İnsanların Çözemediği Eski PHP Açığını Yapay Zeka Silaha Dönüştürdü

İnsanların bıraktığı saldırı zincirini modeller nasıl kurdu?

Yıllardır bilinen ancak pratikte çalıştırılması imkansız görülen bellek açıkları, modellerin karmaşık örüntüleri hızla birleştirmesi sayesinde remote code execution seviyesine taşındı.

Yazılım geliştiriciler PHP çekirdeğindeki bu sıra dışı davranışların varlığından uzun süredir haberdardı. Hata ihmal edildiği için değil, insan araştırmacıların teknik bir duvara çarpması yüzünden bekletiliyordu. Sorunu güvenilir bir uzaktan kod yürütme (RCE) aracına çevirmek için gereken adımlar elle inşa edilemeyecek kadar dolambaçlıydı.

Calif adlı siber güvenlik şirketindeki araştırmacılar OpenAI'ın Patch the Planet programı kapsamında konuyu yeniden ele alınca tablo değişti. İnsan uzmanlığı ile derin mimari analizi birleştiren ekip, teorik problemi PHP2Shell adı verilen işlevsel bir saldırı zincirine çevirdi. Kısa süre sonra OpenAI ve Wiz ekipleri de benzer iş akışlarıyla bu istismarı bağımsız olarak tekrarladı.

Bu kırılma, tek bir saldırganın yapay zeka ajanlarıyla 100 şirketi hacklediği olaydaki gibi saldırı dünyasının ne kadar hızlandığını gösteriyor. Modeller kendi kendine hack yapmıyor; ancak gözden kaçan onlarca mikro davranışı dakikalar içinde işe yarar bir saldırı zincirine bağlayabiliyor.

Milyonlarca saldırı dalgası ve savunma duvarı

Açığın yaması yayımlandığı anda saldırganların ne kadar organize hareket ettiği bir kez daha görüldü. Cloudflare verilerine göre, güvenlik açığının detayları netleşir netleşmez milyonlarca otomatik saldırı denemesi başladı.

Trafiğin devasa boyutuna rağmen kitlesel bir sunucu çöküşü yaşanmadı. PHP Foundation, PHP2Shell kaynaklı doğrulanmış herhangi bir yetkisiz erişim tespit edilmediğini bildirdi. Yeraltı forumlarında dolaşan hazır betiklerin büyük kısmı, sunucu konfigürasyonlarını hesaba katmayan amatörce hazırlanmış denemelerden ibaret kaldı.

Bu saldırı dalgası şimdilik hasarsız atlatılmış olsa da web ekosisteminin zafiyetini hatırlattı. Tıpkı daha önce internetin yüzde 40'ını tehlikeye atan PHP açığı gibi, PHP'nin yaygınlığı en ufak bir teorik hatanın bile küresel bir kriz tatbikatına dönüşmesine yol açıyor.

Otomatik sıfır gün miti gerçeği yansıtıyor mu?

Sektör uzmanları, modellerin somut bir saldırı aracı geliştirebilmesi için üst düzey insan yönlendirmesine muhtaç olduğunu vurguluyor.

Yaşananlar, onlarca yıllık açık kaynaklı yazılım mirasının otomatik taramalar karşısında savunmasız kalacağı endişesini tazeledi. Depolarda, modern derleyici güvenlikleri icat edilmeden önce yazılmış milyonlarca satır C ve PHP kodu bekliyor.

Buna karşın uzmanlar felaket senaryolarına mesafeli yaklaşıyor. Calif araştırmacısı Ryan Austin, hiçbir modelin sadece bir kaynak kod deposunu okuyup doğrudan çalışan exploit kodları üretemediğini belirtti. PHP2Shell'i ortaya çıkaranlar PHP çalışma ortamının (runtime) en derin dinamiklerini bilen uzmanlardı; yazılımlar sadece analitik bir çarpan görevi gördü.

Web motorları gibi doğrudan dış dünyaya açık yazılımlar dışında, internetten doğrudan tetiklenebilen böylesi kritik eski hataların sayısı sanıldığı kadar çok değil.

Türkiye'de durum ne?

Türkiye'deki web altyapısının büyük bölümü e-ticaret sitelerinden kamu portallarına kadar PHP tabanlı sistemler üzerinde çalışıyor. Resmi güvenlik yamaları PHP Foundation tarafından doğrudan Linux dağıtım depolarına ve paket yöneticilerine iletildi.

Yerel hosting firmaları, veri merkezleri ve sistem yöneticilerinin sunucularındaki PHP sürümlerini bekletmeden güncellemeleri veya Web Uygulama Güvenlik Duvarı (WAF) kurallarını devreye alarak şüpheli istekleri engellemeleri gerekiyor.

PHP2Shell olayı, yeni analitik araçların sıfırdan zafiyet icat etmek yerine, insanların çözmekten vazgeçtiği karmaşık teknik düğümleri nasıl tek tek çözmeye başladığını açıkça ortaya koyuyor.