OpenAI, Google bünyesindeki Wiz ekibi ve Calif araştırmacıları tarafından yürütülen yapay zeka tespiti çalışmaları sonucunda, internet sitelerinin %70’ine güç veren PHP programlama dilinde PHP2Shell olarak adlandırılan iki kritik güvenlik açığı tespit edildi. 2004 yılından, yani PHP 5 sürümünden bu yana çekirdek kodda gizlenen bu zafiyetler; saldırganların hiçbir şifre veya kimlik doğrulamasına ihtiyaç duymadan sunucularda uzaktan kod çalıştırmasına olanak tanıyor. T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı ve ABD Ulusal Güvenlik Ajansı (NSA) küresel çapta acil önlem çağrısı yaparken, 69 milyondan fazla kullanıcısı olan e-Devlet Kapısı altyapısında gerekli kontrollerin tamamlandığı ve hizmetlerin kesintisiz sürdüğü açıklandı.
Yapay Zeka Destekli Keşif ve PHP2Shell Açığının Teknik Detayları
Siber güvenlik alanında tarihi bir kırılma noktası oluşturan zafiyetler, geleneksel denetim araçlarının gözünden kaçan bellek ve doğrulama kusurlarının yapay zeka modelleriyle taranması sonucu ortaya çıkarıldı. OpenAI’ın açık kaynak yazılımları koruma hedefli projesi kapsamında Calif araştırmacıları GPT-5.6 Sol modelini kullanırken, Wiz ekibi Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol yapay zeka ajanlarını devreye soktu. C diliyle yazılmış PHP çekirdeğindeki mantık hatalarını bağlamsal olarak analiz eden bu sistemler, özel hazırlanmış HTTP istekleriyle tetiklenebilen Kimlik Doğrulamasız Uzaktan Kod Çalıştırma (Pre-Auth RCE) açıklarını tespit etti.
Zafiyetin etki alanı, PHP 5 sürümünün yayınlandığı 2004 yılından günümüze kadar uzanan 20 yıllık bir kod geçmişini kapsıyor. Dünya genelinde 33 milyondan fazla web sitesini ve WordPress (internet sitelerinin %40’ından fazlası), WooCommerce, Magento, Drupal ile Joomla gibi yaygın içerik yönetim sistemlerini doğrudan etkileyen bu kriz, PHP Foundation tarafından yayımlanan yamalarla kontrol altına alınmaya çalışılıyor. Yapay zeka modellerinin yama kodlarındaki değişiklikleri inceleyerek saniyeler içinde otomatik saldırı kodları türetebilmesi, yamalanmamış sistemler üzerindeki risk faktörünü ve panik havasını artıran ana teknik gerekçe olarak öne çıkıyor.
| Zafiyet Dönemi / Adı | Etki Türü | Hedef Sistemler | Tehlike Boyutu ve Özelliği |
|---|---|---|---|
| PHP-FPM Zafiyeti (CVE-2019-11043) | Uzaktan Kod Çalıştırma (RCE) | Nginx + PHP-FPM kullanan Linux sunucular | Belirli Nginx yapılandırmalarında bellek taşmasına yol açarak sunucu kontrolü sağlıyordu. |
| PHP CGI Karakter Kodlama Açığı (CVE-2024-4577) | Argüman Enjeksiyonu / RCE | Windows üzerinde çalışan PHP (XAMPP vb.) | Windows’un karakter dönüştürme özelliğini istismar ederek güvenlik filtrelerini aşıyordu. |
| PHP2Shell Çekirdek Zafiyetleri | Kimlik Doğrulamasız RCE & Bellek Bozulması | PHP 5 ve sonrası güncellenmemiş tüm sistemler | On yılı aşkın süredir çekirdekte gizlenen, kimlik doğrulamasız tam sistem yetkisi veren açık. |
Kamu Sistemlerinde Durum ve e-Devlet Altyapısının İzole Edilme Yöntemleri
Küresel alarmla birlikte T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, kamu kurumları ve özel sektör için acil durum parametrelerini devreye soktu. Türkiye’nin en kritik dijital altyapısı olan ve 69 milyonu aşkın vatandaşa hizmet veren e-Devlet Kapısı, verileri tek bir merkezde toplamak yerine kurumlar arasında kurulan güvenli tüneller üzerinden aktaran dağıtık mimarisi sayesinde bu tehlikeden olumsuz etkilenmedi. Altyapı üzerindeki kritik servisler, Siber Olaylara Müdahale Ekipleri (SOME) tarafından 7/24 esasıyla izlenerek olası sızma girişimlerine karşı koruma altına alındı.
Güncellenmemiş sistemlerde veri tabanı sızıntıları, Web Shell adı verilen gizli arka kapı betiklerinin yerleştirilmesi, fidye yazılımları ve botnet oluşumları ciddi risk faktörleri arasında yer alıyor. NSA ve yerel otoriteler, doğrudan güncelleme yapamayan sistemlerin derhal ağdan izole edilmesini veya bakım moduna alınmasını öneriyor. Teknik ekiplerin altyapılarını güvenceye almak adına uygulaması gereken temel adımlar şu şekilde sıralanıyor:
- Kullanım ömrü dolmuş PHP 7.x ve PHP 8.0 gibi desteklenmeyen sürümlerin derhal güncel ve kararlı PHP 8.5.12 veya ilgili PHP 8.2.x, 8.3.x, 8.4 güvenlik yamalarına yükseltilmesi,
- Eski tip PHP-CGI modüllerinin kapatılarak izole edilmiş PHP-FPM mimarisine geçilmesi ve
expose_php = Offayarı ile sürüm bilgisinin gizlenmesi, - Sunucu düzeyinde komut çalıştırılmasını engellemek amacıyla
php.inidosyasında yer alandisable_functionssatırınaexec, passthru, shell_exec, system, proc_open, popenfonksiyonlarının eklenmesi, - Sanal yamalama sağlamak adına Cloudflare, AWS WAF veya ModSecurity gibi güvenlik duvarı kurallarının aktif edilmesi,
- Sistem üzerindeki
/tmpvewp-content/uploadsbenzeri yazılabilir dizinlerde dosya bütünlük kontrollerinin yapılması ve veri tabanı kimlik bilgilerinin yenilenmesi.
Yapay zeka modellerinin hem zafiyet tespiti hem de otomatik saldırı kodu geliştirme süreçlerini hızlandırdığı bu yeni dönemde, dünya genelindeki 33 milyondan fazla web sitesinin güvenlik mimarileri bu hızlı dönüşüme ne kadar sürede uyum sağlayabilecek?
