Yeni PHP açığı için çalışan bir istismar kodu henüz üretilemedi
Öne çıkanlar
- GitHub üzerinde paylaşılan binlerce istismar kodu standart PHP kurulumlarında çalışmadı.
- Büyük dil modelleri istismar üretirken hedef sunucuya LFI gibi ek zafiyetler şart koşarak geliştiricileri yanılttı.
- Açığın istismarı Log4Shell veya Heartbleed gibi geçmiş kritik açıklara kıyasla çok daha yüksek teknik engeller içeriyor.
PHP ekosisteminde gündeme gelen yeni güvenlik açığı geniş çaplı panik yaratsa da güvenlik uzmanları standart sistemlerde çalışan bir istismar kodunun bulunmadığını açıkladı. Açığın duyurulmasının üzerinden saatler geçmesine rağmen GitHub üzerinde paylaşılan binlerce kavram kanıtlama (PoC) kodunun standart PHP kurulumlarında etkisiz kaldığı belirlendi. Uzmanlar, vakanın Log4Shell, Heartbleed veya Shellshock gibi hemen suistimal edilen tarihi güvenlik krizlerinden farklı olduğunu vurguladı.
Araştırmacılar, internette yayılan sahte veya işlevsiz istismar kodlarının arkasında yapay zeka modellerinin körü körüne kullanılmasının yattığına dikkat çekti. Geliştiricilerin Claude gibi büyük dil modellerine güvenerek istismar zincirleri kurmaya çalıştığı, ancak modellerin sunucuya ek açıklar ekleyerek yanıltıcı sonuçlar ürettiği tespit edildi. Paylaşılan sözde istismar araçlarının çoğunun çalışabilmek için sunucuda önceden yerel dosya dahil etme (LFI) gibi ağır zafiyetlerin bulunmasını şart koştuğu aktarıldı.
PHP çekirdek ekibinden bazı isimlerin yamanın çıkışından 15 dakika sonra saldırıların başlayacağı yönündeki uyarılarına rağmen somut bir saldırı dalgası görülmedi. Yapay zeka araçlarının karmaşık kullanım sonrası serbest bırakma (UAF) açıklarını otomatik olarak istismar edemediği, modellerin ürettiği benzer mantık hatalarının ise araştırmacılar arasında ortak bir yanılgıya yol açtığı kaydedildi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.