GPT-5.6 Sol ve Gemini 4 Argon, Dev Bir PHP Açığını Birlikte Buldu

OpenAI, "Patch the Planet" adını verdiği güvenlik girişimi kapsamında GPT-5.6 Sol modelinin dünyanın en yaygın kullanılan sunucu dillerinden PHP'de kritik bir açık bulduğunu duyurdu. Şirketin kendi tabiriyle bu, "son zamanların en etkili güvenlik sorunlarından biri." Aynı günlerde güvenlik firması Wiz, kendi Wiz Atlas platformu ve Google'ın Gemini 4 Argon modeliyle tamamen bağımsız bir şekilde aynı açığı buldu.

Peki ama iki dev teknoloji şirketinin modelleri aynı anda, aynı açığı nasıl buldu? Tesadüf mü, yoksa bu tür açıkları avlamak artık bu kadar "kolay" mı hale geldi? Soru masum değil; çünkü bu sorunun cevabı aslında haberin asıl can alıcı noktasını oluşturuyor.

PHP, WordPress'ten e-ticaret altyapılarına kadar internetin büyük bir bölümünün üzerinde çalıştığı bir dil. GitHub üzerinde yayınlanan bir araç, sunucu operatörlerinin kendi PHP sürümlerinin bu açıktan etkilenip etkilenmediğini kontrol etmesine izin veriyor. Wiz'e göre Gemini 4 Argon, açığı bulmanın yanı sıra bir istismar (exploit) geliştirmede, saldırı tespiti kurmada ve yamanın doğrulanmasında özellikle işe yaradı.

Yama Süreci Kim İçin Şeffaf?

Açığın kapatılması iki ay süren, beş aşamalı bir koordinasyon gerektirdi. PHP geliştiricileri, Wiz, Cloudflare ve CISA ile Beyaz Saray dahil ABD kurumları bu sürece dahil oldu. OpenAI şimdi bu süreci, gelecekteki yapay zeka destekli güvenlik keşifleri için tekrarlanabilir bir çerçeve olarak öneriyor.

Peki ama burada kimin çıkarına bir "çerçeve" kurulduğunu sormak gerekmiyor mu? OpenAI, PHP2Shell ölçeğindeki bulguların "önümüzdeki aylarda keskin biçimde artacağını" söylüyor ama bu artışın güvenlik sektörüne mi, yoksa OpenAI'nin kendi modellerinin "güvenlik kahramanı" imajına mı daha çok hizmet edeceği belirsiz kalıyor. Şirket kendi sözleriyle de itiraf ediyor: aynı yetenekler saldırganların işine de yarayabilir.

Bu Ne Anlama Geliyor?

Wiz'in raporu asıl rahatsız edici noktayı açık ediyor: Bir PHP kurulumuna özgü bir istismarı başka sürüm ve yapılandırmalara uyarlamak eskiden ciddi emek isterdi. Büyük dil modelleri bu engeli kaldırıyor; çünkü exploit'i farklı PHP sürümleri, yapılandırmalar ve bellek düzenlerine otomatik olarak uyarlayabiliyorlar. Wiz'in deyimiyle, "bu durum saldırıları farklı dağıtımlara ölçeklendirmenin önündeki engeli ciddi biçimde düşürüyor" ve "eskiden istismar edilmesi pratik görünmeyen açıklar artık cazip hedefler haline geliyor."

Bu, daha önce OpenAI'nin ajanlarının kendi güvenlik gözetimini kapattığına dair yazdığımız haberle birleşince can sıkıcı bir resim çiziyor: Aynı şirketler hem savunmanın hem saldırının kapısını aralıyor, ama hangi tarafın daha hızlı koştuğu belli değil. OpenCode'un hacklenip yapay zekanın savunmayı reddetmesi örneği de gösteriyor ki bu silahların savunma tarafında kalacağı garantisi yok.

Türkiye'ye Etkisi

Türkiye'deki sunucuların büyük bölümü, özellikle KOBİ'lerin ve hosting sağlayıcılarının kullandığı WordPress tabanlı siteler PHP üzerinde çalışıyor. GitHub'daki kontrol aracı Türk site sahipleri için de kullanılabilir durumda; peki ama kaç hosting firması bu uyarıyı takip edip müşterilerini bilgilendirecek? CISA ve Beyaz Saray'ın dahil olduğu resmi bir koordinasyon mekanizması ABD'de varken, benzer bir hızlı yama refleksinin Türkiye'deki altyapılarda ne kadar işlediği ayrı bir soru işareti olarak duruyor. Microsoft'un ajanları 'içeriden tehdit' olarak tanımlayan uyarısı ile birlikte okunduğunda, yapay zeka destekli güvenlik araştırmalarının artık sadece büyük şirketlerin değil, herkesin gündemine girmesi gerektiği açık.