kritik açık bulundu, OpenAI'nin Codex Security'si keşfe katkı sağladı

PHP motorunda uzaktan kod çalıştırmaya imkan veren ve CVSS ölçeğinde 9,2 puan alan iki kritik güvenlik açığı, saldırganlardan önce tespit edilip yamalandı. OpenAI(OpenAI), kendi güvenlik aracı Codex Security(Codex Security)'nin bu keşfe katkı sağladığını 21'inde açıkladı.

Keşif sürecine güvenlik araştırma kuruluşu Calif ile Wiz(Wiz) ekibi de dahil oldu. Açıklar CVE-2026-109618 ve CVE-2026-109619 olarak kayda geçti; her ikisi de CVSS 9,2 puan aldı. CVSS, güvenlik açıklarının ciddiyetini 0 ile 10 arasında puanlayan ortak bir değerlendirme sistemi; 9 puan üzeri aralık en yüksek risk kategorisine karşılık geliyor. Konuyu CryptoBriefing duyurdu.

İki açık da uzaktan kod çalıştırmaya(RCE) ve bellek bilgisi sızıntısına izin veriyor. Uzaktan kod çalıştırma, bir saldırganın uzaktan sunucuya kendi komutlarını çalıştırabilmesi anlamına gelirken, bellek bilgisi sızıntısı sunucu sürecinin belleğinde tutulan hassas verilerin okunabilmesi demek. Açıkları istismar etmek için kimlik doğrulamaya gerek yok; yani saldırganlar giriş bilgisi olmadan da deneme yapabiliyor. Etki alanı PHP 5.4.0'a kadar uzanan çok sayıda sürümü kapsıyor.

Sorunun kökeninde bellek güvenliği meselesi yatıyor. PHP'nin bellek yetersizliği (out-of-memory) durumlarını ele alış biçimi ile istekler arasında kalan 'eski global durum' (stale global state) açıkların oluşmasına yol açtı. Uzaktan kod çalıştırma davranışı geçtiğimiz ağustosta WordPress(WordPress) ve Drupal(Drupal) üzerinde bağımsız olarak doğrulandı.

Etkinin boyutuna ilişkin bir tahmin de paylaşıldı. CryptoBriefing, PHP'ye bağımlı web sitelerinin yaklaşık yüzde 70'inin bu açıklardan etkilenebileceğini aktardı; ancak bu rakamın hangi yönteme dayandığı belirtilmedi. Risk altında olabileceği söylenen platformlar arasında WordPress, Drupal ve MediaWiki(MediaWiki) sayılıyor. Açıklama süreci Amazon Web Services(AWS), Google(GOOGL) Cloud ve Microsoft(MSFT) gibi büyük altyapı şirketleriyle koordineli şekilde yürütüldü.

OpenAI bu vakayı 'Defender's Window' (Savunmacının Penceresi) olarak adlandırdı. Fikir şu: yapay zeka araçları kötü niyetli aktörlerden önce açıkları gün yüzüne çıkararak savunma tarafına zaman kazandırabilir. Codex Security, OpenAI'nin güvenliğe özel aracı; keşfin payı OpenAI, Calif ve Wiz ekipleri arasında paylaşıldı.

OpenAI bu açığı son dönemin en kritik güvenlik olaylarından biri olarak değerlendirdi ve siber savunma personeline destek için 1 milyar dolar ayıracağını açıkladı. Destek, Daybreak projesi üzerinden kullanıma sunulacak.

Yama konusunda da uyarılar geldi. PHP geliştirici ekibi 21'inde (yerel saatle) yamayı yayınlarken, Avrupa ve İngiltere'deki güvenlik kurumları, yamayı hemen uygulayamayan sunucuların ağdan ayrılmasını veya kapatılmasını önerdi. CryptoBriefing, önlemlerin geciktirilmesi halinde büyük çaplı güvenlik olaylarının yaşanabileceğini ve bunun kullanıcı güvenine ve şirket bilançolarına zarar verebileceğini aktardı.

PHP tabanlı site işletmecileri için temel adım, yamalanmış PHP sürümüne güncelleme yapmak. Özellikle WordPress ve Drupal kullanan işletmecilerin bu konuda acilen harekete geçmesi gerekiyor.