Birlikte PHP2Shell olarak bilinen ve CVE-2026-109618 ile CVE-2026-109619 olarak izlenen açıkların her biri 9,2 önem derecesine sahip ve PHP'nin belleği yönetme biçiminden kaynaklanıyor.
Kimlik doğrulaması yapmamış bir saldırganın savunmasız bir sunucuda zararlı kod çalıştırmasına ya da bellekten parolalar, belirteçler ve API anahtarları dahil hassas verileri okumasına yol açabiliyor.
OpenAI, yanıt sürecinde bakımcılardan, araştırmacılardan ve güvenlik sağlayıcılarından oluşan bir koalisyona liderlik ettiğini söylüyor.
Şirkete göre açıkları güvenlik firması Calif, OpenAI'ın GPT-5.6 Sol modelini kullanarak buldu; Wiz ise aynı açıkları bağımsız olarak buldu ve bildirdi.
Sorun PHP'nin çekirdek motorunda olduğundan, basit bir "Hello World" uygulaması bile, kendi kodu ne kadar özenle yazılmış olursa olsun savunmasız olabiliyor.
Amazon Web Services'e göre, saldırganları çekmek için kurulan bir tuzak sistem (honeypot), düzeltmeler kamuya açıklanmadan dört gün önce, 17 Ekim'de bir istismar girişimi kaydetti.
AWS güvenlik sorumlusu CJ Moses açıkların artık "doğada geniş çapta istismar edildiğini" söylüyor; ancak saldırganın ambargo sürecinde ayrıntılara nasıl eriştiği ya da girişimlerin gerçek sistemlerde işe yarayıp yaramayacağı belirsiz.
Cloudflare CEO'su Matthew Prince, girişimlerin duyurunun ardından binlerden milyonlara çıktığını söylüyor.
Birçok site önlem olarak erişime kapandı.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi ile ABD Ulusal Güvenlik Ajansı (NSA) sistem işletmecilerini güncelleme yapmaya çağırdı; NSA, hemen yama uygulanamayan sistemlerin çevrimdışı bırakılmasını önerdi.
Wikipedia bazı sistemlerini çevrimdışı aldı; BBC, Hollanda Parlamentosu ve çeşitli hükümetlerin siteleri ile İrlandalı perakendeci Woodie's, the Journal ve Finlandiya hükümetinin tapu kayıtları da erişime kapandı.
Bunlardan herhangi birinin ele geçirilip geçirilmediği henüz net değil.
Wiz, açıkların on yıldan uzun süredir var olduğunu ve yapay zekâ modellerinin birkaç hatayı zincirleyerek çalışan istismarlara dönüştürmeyi ve bunları farklı hedeflere saatler içinde uyarlamayı mümkün kıldığını söylüyor; şirkete göre bu iş bir zamanlar dünya çapında bir ekibin aylarını alıyordu. Wiz, PHP yamasının yamalı sürümde temel sorunu giderdiğini; Cloudflare, AWS, Google ve Microsoft'un da hemen güncelleme yapamayanlar için hafifletici önlemlerin hazırlanmasına yardım ettiğini belirtiyor. Ayrıca GitLab, kendi yönettiği sunucularda kod çalıştırılmasına izin verebilecek, azami önem derecesi olan 10,0'lık bir açık için 21 Ekim'de düzeltmeler yayımladı; açık için geçici çözüm yok ve bildirilmiş bir saldırı da bulunmuyor. curl projesi ise bir "çığ" gibi gelen bildirimleri gerekçe göstererek 26 Ekim'den itibaren düşük ve orta önem dereceli bildirimleri herkese açık biçimde ele almaya başlayacak.