Bulut bilişim sağlayıcısı, açığa yönelik bir saldırı girişimini zafiyet kamuoyuna açıklanmadan dört gün önce tespit ettiğini söyledi.
PHP'nin geliştiricileri 21 Ekim 2026 Çarşamba günü yazılım güncellemelerini yayımladı.
ABD Ulusal Güvenlik Ajansı (NSA) da PHP kullanan tüm kuruluşları derhal güncelleme yapmaya veya etkilenen sistemleri çevrimdışı bırakmaya çağırdı.
NSA, açıklara "PHP2Shell" adını verdi.
Hatalar, işletim sistemi veya uygulama yapılandırmasından değil PHP'nin kendisinden kaynaklandığı için etkilenen bir sürümü çalıştıran her sunucu istismar edilebilir durumda.
Konunun önemi PHP'nin yaygınlığından geliyor. Hataların bulunmasına yardım eden, Alphabet'e ait güvenlik şirketi Wiz, dilin dünya genelindeki web sitelerinin yaklaşık yüzde 70'ine güç verdiğini tahmin ediyor; bunun bir nedeni de en yaygın web sitesi oluşturma platformu WordPress'in ağırlıklı olarak PHP ile yazılmış olması. NSA'ya göre bu açıklar, saldırganların önceden erişim veya kimlik doğrulama olmadan bir web sunucusunun denetimini ele geçirmesine olanak tanıyabilir; bu da hassas verilerin çalınmasına, hizmetlerin aksatılmasına veya bir ağın daha derinlerine ilerlenmesine yardımcı olabilir. Birleşik Krallık Ulusal Siber Güvenlik Merkezi de bir saldırganın parola veya başka bir kimlik bilgisi olmadan bir sitenin sunucusunu ele geçirebileceğini belirtti. Bildirildiğine göre bazı Avrupa hükümetleri yama uygularken sitelerini çevrimdışı bıraktı. Beyaz Saray ise federal kurumların olası etkiyi hükümet sistemleri ve kritik altyapı açısından değerlendirdiğini söyledi.
Hatalar on yıldan uzun süre fark edilmedi ve OpenAI ile Google'ın yapay zekâ modellerinin yardımıyla ortaya çıkarıldı. Keşfi Calif ve Wiz araştırmacıları yaptı; OpenAI ise PHP, Calif ve Wiz ile birlikte açıkları doğruladı ve yamaları geliştirdi. OpenAI, öncü yapay zekânın açıkları saldırganlardan önce bulduğuna inandığını, ancak aynı yeteneklerin saldırganların da hızla saldırı araçları ve istismar kodları geliştirmesine yardımcı olabileceği konusunda uyardığını belirtti. NSA, kuruluşlara savunmasız PHP sürümlerine dayanan sistemlerin envanterini çıkarmalarını, tedarikçi yamalarını uygulamalarını, gelişmiş günlük kaydı eklemelerini ve yama uygulanamayan, destek süresi dolmuş PHP hizmetlerini değiştirmelerini önerdi. Siber aktörlerin açıkları silaha dönüştürmesinin muhtemel olduğunu, bunları istismar etmeye çalışabilecek kötü niyetli aktörlerin belirlenmesine öncelik verdiklerini de ekledi. Rehberlik, PHP.net Güvenlik Duyurusu sayfasında mevcut.