OpenAI, PHP güvenlik açığı tartışmasını değerlendirdi: iki ay boyunca gizlice koordine edildi, ancak forum tarafından erken sızdırıldı
Hareket Gözlem Beating AI hızlı haber, OpenAI, PHP güvenlik açığı fırtınasının arkasındaki iki ay süren gizli onarım operasyonunu değerlendiren bir yazı yayınladı. Güvenlik şirketi Calif, GPT-5.6 Sol sayesinde PHP'de ciddi bir güvenlik açığı keşfetti. Bir başka güvenlik şirketi Wiz de Gemini 4 Argon, GPT-5.6 Sol gibi modelleri kullanarak bağımsız olarak iki güvenlik açığı keşfedip bildirdi. Bu sorunlar PHP'nin alt katmanında on yıldan fazla süredir gizliydi; saldırganlar giriş yapmadan etkilenen web sitelerinin sunucularını kontrol edebilir, hatta şifreler gibi hassas bilgileri çalabilirdi.
PHP, WordPress, Drupal gibi çok sayıda web sitesini destekliyor. Geçtiğimiz iki ay boyunca OpenAI, PHP bakımcıları, Wiz, Cloudflare gibi kuruluşları koordine ederek gizlilik içinde yamalar ve savunma önlemleri hazırladı, ayrıca Beyaz Saray ve ABD siber güvenlik kurumlarıyla iletişim kurdu. Gerçek onarım PHP bakımcıları tarafından yönetildi ve yaklaşık 200 dosya, 10 binden fazla kod satırını kapsadı.
Başlangıçta güvenlik açığının 22 Ekim'de kamuya açıklanması planlanıyordu, ancak 20'sinde birinin Hacker News forumunda güvenlik açığı numarasını, ciddiyet derecesini ve açıklama zamanını erken sızdırması beklenmiyordu. PHP ekibi alarmı erken yayınlamak zorunda kaldı ve yama yayın tarihini bir gün öne çekti. Cloudflare ardından erken saldırı girişimlerinin gözlemlendiğini doğruladı; Hollanda, Finlandiya gibi ülkelerdeki bazı hükümet web siteleri de riskten kaçınmak için proaktif olarak çevrimdışı oldu. 21 Ekim'e kadar PHP resmi olarak düzeltme sürümünü yayınladı, ancak web sitelerinin hâlâ kendi kendilerine yükseltme yapması gerekiyor.
OpenAI bu erken keşif ve koordineli onarım süresini "savunucu penceresi" olarak adlandırıyor. Wiz'in araştırması, öncü AI modelleri sayesinde, normalde en üst düzey güvenlik ekiplerinin aylar süren geliştirmesini gerektiren karmaşık güvenlik açığı saldırı yöntemlerinin artık bir araştırmacı tarafından bir hafta içinde tamamlanabileceğini gösteriyor. AI, savunucuların yıllardır gizli kalan güvenlik sorunlarını bulmasını kolaylaştırırken, saldırganların bu güvenlik açıklarından yararlanma teknik eşiğini de büyük ölçüde düşürüyor.
