PHP Geliştiricileri ile Chainguard Arasında Kritik Güvenlik Açığı Krizi

PHP geliştiricileri, yazılım tedarik zinciri güvenliği üzerine çalışan Chainguard şirketini, açık kaynaklı kod tabanındaki kritik güvenlik açıklarını planlanan resmi duyuru tarihinden önce ifşa etmekle suçladı. CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen bu iki zafiyet, kimlik doğrulaması yapmamış saldırganların sunucularda kod çalıştırmasına olanak tanıyor.

PHP ekibi, Çarşamba günü acil yamaları yayınladıktan sonra paylaştığı blog yazısında, sürecin sosyal medyada yayılan yanlış bilgiler ve Chainguard'ın tutumu nedeniyle bozulduğunu belirtti. PHP geliştiricileri, Chainguard'ın diğer dağıtıcılar gibi yamayı önceden almasına rağmen, koordineli açıklama tarihinden altı saat önce yamalı sürümleri yayınlayarak saldırganlara ikili kod üzerinde inceleme yapma fırsatı verdiğini öne sürdü.

İlginizi çekebilir · Siber GüvenlikPHP'deki Kritik Güvenlik Açıkları Dünya Genelinde İnternet Altyapısını Alarma Geçirdi

Chainguard CEO'su Dan Lorenc, şirketin sızıntı yapmadığını, aksine aktif saldırı belirtileri nedeniyle yamayı erken yayınlama kararı aldıklarını ifade etti. Lorenc, şirketin kendi yapay zeka modellerini kullanarak zafiyetleri bağımsız olarak tespit ettiğini ve sosyal medyadaki söylentilerin ardından, sistemlerin saldırıya uğramasını engellemek amacıyla bu adımı attıklarını belirtti. Lorenc, aktif sömürü kanıtları olduğu durumlarda koordineli açıklama politikasının yerini hızlı müdahalenin alması gerektiğini savunuyor.

Söz konusu güvenlik açıkları; Calif, OpenAI ve Wiz araştırmacıları tarafından yapay zeka modelleri kullanılarak keşfedildi. Lorenc, sadece temel bir komutla PHP'deki bellek bozulması zafiyetlerini tespit edebildiklerini belirterek, bu durumun artık yeni bir standart haline geldiğini vurguladı. Chainguard'ın honeypot sistemleri, Çarşamba günü Rusya ve Çin kaynaklı IP adreslerinden bu zafiyetlere yönelik saldırı girişimleri tespit etti.