İnternet sitelerinin büyük bölümünde kullanılan PHP programlama dilinde tespit edilen iki kritik güvenlik açığı, dünya genelinde siber güvenlik alarmına yol açtı. Avrupa'da çok sayıda kamu kurumu, önlem amacıyla internet sitelerini geçici olarak erişime kapattı.
ABD, Avrupa Birliği, İngiltere, Japonya ve Avustralya'daki siber güvenlik kurumları, internet sitesi yöneticilerine sistemlerini acilen güncelleme çağrısında bulundu. Güvenlik açıkları nedeniyle Fransa, Hollanda, Almanya, Finlandiya ve Belçika'nın da aralarında bulunduğu ülkelerde çok sayıda kamu kurumu internet sitesini önlem amacıyla geçici olarak kapattı. PHP geliştiricileri, çarşamba günü iki güvenlik açığını gidermek için dört güncelleme yayımladı.
Fransa'da Paris Emniyet Müdürlüğü dahil bazı kamu kurumlarının internet siteleri erişime kapatılırken Hollanda'da ulusal dijital kimlik sistemi DigiD, Temsilciler Meclisi ve Ulusal Siber Güvenlik Merkezinin internet siteleri çevrimdışı bırakıldı. Rotterdam Limanı, bazı hastaneler ve siyasi partilerin internet siteleri de alınan önlemlerden etkilendi.
Finlandiya hükümeti kamuya açık internet hizmetlerini geçici olarak durdururken Almanya'da bazı federal hükümet siteleri kapatıldı. Belçika Dışişleri Bakanlığı da internet sitelerini önlem amacıyla erişime kapattığını duyurdu. Finlandiya ve Almanya'daki yetkililer, söz konusu önlemlerin doğrulanmış bir siber saldırı nedeniyle alınmadığını bildirdi. Wikipedia'nın bağlı olduğu Wikimedia Vakfı da güvenlik açıklarını gidermek için çalışmalar yürüttüğünü ve bazı sistemlerini geçici olarak kapattığını açıkladı.
Söz konusu güvenlik açıklarının büyük endişe yaratmasının nedeni, PHP'nin internet altyapısındaki yaygın kullanımı. İnternet teknolojilerini takip eden W3Techs verilerine göre PHP, kullanılan sunucu tarafı programlama dili belirlenebilen internet sitelerinin yaklaşık yüzde 70'inde yer alıyor. WordPress, Drupal, Joomla ve Magento gibi yaygın platformların altyapısında kullanılan PHP; haber sitelerinden çevrim içi mağazalara, kamu hizmetlerinden şirketlerin internet sitelerine kadar geniş bir alanda faaliyet gösteriyor. Ancak bu oran, internet sitelerinin yüzde 70'inin saldırıya uğradığı veya tamamının aynı ölçüde savunmasız olduğu anlamına gelmiyor.
Güvenlik açıklarının tehlike derecesi, uluslararası CVSS ölçeğinde 10 üzerinden 9,2 olarak değerlendirildi. Avrupa Birliği Siber Güvenlik Olaylarına Müdahale Ekibine (CERT-EU) göre açıklar, belirli koşullarda saldırganların kullanıcı hesabına veya şifreye ihtiyaç duymadan savunmasız sunucularda uzaktan kod çalıştırmasına olanak tanıyabiliyor. Bu durum, internet sitelerindeki verilerin çalınması, zararlı yazılım yüklenmesi, sayfaların değiştirilmesi veya sistemlerin tamamen ele geçirilmesi gibi riskler oluşturuyor. ABD Ulusal Güvenlik Ajansı (NSA), güvenlik açıklarının sunucuların dosya sistemlerine ve veri tabanlarına erişim sağlayabileceği uyarısında bulundu.
İnternet altyapı şirketi Cloudflare'ın teknoloji direktörü Dane Knecht, güvenlik açıklarından yararlanmaya yönelik ilk saldırı girişimlerinin görülmeye başlandığını açıkladı. Buna karşılık ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yayımladığı uyarı sırasında açıkların kötüye kullanıldığına ilişkin doğrulanmış bir gözlemleri bulunmadığını bildirdi.
Güvenlik açıklarının ortaya çıkarılmasında yapay zekâ modelleri önemli rol oynadı. Siber güvenlik şirketi Calif, OpenAI'ın GPT-5.6 Sol modelini kullanarak tespit ettiği ilk kritik açığı 11 Ağustos'ta PHP geliştiricilerine bildirdi. OpenAI da aynı gün aynı sorunun temel nedenini bağımsız olarak raporladı. Google bünyesindeki siber güvenlik şirketi Wiz ise 24 Ağustos'ta yapay zekâ desteğiyle başka saldırı yöntemlerini ve ikinci güvenlik açığını tespit etti. Wiz, bulguları PHP'de şimdiye kadar keşfedilen en ciddi güvenlik açıkları arasında değerlendirdi.
Araştırmacılara göre sorunların temelinde uzun yıllardır yazılımda bulunan hatalar yer alıyordu. Ancak bunların bilgisayar korsanları tarafından kullanılabileceğinin gösterilmesi, gelişmiş analizler gerektiriyordu. OpenAI, keşif sürecini son yılların en önemli siber güvenlik gelişmelerinden biri olarak nitelendirdi.
PHP'nin geliştirilmesini destekleyen PHP Foundation, güvenlik açıklarından birinin ilk işaretlerinin 2024 yılında fark edildiğini ancak o dönemde somut bir saldırı yönteminin ortaya konulamadığını açıkladı. Kuruluş, sorunun giderilmesindeki gecikmenin karar alma süreçlerinden ve kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlık olduğunu kabul etti. Güvenlik açıklarına ilişkin bazı bilgilerin 20 Ekim'de internete sızmasının ardından, başlangıçta 22 Ekim için planlanan güncellemenin yayımlanma tarihi bir gün öne çekildi.
