OpenAI'nin yapay zekası on yıllık PHP açığını buldu, ardından düzeltmeyi koordine etti
Dünyanın web sitelerinin büyük bir bölümünü güçlendiren betik dili PHP’deki bir çift ciddi güvenlik açığı, bu hafta nadir görülen küresel bir telaşa yol açtı. Hatalar, OpenAI’nin yapay zeka araçlarının yardımıyla keşfedildi ve ardından yazılım bakımcıları, güvenlik firmaları, bulut sağlayıcıları ve ulusal siber güvenlik kurumlarının katıldığı koordineli bir aceleyle düzeltildi; bu bilgi OpenAI ve güvenlik araştırmacıları tarafından verildi.
PHP2Shell takma adı altında gruplanan ve CVE-2026-109618 ile CVE-2026-109619 olarak izlenen iki güvenlik açığı, CVSS v4.0 ciddiyet ölçeğinde 10 üzerinden 9,2 puan aldı. En kötü senaryoda, bir saldırgan savunmasız bir sunucuda rastgele kod çalıştırabilir; bu da web güvenliğinin ulaşabileceği en ciddi noktadır. Açıkların kod tabanında on yıldan fazla süredir gizlendiği bildirildi.
Keşif, OpenAI’nin yapay zeka modellerini güvenlik araştırmacılarıyla eşleştirerek yaygın kullanılan açık kaynak yazılımlardaki zayıflıkları avlamayı amaçlayan Patch the Planet programından geldi. Güvenlik şirketi Calif ve bulut güvenlik firması Wiz’in Ağustos ayında PHP sorunlarını yapay zeka yardımıyla bağımsız olarak ortaya çıkardığı söyleniyor. Ardından, kimse hataları silahlandırmadan önce düzeltmeleri hazırlamak için yaklaşık iki aylık sessiz bir çalışma geldi.
Bu plan, ayrıntıların 20 Ekim’de, görünüşe göre koordineli yayın tarihinden önce sızdırılmasıyla sekteye uğradı. Sızıntı, PHP operasyon ekiplerini uzun bir geceye sürükledi; yöneticiler maruziyeti değerlendirmek ve hafifletme önlemlerini uygulamak için acele etti. PHP Vakfı resmi yamaları 21 Ekim’de yayınladı ve OpenAI aynı gün tüm çabanın hesabını yayımladı.
Hikaye geliştirici forumlarının çok ötesinde önem taşıyor. PHP, internetteki içerik yönetim sistemleri, forumlar ve mağazaların temelini oluşturuyor ve Çin teknoloji medyasında dolaşan tahminler, erişimini web sitelerinin yaklaşık yüzde yetmişi olarak gösteriyor. Bu katmandaki uzaktan istismar edilebilir bir açık, niş değil sistemik bir risktir; bu yüzden bulut sağlayıcıları ve hükümet güvenlik kurumları da müdahaleye katıldı.
OpenAI için Patch the Planet, yapay zekanın güvenlik açığı araştırmalarını nasıl değiştirebileceğine dair bir açıklama da. Ölçekte hata bulmak geleneksel olarak yavaş, manuel bir iştir. Yapay zeka modelleri devasa kod tabanlarını hızla tarayabilir, ancak zor kısım ardından gelen insan mekanizmasıdır: bulguları doğrulamak, yamalar yazmak, satıcıları uyarmak ve kullanıcılar güncelleyebilene kadar her şeyi gizli tutmak. PHP olayı bu mekanizmayı sızıntı baskısı altında test etti.
Olay ayrıca büyüyen bir gerilimi vurguluyor. Yapay zeka destekli keşif, daha fazla açığın daha hızlı ortaya çıkacağı anlamına geliyor ve her projenin hızlı yanıt verecek bakımcıları veya kaynakları yok. Bir zamanlar sektörün sessiz bir köşesi olan koordineli açıklama normları, birbirleriyle nadiren konuşan şirketler ve kurumları içeren küresel bir lojistik tatbikatına dönüşüyor.
Sıradan kullanıcılar ve işletmeler için pratik tavsiye değişmedi: PHP kurulumlarını ve bağımlı yazılımları derhal güncelleyin ve satıcı uyarılarını takip edin. Sektör için ders, yapay zekanın artık güvenlik tedarik zincirinin bir parçası olduğu ve yarışın artık sadece hata bulmakla değil, internet öğrenmeden önce onları düzeltmekle ilgili olduğu olabilir.