Güvenlik ekiplerinin yapay zekâ destekli araştırmalarının ardından PHP'de iki kritik güvenlik açığı yamalandı.
Düzeltmeleri PHP Foundation yayımladı.
Ulusal Güvenlik Ajansı (NSA) ise 2004'teki PHP 5'ten bu yana her sürümde bulunan hataların saldırganların bir sunucunun dosya sistemine ya da bir web uygulamasının veritabanına erişmesine imkân tanıyabileceği uyarısında bulundu.
OpenAI, güvenlik şirketi Calif'in açıklardan birini şirketin Patch the Planet programı aracılığıyla GPT-5.6 Sol modeliyle bulduğunu söylüyor.
Google'ın Wiz ekibi ise ayrı olarak, Wiz Atlas güvenlik ajanını, Gemini 4 Argon'u ve GPT-5.6 Sol'u kullanarak birden fazla PHP açığı bildirdi.
OpenAI sorunu "PHP2SHELL" olarak adlandırdı ve gerçek ortamda herhangi bir istismar bildirilmediğini belirtiyor.
Bu nedenle birçok kuruluş hizmetlerini geçici olarak kapattı ya da bazı özellikleri kısıtladı.
Wikimedia destekleyici araçları çevrimdışı bıraktı ve bir Wikipedia kesintisinin bu sorunla bağlantılı olduğunu doğruladı.
4chan salt okunur moda geçti; Fur Affinity, Miraheze ve Pinboard ise önlem amaçlı kapatma yaptıklarını duyurdu.
Reuters, kapatılanlar arasında Hollanda hükümetine ait sitelerin bulunduğunu bildirdi; Finlandiya, Belçika, Fransa ve Almanya'daki kamu siteleri de önleyici olarak kapatıldı.
NSA, hemen yamalanamayan sitelerin çevrimdışı bırakılması gerektiğini söyledi.
Wiz, açıkların daha önce istismar edilmesinin çok zor olduğunu, ancak büyük dil modellerinin saldırganların istismar yöntemlerini farklı PHP sürümlerine ve yapılandırmalarına uyarlamasına yardımcı olabileceğini belirtti.
PHP 8.1 ve daha eski sürümler artık desteklenmediği için bu sürümleri kullanan sitelerin yükseltme yapması gerekiyor; önerilen hedef PHP 8.5.12.
WordPress, sorunun kendi yazılımına özgü olmadığını ve site sahiplerinin sunucularını barındırma sağlayıcılarıyla birlikte yamalaması gerektiğini açıkladı.
OpenAI, iki ay boyunca bakımcılardan, araştırmacılardan ve güvenlik şirketlerinden oluşan bir koalisyona liderlik ettiğini ve CISA dahil ABD kurumlarıyla çalıştığını söylüyor. Başkan Greg Brockman, hatanın 14 yıldır var olduğunu ve 22 Ekim için planlanan duyurunun, ayrıntıların sızması üzerine bir gün öne çekildiğini belirtti. Brockman, bu tür hataların ele alınmasına yönelik mevcut süreci "yavaş ve manuel" olarak niteledi ve yapay zekâ açık bulmada geliştikçe bu sürecin ölçeklenemeyeceğini söyledi. OpenAI, yeni bir koordinasyon süreci için geri bildirim topluyor; bunlardan biri, hükümetlerin ya da yetkili diğer savunucuların savunmasız sistemleri taraması, sahiplerini uyarması ve aşırı durumlarda yama uygulamasını öngörüyor. Şirket, temel hizmetleri koruyan kuruluşlara yönelik sübvanse edilmiş güvenlik araçları için 1 milyar dolar taahhüt etti ve savunmasız PHP sürümlerini denetleyen bir araç yayımlıyor. Gündelik kullanıcıların herhangi bir şey kurmasına gerek yok; çoğu kişi için etki geçici site kesintileri olmalı.