İnternetin Kara Ekim’i! Yapay zeka kapıyı buldu, şimdi kim kapatacak?

Bir internet sitesine giriyorsunuz. Haber okuyorsunuz, alışveriş yapıyorsunuz, bankacılık işlemlerinizi gerçekleştiriyorsunuz. Ekranda gördüğünüz birkaç satır yazının, bir fotoğrafın ya da bir ödeme butonunun arkasında binlerce satır kod çalışıyor.

Peki ya o kodların içinde yıllardır kimsenin fark etmediği bir hata varsa?

Daha da önemlisi, o hatayı artık bir insanın aylarca uğraşmasına gerek kalmadan bulabilen, nasıl kullanılabileceğini analiz edebilen ve saldırı yöntemleri geliştirebilen bir yapay zeka varsa?

İşte bugün dünyanın karşı karşıya olduğu mesele tam olarak bu.

İnternetin Kara Ekim'i olarak adlandırılan PHP güvenlik açığı tartışması, yalnızca yazılım dünyasını ilgilendiren teknik bir gelişme değil. Bu olay, dijital hayatın üzerine kurulduğu altyapının ne kadar kırılgan olabileceğini bir kez daha gösteriyor.
Türkiye de bu alarmın dışında değil.

Ve bu açığın ortaya çıkmasıyla siber saldırganlar için bir fırsat doğdu. Çünkü kritik siber saldırılarda önemli olan, sistemi direkt çökertmek değil, sızıntı gerçekleştikten sonra uzun süre tespit edilmeden sistemin içinde kalarak, mümkün olduğunda çok veri ve bilgi toplamaktır. Bunun etkilerini uzun süre sonra görüp yaşayacağız. İşte o zaman Ekim 2026'daki PHP açığı ve siber saldırının etkilerini yeniden konuşacağız.

İnternetin görünmeyen omurgası

Önce şu soruyu soralım, PHP nedir?
PHP bir şirket değil ya da bir devlet kurumu değil. İnternet sitelerinin arka planında çalışan, açık kaynaklı bir programlama dili.

Bugün haber portallarından kişisel bloglara, kurumsal internet sitelerinden çevrimiçi mağazalara kadar milyonlarca dijital hizmetin arkasında PHP bulunuyor. WordPress gibi yaygın içerik yönetim sistemleri de bu teknolojiden yararlanıyor.

Kullanıcı bir internet sitesini açtığında ekranda gördüğü sayfa, çoğu zaman sunucularda çalışan yazılımlar tarafından hazırlanıyor. Veriler işleniyor, veri tabanlarından bilgiler çekiliyor, kullanıcıların girişleri kontrol ediliyor.

PHP bu işlerin önemli bir bölümünü üstleniyor.

Sorun da burada başlıyor.

Bir yazılımın dünya çapında yaygın biçimde kullanılması, o yazılımda bulunan bir güvenlik açığının etkisini katlayabiliyor. Çünkü mesele artık tek bir şirketin sunucusuyla sınırlı kalmıyor. Aynı teknolojiyi kullanan, birbirinden bağımsız binlerce kuruluş potansiyel olarak aynı sorunla karşı karşıya kalabilir.

Ancak bir ayrıntının altını çizelim. PHP kullanan bütün internet siteleri savunmasız değil. Bir açığın ortaya çıkması, bütün sitelerin saldırıya uğradığı anlamına da gelmiyor.

Tehlike, savunmasız sürümleri kullanan ve gerekli önlemleri almayan sistemlerde.

Bir internet sitesi nasıl ele geçirilebilir?

PHP2Shell adıyla gündeme gelen güvenlik sorunu, teknik ayrıntılarıyla oldukça karmaşık. Ancak ortaya çıkardığı riski anlamak için yazılım mühendisi olmaya gerek yok.

Bazı koşullarda saldırganlar, bir kullanıcı hesabına ya da parolaya sahip olmadan savunmasız sunucularda uzaktan kod çalıştırabiliyor.

Bunun anlamı ne?

Bir internet sitesinin sunucusunda kod çalıştırabilen bir saldırgan, kazandığı yetkilere bağlı olarak verileri çalabilir, sayfaları değiştirebilir, zararlı yazılımlar yerleştirebilir veya sistemin işleyişini bozabilir.

Bir haber sitesini düşünün.
Yayınlanan haberlerin değiştirildiğini, ziyaretçilerin sahte sayfalara yönlendirildiğini ya da kullanıcı bilgilerinin ele geçirildiğini...

Bir e-ticaret platformunu düşünün.
Müşterilerin hesap bilgilerinin veya ticari verilerin risk altına girdiğini...

Bunlar her saldırıda mutlaka gerçekleşecek sonuçlar değil. Fakat savunmasız bir sunucunun ele geçirilmesi halinde ortaya çıkabilecek riskler arasında.

Yapay zeka açığı nasıl buldu?

Bu olayın asıl dikkat çekici tarafı ise güvenlik açıklarının keşfedilme süreci.

Paylaşılan araştırma bulgularına göre, Calif ekibi OpenAI'ın GPT-5.6 Sol modelinden yararlanarak kritik bir sorunu PHP geliştiricilerine bildirdi.

Google bünyesindeki bulut güvenliği şirketi Wiz'in araştırmacıları da yapay zeka destekli analizlerle başka saldırı yöntemlerini ve ikinci bir açığı ortaya çıkardı.

Burada önemli bir ayrım var.
Yapay zeka, yazılım hatalarını ilk kez keşfetmiyor. Güvenlik araştırmacıları yıllardır kodları inceliyor, sistemleri test ediyor ve açıkları geliştiricilere bildiriyor.

Fakat gelişmiş modellerin farkı, karmaşık kodlar arasındaki ilişkileri inceleyebilmesi ve bir hatanın nasıl istismar edilebileceğini araştırma sürecini hızlandırabilmesi.

Yani yapay zeka yalnızca kod yazan bir araç olmaktan çıkıyor. Yazılmış kodun içindeki zafiyetleri analiz eden, savunma senaryoları geliştiren ve bazı durumlarda saldırı yöntemlerinin oluşturulmasını da kolaylaştıran bir teknolojiye dönüşüyor.

Asıl mesele, aynı yetenek savunmacının elinde bir güvenlik kalkanı, saldırganın elinde ise bir silah olabilir.

Bugün güvenlik araştırmacılarının aylarca incelemesi gereken bazı karmaşık sorunlar, yapay zeka yardımıyla çok daha kısa sürede analiz edilebiliyor. Bu durum savunma ekiplerine avantaj sağlarken saldırganların önündeki teknik engelleri de azaltabilir.

Dolayısıyla artık yalnızca yazılımları değil, yazılımları inceleyen yapay zeka sistemlerinin kapasitesini de konuşmak zorundayız.

Yıllardır oradaydı! Peki neden şimdi?

Bu olayın düşündürücü taraflarından biri de güvenlik sorunlarının geçmişi.

Araştırmalara göre, hatalardan birinin ilk işaretleri 2024 yılında fark edilmişti. Ancak o dönemde sorunun somut bir saldırı yöntemine dönüştürülebilmesi mümkün olmamıştı.

Bu ayrıntı bize çok önemli bir gerçeği hatırlatıyor.

Bir güvenlik açığı, keşfedildiği gün ortaya çıkmış olmayabilir. Yazılımın içinde yıllardır bulunabilir. Fakat onu fark edecek, sonuçlarını anlayacak ve kullanılabilir bir saldırı yöntemine dönüştürecek kapasite henüz ortaya çıkmamış da olabilir.

Teknoloji geliştikçe, dün önemsiz görünen bir hata yarın kritik bir güvenlik sorununa dönüşebilir.

Üstelik saldırganların kullandığı yöntemlerle savunma ekiplerinin kullandığı yöntemler de aynı hızla gelişiyor.

Bu nedenle siber güvenlik, bir yazılımı kurup yıllarca çalışır durumda bırakmaktan ibaret değil. Sürekli denetim, güncelleme, izleme ve risk yönetimi gerektiriyor.

Türkiye neden alarma geçti?

PHP'deki güvenlik açığıyla ilgili uluslararası uyarıların ardından Türkiye'de de Siber Güvenlik Başkanlığı devreye girdi.

Kurumların savunmasız sistemlerini belirlemesi, güvenlik güncellemelerini uygulaması ve internete açık hizmetlerini kontrol etmesi istendi.

Avrupa'daki siber güvenlik birimleri de benzer çağrılar yaptı. Bazı sistemler için erişimin sınırlandırılması, gerekli durumlarda hizmetlerin geçici olarak çevrim dışına alınması önerildi.

Burada kritik bir nokta var.

Bir kamu kurumunun internet sitesini geçici olarak kapatması, o sitenin mutlaka saldırıya uğradığı anlamına gelmez. Bazen saldırı gerçekleşmeden önce alınan önleyici tedbir, en etkili güvenlik adımı olabilir.

Ancak bütün kurumların aynı hızla hareket ettiğini varsayamayız.

Büyük kuruluşların güvenlik ekipleri, güncelleme süreçleri ve izleme sistemleri bulunabilir. Küçük işletmelerin, kişisel internet sitelerinin veya teknik desteği sınırlı kuruluşların aynı imkanlara sahip olması her zaman mümkün değil.

İşte asıl kırılganlık burada.

İnternetin güvenliği yalnızca en büyük teknoloji şirketlerinin aldığı önlemlere bağlı değil. Küçük bir işletmenin ihmal ettiği sunucu da zararlı yazılımların dağıtılmasında veya başka sistemlere saldırılmasında kullanılabilir.

Dijital güvenlik zincirinin gücü, yalnızca en güçlü halkasıyla ölçülemez.

İnternet çöktü mü?

Hayır. Mevcut bilgiler, internetin dünya çapında çöktüğünü ya da sitelerin çoğunun saldırıya uğradığını göstermiyor.

PHP'nin yaygın kullanılması da bütün PHP tabanlı sitelerin aynı ölçüde savunmasız olduğu anlamına gelmiyor.

Burada iki farklı durum var. Birincisi, saldırıya açık olabilecek sistemlerin belirlenmesi. İkincisi, bu sistemlerin gerçekten saldırıya uğradığının kanıtlanması.

Aradaki farkı gözden kaçırmamak gerekiyor.

Bir güvenlik alarmı, olası zararın büyüklüğü nedeniyle son derece ciddi olabilir. Ancak bu alarmı, gerçekleşmiş küresel bir felaket gibi sunmak da doğru değil.

Asıl soru, saldırıların ne ölçüde gerçekleştiğinden önce, savunmasız sistemlerin ne kadar hızlı tespit edilip güvenli hale getirilebildiği.

PHP geliştiricileri güvenlik yamalarını yayımladı. Kurumların ve hizmet sağlayıcıların bu güncellemeleri doğru biçimde uygulaması, sistemlerini incelemesi ve olası ihlal belirtilerini araştırması gerekiyor.

Çünkü bir açığın kapatılması, daha önce saldırı gerçekleşmediğini tek başına kanıtlamaz.

Yeni çağın güvenlik sorusu

İnternetin Kara Ekim'i olarak adlandırılan bu gelişme, aslında daha büyük bir dönüşümün işareti.

Yıllardır dijitalleşmeyi hız, verimlilik ve kolaylık üzerinden tartışıyoruz. Yapay zeka sayesinde daha hızlı yazılımlar geliştiriyor, daha karmaşık problemleri çözüyor ve iş süreçlerini otomatikleştiriyoruz.

Fakat aynı teknolojinin, dijital dünyanın zayıf noktalarını bulmayı ve saldırı yöntemleri geliştirmeyi de kolaylaştırabildiğini görüyoruz.

Bu nedenle geleceğin siber güvenlik mücadelesi yalnızca bilgisayar korsanlarıyla güvenlik uzmanları arasında yaşanmayacak. Birbirinden farklı yapay zeka sistemlerinin, otomatik saldırı araçlarının ve savunma teknolojileri de bu mücadelenin bir parçası olacak.

Üstelik mesele yalnızca internet siteleriyle sınırlı değil. Elektrik şebekeleri, su arıtma tesisleri, üretim sistemleri ve diğer kritik altyapılar da dijital teknolojilerle yönetiliyor. Bu sistemlerdeki bir güvenlik sorunu, bilgisayar ekranındaki bir aksaklığın ötesinde fiziksel sonuçlar doğurabilir.

Artık dijital güvenlik, yalnızca teknoloji şirketlerinin sorumluluğu olarak görülemez. Kamu yönetiminden özel sektöre, yazılım geliştiricilerinden kritik altyapı işletmecilerine kadar herkesin ortak sorumluluğu.

Çünkü dijital dünyada bir güvenlik açığı, yalnızca kodun içindeki bir hata değildir. Bazen milyonlarca insanın kullandığı hizmetlerin güvenliğini belirleyen bir zafiyettir.

Ve yapay zeka çağında sorulması gereken sorular artıyor.
Bu sorulara yeni biri daha eklendi….

Evet, yapay zeka güvenlik açıklarını bulabilecek kadar güçlendi.
Fakat biz o açıkları saldırganlardan önce kapatabilecek kadar hızlı mıyız?