Siber güvenlik şirketi Wiz'in araştırma birimi Wiz Research, dünyadaki web sitelerinin yaklaşık yüzde 70'ini çalıştıran PHP programlama dilinin çekirdeğinde, saldırganların kimlik doğrulamasına gerek kalmadan sunuculara sızabileceği kritik açıklar tespit etti. PHP ekibi, bulunan açıkları 21 Ekim 2026'da yayınladığı yama ile kapattı.
Wiz.io'nun yayınladığı raporda, açıkların PHP'nin "fatal error" (ölümcül hata) durumlarını, özellikle bellek yetersizliği hatalarını işleme biçiminden kaynaklandığı belirtildi. Bu hatalar bir isteğin beklenmedik şekilde sona ermesinin ardından PHP'nin iç belleğinde bozulmuş bir durum bırakabiliyor; sonraki istek veya çalışan süreç bu bozuk durumu yeniden kullandığında bellek ifşasına veya bozulmasına yol açabiliyor.
Açıklar CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor ve CVSS ölçeğinde 9,2 puana kadar ulaşan şiddet seviyesine sahip. Wiz Research, PHP 5.4 sürümüne kadar geriye dönen ve son on yılda yayınlanan her PHP sürümünün bu açıklardan en az biriyle etkilendiğini açıkladı.
Açıklar hangi siteleri etkiliyor?
PHP; WordPress, Joomla, Drupal ve Wikipedia'nın kullandığı MediaWiki gibi birçok yazılımın temelini oluşturuyor. Wiz Research, CVE-2026-109618 kodlu açığın yükleme ilerlemesi (upload-progress) verisinin çözümlenmesindeki "use-after-free" hatasından kaynaklandığını ve WordPress, Drupal ile Joomla üzerinde kimlik doğrulama öncesi uzaktan kod çalıştırmaya (RCE) imkân verdiğini gösterdi. CVE-2026-109619 kodlu açık ise ölümcül hata sonrası geriye izleme (backtrace) sırasında oluşan "use-after-free" ve OPcache'teki tür karışıklığından kaynaklanıyor; bu açık da Drupal ve WordPress üzerinde kimlik doğrulama öncesi RCE'ye yol açabiliyor.
Araştırmacılar, bu açıkları "php2shell" adını verdikleri tek bir istismar betiğinde birleştirerek WordPress, Drupal ve Joomla'nın en güncel konteyner imajlarında kimlik doğrulaması olmadan uzaktan kod çalıştırabildiklerini gösterdi. Wiz Research ayrıca, kod çalıştırmaya gerek kalmadan PHP sürecinin belleğinden şifre, kimlik doğrulama jetonu ve API anahtarı gibi hassas verilerin okunabildiğini de doğruladı.
Açığın bulunmasında yapay zekanın rolü ne oldu?
Wiz.io'nun aktardığına göre, söz konusu kod on yıldan uzun süredir PHP içinde yer alıyordu ancak bu açıkları çalışan bir istismara dönüştürmek, birden fazla hatanın zincirlenmesini ve PHP'nin bellek ayırma biçimine göre sürekli test ve hata ayıklama yapılmasını gerektiriyordu. Araştırmacılar, bu süreçte "frontier" yapay zeka modellerinin kritik rol oynadığını ve birden fazla uygulamada çalışan istismarları saatler içinde geliştirip uyarlamalarını sağladığını belirtti. Wiz Research, bu açığın 2014'teki Heartbleed ve 2021'deki Log4Shell gibi yapay zeka çağı için bir dönüm noktası olabileceğini değerlendirdi.
Wiz Research, açığın keşfi, koordinasyonu ve yamanın doğrulanması sürecinde PHP ekibi, Calif ve OpenAI'a; yama uygulanamayan kullanıcılar için geçici önlem rehberleri hazırlanmasında ise Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft ve Vercel'e teşekkür etti. Şirket, etkilenen sistemlerde yamanın gecikmeden uygulanmasını önerdi.
Kaynak: wiz.io
