Güncellendi 23.10.2026.
Güvenlik araştırmacıları, web sunucularında uzaktan kod yürütülmesine (RCE) izin verebilecek iki kritik PHP zafiyeti keşfetti. Araştırmada yapay zeka önemli bir rol oynayarak kusurların tespit edilmesine ve ciddiyetinin gösterilmesine yardımcı oldu. Dünyanın birçok yerinde onlarca şirket ve devlet hizmeti, güvenlik yamaları uygulanırken web sitelerini geçici olarak erişime kapattı. Bu sırada Cloudflare, zafiyetleri istismar etmeye yönelik milyonlarca deneme kaydetti ve bu sayının artması muhtemel görünüyor.
Cloudflare milyonlarca saldırı denemesi kaydederken, birçok ülkede onlarca web sitesi erişime kapatıldı
21.10.2026 tarihinde, bazı ülkelerde hükümet web siteleri ve çevrimiçi hizmetler acil önlem olarak kapatılmaya başlandı. Sebep, dünya çapında yaklaşık %70 oranında kullanılan bir programlama dili olan PHP'te tespit edilen iki kritik zafiyetti. CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan ve topluca PHP2Shell zafiyeti olarak anılan bu kusurlar, belirli koşullar altında saldırganların sunucularda kötü amaçlı kodu uzaktan çalıştırmasına imkan verebiliyordu.
Hollanda'da devletin e‑hizmet portalları geçici olarak kullanılamaz hale gelirken, Finlandiya'da birkaç devlet kurumu hizmeti de etkilendi. Benzer önlemler Fransa, Almanya, Belçika ve diğer ülkelerde de alındı. Kapatmalar, hastanelere, eğitim kurumlarına ve özel şirketlere ait web sitelerini de etkiledi.
Kuruluşlar, güvenlik güncellemeleri kurulana kadar web sitelerini potansiyel saldırılardan korumak amacıyla erişimi kısıtladı. Endişeleri haklıydı: siber suçlular, zafiyetler halka açıklanmadan önce bile bunları istismar etmeye başlamıştı. Resmî duyurudan on saat önce Cloudflare birkaç bin sömürü denemesi kaydetmişti. Kamuya açıklamanın ardından kötü amaçlı etkinlik hızla arttı. İlk 45 dakikada denemeler onbinlere ulaştı; iki saat sonra yüzbinleri aştı. 22.10.2026 itibarıyla milyonlarca sömürü denemesi kaydedilmişti.
Tehlikeli web sitelerinden korunma yolları
Siber suçlular, bu tür zafiyetleri kullanarak siteleri ele geçirebilir ve kötü amaçlı yazılımlar yayabilir. Kaspersky Premium, tehlikeli web sitelerini ve kötü amaçlı indirmeleri engelleyerek cihazlarınızı ve kişisel verilerinizi korumaya yardımcı olur.
Kaspersky Premium'u ücretsiz deneyinAI, 2024'te ilk kez tespit edilen bir PHP zafiyetinin ciddiyetini göstermede yardımcı oldu
PHP geliştiricileri ilk olarak 2024'te zafiyetin izlerine rastlamışlardı. Bağımsız bir güvenlik denetimi sonrasında araştırmacılar bir bellek yönetimi sorunu tespit etti ve bunun potansiyel olarak sömürülebileceğini düşündü. Ancak o dönemde bu zafiyetin uzaktan kod yürütmeye yol açıp açmayacağını kanıtlayamadılar. Sorunun düzeltilmesi, değişikliklerin PHP'ün diğer bileşenlerle uyumluluğunu bozma riski nedeniyle ertelendi ve küçük geliştirme ekibi bu karmaşık sorunu çözmek için yeterli kaynağa sahip değildi.
Durum, 2026 yazında yapay zekânın soruşturmaya dahil edilmesiyle değişti. 11.08.2026'da Kaliforniya'dan bir araştırmacı, GPT-5.6 Sol modelini kullanarak doğruladı ki zafiyet, yetkilendirme gerektirmeden bir sunucuda uzaktan kod yürütmeyi mümkün kılabiliyordu. Araştırmacı bulguları PHP geliştiricilerine bildirdi. Aynı gün OpenAI de bağımsız olarak aynı sorunu raporladı. Daha sonra Wiz araştırmacıları, Gemini 4 Argon da dahil olmak üzere birkaç AI aracını kullanarak kendi bulgularını sunuldu. Bu AI modelleri, kaynak kodunu analiz etmekte, PoC (kanıt kavramı) saldırı senaryoları geliştirmekte ve olası düzeltmeleri test etmekte araştırmacılara yardımcı oldu.
Araştırmacılar zafiyetlerin ciddiyetini gösterdikten sonra, bunları gidermek PHP Vakfı için öncelik haline geldi. 21.10.2026'da PHP bakımcıları 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Her iki zafiyet de 10 üzerinden 9,2 olarak derecelendirildi ve bu sürümlerde giderildi.
Yapay zekâ çağında web sitelerinizi nasıl korursunuz?
Yapay zeka, güvenlik araştırmacılarının yıllardır fark edilmemiş yazılım zafiyetlerini daha hızlı tespit etmesine yardımcı oluyor. Örneğin 2026 yılının ikinci çeyreğinde yaklaşık 2.700 kritik zafiyet dünya çapında keşfedildi, bu da geçen yılın aynı dönemine göre %34 artış anlamına geliyor. Uzmanlar bu artışın bir kısmını, büyük hacimli kaynak kodunu daha verimli analiz edebilen AI kullanımının yaygınlaşmasına bağlıyor.
Ancak, siber suçlular da yeni keşfedilen zafiyetleri araştırmak ve saldırı yöntemleri geliştirmek için AI kullanabiliyor. Sonuç olarak, bir zafiyetin kamuya açıklanması ile ilk sömürü denemeleri arasında kuruluşların reaksiyon süresi giderek kısalıyor.
Web sitesi güvenliğini artırmak için site sahipleri ve sunucu yöneticileri şu adımları izlemelidir:
- Güvenlik duyurularını takip edin ve güncellemeleri hemen kurun. Kritik bir zafiyet açıklandığında, ilgili güvenlik yamasını mümkün olan en kısa sürede uygulamak hayati önem taşır. PHP2Shell için site sahipleri PHP'ü güvenli bir sürüme yükseltmelidir. Hemen güncelleme yapılamıyorsa, savunmasız hizmete genel ağ erişimini geçici olarak kısıtlayın.
- Sömürü denemelerine karşı siteleri koruyun. Web uygulaması güvenlik duvarları (WAFs) gelen istekleri analiz ederek kötü amaçlı trafiği engellemelidir. Örneğin, Kaspersky'nin WAF makine öğrenimi ve filtreleme kurallarını kullanarak şüpheli istekleri, web uygulama kodundaki zafiyetleri istismar etmeye yönelik denemeler dahil, tespit eder. Bu koruma, yöneticiler yamaları dağıtırken saldırı riskini azaltmaya yardımcı olur.
- Sunucu güvenliğini ve yazılım sürümlerini izleyin. Kurulu yazılımların, nadiren kullanılan uygulamalar da dahil olmak üzere sürümlerini düzenli olarak kontrol edin. Bu, önemli güvenlik güncellemelerinin kaçırılmış olabileceği sistemleri tespit etmeye yardımcı olur.
İlgili makaleler:
- Sıfırıncı gün saldırısı nedir? Tanımı ve açıklama
- Yapay zeka ve makine öğrenimi siber güvenlikte geleceği nasıl şekillendiriyor
- Web tehditleri nelerdir?
Önerilen ürünler:
