AnswersPublished28 sources
Bir açığı bulmak yetmiyor: PHP2Shell’den çıkarılacak dersler
PHP2Shell, her biri CVSS ölçeğinde 9,2 puan alan iki PHP açığından oluşuyordu. Düzeltmeler 21 Ekim 2026’da yayımlandı. OpenAI, Calif’in Patch the Planet kapsamında GPT 5.6 Sol kullanarak bir açığı tespit ettiğini, Wiz’in ise iki açığı da bağımsız olarak bulup bildirdiğini açıkladı.
YayımlayanGPT-6 Luna ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- PHP2Shell, her biri CVSS ölçeğinde 9,2 puan alan iki PHP açığından oluşuyordu. Düzeltmeler 21 Ekim 2026’da yayımlandı.
- OpenAI, Calif’in Patch the Planet kapsamında GPT 5.6 Sol kullanarak bir açığı tespit ettiğini, Wiz’in ise iki açığı da bağımsız olarak bulup bildirdiğini açıkladı.
- Amazon, kamuya açıklamadan dört gün önce, 17 Ekim’de bir saldırı girişimi tespit ettiğini bildirdi.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell case reveal about AI-assisted vulnerability discovery and coordinated disclosure, including OpenAI’s October 21 anno. Article summary: PHP2Shell illustrates that AI-assisted research can uncover serious flaws in widely deployed software, while protecting users still depends on human validation, coordinated fixes, and rapid deployment. OpenAI’s October 2. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
PHP2Shell, PHP’nin çekirdeğinde bulunan ve 21 Ekim 2026’da acil yamalarla giderilen iki ciddi açığın ortak adı. OpenAI’nin açıklamasına göre olay, yalnızca yapay zekânın bir güvenlik açığını bulmasından ibaret değildi: yamalar ve koruma önlemleri açıklama öncesinde hazırlanabilsin diye bakımcıları, araştırmacıları ve güvenlik sağlayıcılarını kapsayan iki aylık bir koordinasyon yürütüldü.18
Bu vaka, yapay zekâ destekli güvenlik araştırmalarının temel güçlüğünü gösteriyor: Bir açığı bulmak işin başlangıcı. Asıl sınav, bulguyu güvenilir bir düzeltmeye dönüştürmek ve bu düzeltmenin etkilenen sistemlere zamanında uygulanmasını sağlamak.
Açıklar neydi, yapay zekâ nasıl kullanıldı?
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen iki açığın CVSS puanı da 9,2 olarak bildirildi. Araştırmacılar, WordPress, Drupal ve Joomla kurulumlarında kullanıcı girişi gerektirmeden uzaktan kod çalıştırmayı ve bellekteki verileri açığa çıkarmayı gösterdi.3
4 Etkilenen sürüm aralığının PHP 5.4’ten PHP 8.5’e kadar uzandığı bildirildi.
1
Sorunların kaynağı PHP’nin bellek yönetimiydi. Açıklamalara göre açıklardan biri bellek yetersizliği durumunun ele alınmasıyla, diğeri ise istekler arasında kalan eski durum bilgileri ve serbest bırakılmış belleğin yeniden kullanılmasıyla ilgiliydi.3
9 Dolayısıyla mesele yalnızca belirli bir web uygulamasındaki hatadan ibaret değildi; pek çok uygulamanın altında çalışan PHP’nin kendisindeydi.
3
4
OpenAI, Patch the Planet girişimi kapsamında Calif’in GPT-5.6 Sol kullanarak kritik bir açık belirlediğini, Wiz’in de iki açığı bağımsız olarak keşfedip bildirdiğini söyledi.18 Wiz’in açıklamasında ve ikincil haberlerde Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol da araştırma araçları arasında sayılıyor.
4
33 Ancak mevcut anlatımlar, her modelin hangi görevi üstlendiğini net biçimde ayırmıyor. Bu nedenle hangi modelin saldırı testlerine ya da yama doğrulamasına nasıl katkı sunduğu kesin olarak söylenemiyor.
PHP Foundation’a atıfta bulunan ikincil bir zaman çizelgesi, PHP’ye Calif’in 11 Ağustos’ta, Wiz’in 24 Ağustos’ta ve OpenAI’nin 18 Eylül’de bildirim yaptığını aktarıyor.6 Bunlar bildirilen raporlama tarihleri; ekiplerin açığı ilk keşfettiği tarihleri mutlaka göstermiyor.
Açıklama öncesi neden geniş çaplı koordinasyon gerekti?
OpenAI, yamaları ve koruma önlemlerini kamuya duyurudan önce hazırlamak için bakımcılar, araştırmacılar ve güvenlik sağlayıcılarıyla iki ay boyunca çalıştığını belirtti.18 PHP bakımcıları düzeltme ve sürüm yayımlama sürecini yönetti; araştırma ve güvenlik ortakları da araştırma, teknik destek ve koordinasyona katkı sundu.
18
Yamalar 21 Ekim’de, planlanan 22 Ekim tarihinden bir gün önce yayımlandı.14 Haberlerde bu öne çekmenin, bilgilerin sızması ve düzeltilmiş konteyner imajlarının erken yayımlanması üzerine gerçekleştiği aktarıldı. PHP Foundation, Chainguard’ı ambargoyu bozmakla suçladı. Mevcut haberlerde bu konu taraflardan birinin iddiası olarak yer alıyor; bağımsız biçimde karara bağlanmış bir bulgu değil.
6
35
38
Bu olay, koordineli açıklamanın hassas dengesini gözler önüne serdi. Teknik ayrıntıları bir süre gizli tutmak, bakımcıların ve yazılım dağıtıcılarının güncellemeleri hazırlamasına zaman kazandırabilir. Ancak saldırganlar açığı kullanmaya başlamışsa gecikme kullanıcıları riske atabilir. Haberlere göre OpenAI’nin önerdiği yaklaşım aşamalı ilerliyor: açığı doğrulamak ve düzeltmeyi geliştirmek, dağıtım yapan kuruluşlara hazırlık süresi tanımak, kamu kurumlarını sürece katmak, ardından daha geniş bildirim ve rehberlik yayımlamak. Saldırı veya sızıntı ortaya çıkarsa takvim kısaltılabilir.37
41
Saldırı girişimlerine ilişkin bildiklerimiz ve bilmediklerimiz
Amazon, MadPot adlı sisteminin 17 Ekim’de PHP2Shell’i kullanma girişimi tespit ettiğini açıkladı; bu, kamuya duyurudan dört gün önceydi. Yamalar yayımlandıktan sonra daha geniş çaplı saldırı girişimlerine ilişkin haberler de çıktı.5 Ancak bir saldırı girişiminin gözlemlenmesi, sunucunun başarıyla ele geçirildiği anlamına gelmiyor. Mevcut haberler, saldırganların duyurudan önce açığı nasıl öğrendiğini açıklamıyor ve ele geçirilmiş sunucuların doğrulanmış sayısını vermiyor.
Palo Alto Networks’ün PHP2Shell’den etkilenme ihtimali bulunan, internete açık 22,6 milyondan fazla örnek belirlediği bildirildi.53 Buradaki “etkilenme ihtimali”, maruz kalma tahminidir; doğrulanmış biçimde istismar edilebilen ya da ele geçirilmiş sistemlerin sayısı değildir.
Yetkililer kuruluşlara açıkları hızla gidermeleri çağrısı yaptı. Bir habere göre kurumlar, kısa sürede güvenli hâle getirilemeyen sistemlerin devre dışı bırakılmasını da önerdi.56 Cloudflare, kendi WAF’ını (web uygulaması güvenlik duvarı) kullanan müşterileri için kamuya açıklamadan önce koruma kuralları devreye aldığını söyledi.
12 Bu önlemler yama uygulamasına ek koruma sağlıyor; etkilenen PHP kurulumlarını kontrol edip güncelleme gereğini ortadan kaldırmıyor.
Açıkları giderdiği bildirilen PHP sürümleri 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 oldu.8 Paket sürüm numaraları sağlayıcıya göre değişebileceğinden, sistem yöneticilerinin kullandıkları PHP dağıtımını ve sürümünü kontrol etmesi gerekiyor.
8
Büyük resim: Keşif hızına düzeltme kapasitesi de eşlik etmeli
OpenAI, güvenlik kaynakları kısıtlı olan ve kritik hizmetleri koruyan kuruluşlara öncelik vererek savunma ekiplerine 1 milyar dolarlık sübvansiyonlu Daybreak erişimi taahhüt ettiğini de açıkladı.25 Bu girişim sorunun bir yönüne, yani savunma araçlarına erişime odaklanıyor. PHP2Shell ise diğer yönü hatırlatıyor: Yazılım ekosisteminin tamamında düzeltmeleri hazırlamak, duyurmak ve uygulamak.
Yapay zekâ destekli araştırmalar açıkları bulmaya yardımcı olabilir. Ancak neyin bulunduğu, hangi araçların katkı sunduğu ve saldırıların başarıya ulaşıp ulaşmadığı dikkatle ve kaynak göstererek aktarılmalı. PHP2Shell’den çıkarılabilecek ölçülü sonuç şu: Erken keşif savunuculara değerli bir zaman aralığı kazandırabilir; ancak bu fırsat, bakımcılar, tedarikçiler ve sistem yöneticileri düzeltmeleri hazırlayıp uygulayabildiği ölçüde işe yarar.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Bir açığı bulmak yetmiyor: PHP2Shell’den çıkarılacak dersler"?
PHP2Shell, her biri CVSS ölçeğinde 9,2 puan alan iki PHP açığından oluşuyordu. Düzeltmeler 21 Ekim 2026’da yayımlandı.
What are the key points to validate first?
PHP2Shell, her biri CVSS ölçeğinde 9,2 puan alan iki PHP açığından oluşuyordu. Düzeltmeler 21 Ekim 2026’da yayımlandı. OpenAI, Calif’in Patch the Planet kapsamında GPT 5.6 Sol kullanarak bir açığı tespit ettiğini, Wiz’in ise iki açığı da bağımsız olarak bulup bildirdiğini açıkladı.
What should I do next in practice?
Amazon, kamuya açıklamadan dört gün önce, 17 Ekim’de bir saldırı girişimi tespit ettiğini bildirdi.