PHP'in bazı sürümlerinde tespit edilen iki kritik güvenlik açığı giderildi. AA'nın PHP geliştirme ekibine dayandırdığı bilgilere göre, sorunlar saldırganların kimlik doğrulaması yapmadan uzaktan zararlı kod çalıştırmasına ve etkilenen sunucuların kontrolünü ele geçirmesine yol açabiliyor.
Açıkların önem derecesi 10 üzerinden 9,2 olarak belirlendi. Özellikle Apache sunucularında kullanılan mod_php yapılandırmasının riski artırdığı kaydedildi. Kullanıcılardan sistemlerini vakit kaybetmeden güncellemeleri istendi.
Güvenlik sorunları PHP'nin 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderildi. PHP 8.1 ve daha eski sürümler artık resmî güvenlik güncellemesi desteği almıyor. Bu sürümleri kullananların desteklenen sürümlere geçmeleri ya da yazılım sağlayıcılarından güvenlik yamaları temin etmeleri önerildi.
PHP geliştirme ekibi, açıklardan birinin ilk olarak 2024 yılında tespit edildiğini, fakat ciddiyetinin o dönemde somut biçimde ortaya konulamadığını açıkladı. Düzeltme çalışmalarının teknik anlaşmazlıklar ve uzman eksikliği nedeniyle defalarca kesintiye uğradığını belirten ekip, gecikmeyi karar alma süreçleri ve kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlık olarak niteledi.
OpenAI'ın Patch the Planet programı kapsamında yürütülen incelemelerde ağustos ve eylül aylarında yeni bulgulara ulaşıldığı kaydedildi. Bu sırada açığın kötüye nasıl kullanılabileceğine ilişkin yeni yöntemler ortaya konuldu. Açıkların giderilmesine öncelik verilirken güvenlik bilgilerinin sosyal medyada yayılması üzerine güncelleme takvimi öne çekildi.
Siber güvenlik şirketi Wiz Research, açıkların PHP kaynak kodunun karmaşık yapısı nedeniyle daha önce tespit edilmesinin zor olduğunu bildirdi. Araştırmalarda Gemini 4 Argon ve GPT-5.6 Sol modelleri kullanıldı. Özellikle Gemini 4 Argon'un açıkların saptanmasında ve hazırlanan güvenlik yamalarının doğrulanmasında önemli rol oynadığı açıklandı.
Kaynak: Evrensel
