PHP'deki iki kritik açık, koordineli açıklamadan önce bir forum kullanıcısı tarafından paylaşıldı

Bir geliştirici, yama hazırlığında olan iki ciddi PHP çalışma zamanı açığını embargo bitmeden duyurduğu için özür diledi; PHP Foundation açıklamasını bir gün öne çekmek zorunda kaldı.

PHP çalışma zamanında 9.2 puanla kritik olarak derecelendirilen iki güvenlik açığı, CVE-2026-109618 ve CVE-2026-109619, koordineli açıklamadan önce bir geliştirici tarafından duyuruldu. Geliştirici, bir temas kişisinin embargo olmadığını söylemesi üzerine böyle davrandığını belirterek özür diledi.

PHP Foundation, etkilenen siteler yamalanabilsin diye kontrollü bir yayın planlamıştı. Ancak sosyal medyada çıkan sızıntılar üzerine açıklamasını bir gün öne almak zorunda kaldı. Vakıf ayrıca Chainguard'ın embargoyu altı saatten fazla bir süreyle ihlal ettiğini bildirdi. Chainguard'ın CEO'su ise kararını savundu; diğer araştırmacılara danıştığını ve yama herkese açık hale geldikten sonra topluluğu bilgilendirdiğini söyledi.

Açıklar, saldırganlar tarafından değil, yapay zekâ destekli araçlarla bulundu. Olay, yapay zekâ destekli açık keşfinin yamalamayı saldırılarla yarışa dönüştürdüğünü gösteriyor.