Çarşamba günü, PHP adında onlarca yıllık bir açık kaynak web teknolojisi, araştırmacıların kısa süre önce bunları sömürmenin bir yolunu bulana kadar yıllarca uykuda kalan iki güvenlik açığı sayesinde neredeyse interneti çökertiyordu. Hatalara PHP2Shell adı verildi ve resmi olarak CVE-2026-109618 ile CVE-2026-109619 olarak belirlendi. Basitçe söylemek gerekirse, bu hatalar, bunları nasıl sömüreceğini bilen herkesin, bir web sitesi veya internete açık bir sunucu gibi PHP çalıştıran çevrimiçi bir sisteme, verilerine erişmek veya değiştirmek için parola gerekmeden sızmasına olanak tanıyor. Durumlar göz önüne alındığında, bu oldukça büyük bir olaydı ve dünya çapında milyonlarca insanı, kötü niyetli bilgisayar korsanları bunları kötüye kullanmadan önce sistemlerini yamalamak için acele ettirdi.

PHP web yazılımını sürdüren PHP Vakfı, Çarşamba günü hataları düzelten yamaları kamuya açık olarak yayınladı; bu yamalar kurulduğunda web'e açık sunucuların saldırıya uğramasını engelliyor. Vakıf, PHP'ye dayanan en büyük internet şirketlerinden ve web barındırıcılarından bazılarına yamalama konusunda önceden avantaj sağlamıştı. Haftalarca süren kulis konuşmaları ve sektör çapında dikkatli koordinasyon sayesinde dünya - şu ana kadar - büyük ölçüde kitlesel internet sömürüsünden kaçındı. Çarşamba gününden itibaren hükümetler, vatandaşları ve web sitesi olan şirketleri kendi taraflarındaki riskleri azaltmak için harekete geçmeye çağırmaya başladı. Çok çeşitli sektörler, sistemlerini yamalamak için web sitelerini kapattı ve hizmetleri çevrimdışına aldı. Bankalar, perakendeciler, oyun siteleri, çevrimiçi mağazalar, hastaneler ve bazı devlet kurumları saldırıları önlemek için sunucularını kapattı. Ancak güvenlik araştırmacıları durumun henüz bitmediği ve dünya çapında çok sayıda sistemin yamalanmamış ve hacklenme ile veri hırsızlığına karşı savunmasız kaldığı konusunda uyarıyor. Bunun aynı zamanda son büyük internet yazılımı korkusu olması da pek olası değil; bazıları yapay zekanın ortaya çıkışının, keşfedilmeyi ve kötüye kullanılmayı bekleyen henüz keşfedilmemiş güvenlik açıklarını hızla ortaya çıkaracağını bekliyor.

Calif'teki güvenlik araştırmacıları, dünya çapında web siteleri ve web uygulamaları oluşturmak için yaygın olarak kullanılan bir programlama dili olan PHP'de, hem internette hem de şirket ağlarında (intranetler ve dahili siteler gibi) yerel olarak barındırılan iki hata buldu. PHP açık kaynaklıdır, yani ücretsizdir ve neredeyse herhangi bir nedenle herkes tarafından kullanılabilir. Bu nedenle, bugün web'de en popüler ve yaygın olarak kullanılan web programlama dillerinden biri haline geldi. İki hata ilk olarak 2024'te keşfedildi ancak o zaman sömürülebilir olarak görülmedi ve yamalanmadı. Güvenlik araştırmacıları kısa süre önce bunları sömürmenin bir yolunu buldu ve yazılımın üreticilerini bunları düzeltmeleri için uyardı. Calif, PHP Vakfı'nı uyardı ve vakıf, hataları düzeltme ve koordineli açıklama sürecine başladı. Vakıf bunu, büyük şirketlere düzeltmeleri yükleme konusunda öne geçme fırsatı vermek için güvenlik sorunlarıyla ilgili bilgi ve yamaları sıkı bir şekilde korunan bir ambargo altında - esasen belirli bir son tarihe kadar gizli tutarak - sunarak yaptı.

PHP2Shell oldukça ciddi çünkü internet üzerinden uzaktan kötüye kullanılabiliyor ve mağdurun bir bağlantıya tıklaması veya bir dosya açması gerekmiyor. Bu, uzaktan kod yürütme olarak bilinir ve sömürülmesi en zarar verici hata türlerinden biridir çünkü dünyanın herhangi bir yerindeki bir korsanın etkilenen ve yamalanmamış bir sistem üzerinde fiilen tam kontrol sağlamasına olanak tanır. Daha da kötüsü, bu belirli PHP hataları, internetteki herhangi bir yamalanmamış sisteme, parola veya internet üzerinden herhangi bir kimlik bilgisi gerekmeden (kimlik doğrulamasız erişim olarak bilinir) sızmayı mümkün kılıyor. Bu, kötü niyetli bir korsanın bilgisayara kötü amaçlı yazılım yerleştirmesine, örneğin veri çalmasına veya daha sonra geri dönebileceği uzun vadeli bir dayanak noktası sağlamasına olanak tanır.

Hatalar özellikle risklidir çünkü PHP son derece popüler bir yazılımdır; kısmen ücretsiz ve nispeten kullanımı kolay olduğu için, ama aynı zamanda onlarca yıldır var olduğu için. Web'e açık internetin yaklaşık %70'i PHP'ye dayanıyor, ancak kullanımı yıllar içinde daha yeni alternatifler lehine yavaş yavaş azalıyor.