PHP2Shell'den Sonra Sırada Ne Var?

Olayı bir dönüm noktası yapan şey açığın büyüklüğü değil, bulunma şekli. İki ayrı ekip, aynı açığı birkaç hafta arayla, öncü yapay zekâ modelleriyle buldu. Wiz'in ifadesiyle tek bir araştırmacı, eskiden dünya çapında bir ekibin aylarını alacak işi bir haftada tamamladı.

Bu yazı iki soruya cevap arıyor: PHP'den sonra sırada hangi platform var? Ve bu kadar hızlı açık bulan bir yapay zekâ, aynı hızla sistemleri kırabilir mi?

Ne oldu

Açık ağustosta bulundu, ekimde yamalandı; ama yamadan dört gün önce sahada istismar denemesi vardı. Koordineli açıklama süreci son iki günde dağıldı ve yama planlanandan yaklaşık 24 saat önce çıkmak zorunda kaldı.

Açığı bulan ekipler savunma tarafındaydı ve süreci kurallara göre yürüttü. Yine de yamalı kod bir kez ortaya çıkınca, saldırganların değişikliği okuyup istismara dönüştürmesi saatler sürdü.

Asıl mesele hız

PHP2Shell tek başına bir istisna değil, 2026'nın genel tablosunun en görünür örneği. Açık bulma ile istismar arasındaki süre artık günlerle değil saatlerle ölçülüyor; bazı ölçümlerde ise istismar yamadan önce geliyor.

Tablonun özeti şu: açık bulma ve istismar hızı katlanırken, kurumların yama hızı yavaşlıyor. Fark, saldırganın lehine açılıyor.

Bu yılın öncü örnekleri de aynı yöne işaret ediyor. Nisan 2026'da Claude Mythos, sertleştirmesiyle bilinen OpenBSD'de 27 yıllık bir açık buldu. AISLE'ın otonom sistemi, dünyanın en çok denetlenen kod tabanlarından OpenSSL'in Ocak 2026 sürümündeki 12 CVE'nin 12'sini de kendisi buldu (CERT-EU).

Sırada ne var: Node.js, React, Java, .NET?

Kısa cevap: sıra zaten başladı ve PHP ile aynı gün Node.js'e geldi. 21 Ekim'de Node.js, gömülü Brotli sıkıştırma kodundaki bir taşma açığını (CVE-2026-111497) yamaladı; açığı OpenAI Codex Security araştırmacıları bildirdi (SOC Prime). OpenAI başkanı Greg Brockman da aynı gün, modellerinin hem PHP2Shell'i hem bu Node.js açığını bulduğunu ve çok daha fazlasının geleceğini söyledi (explainx). Temmuzda da yapay zekânın bulduğu WordPress açıkları toplu istismara uğramıştı (The Next Web).

"Hangisi sırada" sorusunu dil adıyla değil, şu üç ölçüyle cevaplamak daha doğru:

1. Çekirdeği C veya C++ ile mi yazılmış? PHP2Shell'in iki açığı da bellek bozulması (use-after-free dahil). Yapay zekâ modelleri bu sınıfı özellikle iyi buluyor.
2. İnternetten gelen veriyi kimlik doğrulamadan önce mi işliyor? Form, dosya yükleme, sıkıştırılmış veri ya da serileştirilmiş nesne; giriş yapmadan ulaşılan her ayrıştırıcı ön cephedir.
3. Ne kadar yaygın ve eski sürümleri ne kadar sahada? Etki alanı büyüdükçe hem araştırmacının hem saldırganın ilgisi artar.

Bu ölçülere göre değerlendirme (bu kısım bir öngörüdür, kesin bilgi değildir):

Buradan çıkan sonuç şu: bellek güvenli dillerle yazılmış çalışma ortamları (Java, .NET, Rust, Go) çekirdek düzeyinde daha korunaklı. Ama bu güvenlik onların üzerine kurulu framework ve kütüphanelere otomatik olarak geçmiyor. Asıl kör nokta, desteği bitmiş sürümler: PHP 7.4, Node.js 20 ve eski .NET Framework yamayı hiç almayacak.

Bulabilen kırabilir mi?

Evet. Açık bulmak ile onu silaha çevirmek artık aynı becerinin iki ucu, ve PHP2Shell bunu açıkça gösterdi.

Aynı model hem buldu hem kırdı. Wiz, kullandığı modellerin yalnızca açığı bulmakta değil, istismar kodu geliştirmekte, saldırıyı farklı PHP sürümlerine uyarlamakta ve yamayı doğrulamakta da yardım ettiğini söylüyor (ai-tldr). Ekip, ilk açığı bulduktan bir gün sonra Drupal'a, iki gün sonra WordPress'e karşı çalışan RCE elde etti.

Açıkları zincirleyebiliyor. Anthropic'in Project Glasswing testlerinde Mythos, Linux çekirdeğinde tek tek hatalar bulmakla kalmadı, birden fazla açığı zincirleyerek sıradan kullanıcı yetkisinden makinenin tam kontrolüne çıktı (Ropes & Gray).

Yamanın kendisi haritaya dönüşüyor. Chainguard, aynı açığı kendi test düzeneğine "PHP'de kötü açıklar bul" diye yönlendirilmiş bir modelle bağımsız olarak bulduğunu söylüyor (The New Stack). Yamalı kodun erkenden ortaya çıkması, saldırganların neyin değiştiğini görmesine ve PoC'ler yazmasına yetti (Wikipedia). Yani yama yayınlandığı an, yapay zekâ için açığın tarifi de yayınlanmış oluyor.

Erişim savunmacılara özel kalmıyor. En güçlü modeller şimdilik sınırlı erişimle savunmacılara veriliyor. Ama Haziran 2026'da çıkan bir Çin modelinin açık bulmada Mythos'a yetiştiği ve açık ağırlıklı olduğu, yani gözetimsiz indirilip değiştirilebildiği bildiriliyor (Ropes & Gray).

Ama sınırları da var

• Her şeyi kıramıyor. Gerçek CVE'lerden oluşan 1.507 vakalık CyberGym testinde öncü ajanlar hedef açığı vakaların yalnızca yüzde 17–22'sinde yeniden üretebildi (arXiv). Node.js Brotli açığının ilk PoC'si de standart sürümde kod çalıştıramadı, yalnızca çökme ve sınırlı bellek okuması elde etti (The Hacker News).
• Bulunan açık sayısı istismar edilen açık sayısıyla aynı hızda artmıyor. FIRST'e göre toplam CVE hacmi patladı ama aktif istismar edilenler aynı oranda artmadı (Security Boulevard).
• "Kırmak" şifrelemeyi kırmak demek değil. Bugün olan şey, kriptografinin matematiğinin çözülmesi değil; yazılımın uygulanmasındaki hataların bulunması. AES ya da RSA güvende, ama onları kullanan OpenSSL kodu değil.
• Bazı eleştirmenlere göre modeller yeni şey icat etmiyor. Bir analize göre PHP2Shell'in her parçası zaten kamuya açık verilerde mevcuttu; model, bilinen kalıpları yeni bir yerde birleştirdi (Dead Neurons). Ancak savunmacı açısından bu ayrım pek bir şey değiştirmiyor: sonuç yine çalışan bir exploit.

Asıl asimetri şurada: saldırganın tek bir açık bulması yeter, savunmacının hepsini kapatması gerekir. Yapay zekâ ikisini de hızlandırıyor, ama savunma tarafında darboğaz modelin hızı değil; bakım penceresi, test süreci ve bütçe kararları.