İnternet dünyasının temel taşı olan PHP programlama dilinde, siber güvenlik uzmanlarını tedirgin eden ciddi bir açık tespit edildi. Yapay zeka destekli analizlerle ortaya çıkan bu zafiyet, web sitelerinin yarısından fazlasını besleyen sistemde, saldırganların sunuculara doğrudan sızmasına ve zararlı kod çalıştırmasına olanak tanıyor. Bu durum, internet güvenliği açısından yeni bir dönemin başlangıcı olarak değerlendiriliyor.
Bu kritik güvenlik açığı, PHP’nin internet ekosistemindeki yaygın kullanımıyla daha da önem taşıyor. 1994 yılında Rasmus Lerdorf tarafından geliştirilen bu açık kaynaklı dil, günümüzde milyonlarca web sitesinin ve uygulamalarının temelini oluşturuyor. Sunucu tarafında (server-side) çalışan PHP, kullanıcıların web siteleriyle etkileşimini sağlayan karmaşık süreçlerde kritik bir rol oynuyor. Veri tabanlarından bilgi çekme, kullanıcı girişlerini doğrulama, e-ticaret sepetlerini yönetme gibi pek çok işlevi yerine getirerek, modern web deneyiminin temelini oluşturuyor. Ancak, bu yaygın kullanımın getirdiği riskler de göz ardı edilmemeli.
Siber güvenlik araştırmacıları, yapay zeka ve büyük dil modelleri (LLM) kullanarak PHP’nin kaynak kodunu detaylı bir şekilde inceledi. Bu inceleme sonucunda, yıllardır fark edilmemiş olan, bellek ve doğrulama hataları gibi kritik zafiyetler tespit edildi. Bu zafiyetler, saldırganların herhangi bir kimlik doğrulama veya şifreye ihtiyaç duymadan, hedefledikleri sunuculara sızmasına olanak tanıyor. Bu durum, özellikle WordPress gibi popüler platformları etkileme potansiyeli taşıyor ve milyonlarca web sitesinin güvenliğini ciddi şekilde tehdit ediyor. Keşfedilen güvenlik açığı, “tarihi” boyuta sahip; çünkü insan gözünün ve geleneksel statik kod analiz araçlarının (SAST) yıllarca yaptığı denetimlerden kaçmayı başardı.
Bu açığın en dikkat çekici yönü, yapay zekanın karmaşık kod tabanını analiz ederek zafiyetleri ortaya çıkarma yeteneği. Yapay zeka, kod tabanındaki çok ince mantık hatalarını ve bellek işleme kusurlarını bağlamsal olarak ilişkilendirerek, özel olarak hazırlanmış HTTP istekleriyle tetiklenebilen zafiyetleri gün yüzüne çıkardı. Bu zafiyetler, “Kimlik Doğrulamasız Uzaktan Kod Çalıştırma (Pre-Authentication Remote Code Execution – RCE)” kategorisine giriyor. Bu tür açıklarda saldırganın sisteme zarar verebilmesi için ne kadar yetkiye ihtiyacı olduğu belirlenir. Bu PHP zafiyetinde ise saldırganın hiçbir kullanıcı adına, şifreye, oturum çerezine (cookie) veya yönetici yetkisine ihtiyacı bulunmuyor. Bu durum, siber güvenliğe yeni bir boyut getiren ve internet güvenliği açısından ciddi bir tehdit oluşturuyor.