PHP Foundation, gecikmenin nedeninin yapısal bir hata olduğunu kabul etti

PHP Foundation, PHP programlama dilindeki iki kritik açıktan birinin giderilmesindeki gecikmenin "yapısal bir hata" olduğunu açıkladı. Reuters'ın The Standard aracılığıyla bildirdiğine göre, acil durum yamalarının yayınlanması ve dünya genelindeki hükümetlerin önlem olarak web sitelerini çevrimdışı hale getirmesinin ardından vakıf, Çarşamba günü, 21 Ekim'de bu itirafta bulundu. Vakfa göre, bir araştırmacı 2024 yılında açığın ilk işaretlerini buldu, ancak o sırada saldırı için somut bir yol bulunamadı ve daha net etkisi olan diğer sorunlara öncelik verildithestandard.com.hk.

Aylarca süren gecikme

LWN tarafından alıntılanan bir blog yazısında vakıf, güvenlik ekibinin birkaç rakip çözüm ürettiğini belirtti. Her birinin bir bedeli vardı: biri geriye dönük uyumluluğu bozuyordu, biri yeni bir hizmet reddi (DoS) riski yaratıyordu, diğeri ise birçok üçüncü taraf eklentide değişiklik gerektiriyordu. Ekip kararları fikir birliğiyle alıyordu ve "yanlış seçimi yapmanın sonuçlarından korkuyordu". Uzaktan kod yürütme yolu bilinmediğinden ve motoru iyi bilen az sayıdaki çekirdek geliştiricinin birçok başka görevi olduğundan, çalışma "aylarca defalarca durdu ve yeniden başladı". Vakıf, "Aksi bir iddiada bulunmayacağız: gecikme, hem güvenlik ekibinin karar alma süreci hem de kaynak eksikliği nedeniyle oluşan yapısal bir hataydı" dedilwn.net.

Sorun 11 Ağustos'ta tekrar aciliyet kazandı. Cointelegraph'ın bildirdiğine göre, o gün güvenlik firması Calif ve OpenAI bağımsız olarak aynı kök nedeni bildirdiler ve Calif, herhangi bir koşul olmaksızın uzaktan kod çalıştırabildiğini gösterdi. Vakıf, o zamandan beri güvenlik kararlarını fikir birliğinden çoğunluk oylamasına taşıdığını ve iki mühendis daha işe aldığını belirtti. The Next Web'in bildirdiğine göre, vakıf ayrıca PHP'ye güvenen şirketleri ve hükümetleri güvenlik çalışmalarının maliyetine katkıda bulunmaya çağırdı. Güvenlik açığı tanımlayıcıları çevrimiçi sızdırıldıktan sonra sürüm bir gün öne çekildi ve vakıf, Chainguard'ı koordineli sürümden önce yamalı görüntüleri yayınladığı için eleştirditradingview.com+1.

Web siteleri karardı

PHP2Shell olarak adlandırılan hatalar, CVE-2026-109618 ve CVE-2026-109619 olarak takip ediliyor. The Register'ın bildirdiğine göre, bu hatalar PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde giderildi ve web isteklerine hizmet veren her PHP kurulumu potansiyel olarak etkileniyor. Cybersecurity Dive'ın bildirdiğine göre, ABD, İngiltere, Kanada, Avustralya ve Avrupa Birliği'ndeki siber güvenlik ajansları, web sitesi operatörlerine güncellemeyi yapana kadar siteleri çevrimdışı yapmalarını söyledi. Güvenlik gazetecisi Brian Krebs, web sitelerinin neredeyse yüzde 70'inin güncellemeyi yapması gerektiğini tahmin ettitheregister.com+2.

Hollanda dijital kimlik hizmetini kapattı. Cointelegraph'ın bildirdiğine göre, Finlandiya'nın devlet BT sağlayıcısı Valtori kamu web hizmetlerinin bağlantısını kesti ve Fransa geçici olarak valilik web sitelerini çevrimdışı hale getirdi. Wikimedia Foundation da bazı destekleyici hizmetleri çevrimdışı yaptı. Coinbase ↗ 3.65%, savunmasız PHP örneği bulamadığını belirttitradingview.com.

Reuters'ın bildirdiğine göre, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), tavsiyesini yayınladığında "bu güvenlik açıklarının istismar edildiğini gözlemlemediğini" belirtti. Ancak ajans, "yamalanmadıkları takdirde kuruluşlar için risk oluşturdukları" konusunda uyardıthestandard.com.hk.