Binance Kurucusu CZ, PHP Saldırı Denemeleri Milyonlara Ulaşınca İnternet Kullanıcılarını Uyardı

Coinbase ve BitGo Etkilenme Bulunmadığını Bildirdi

Yeni açıklanan PHP güvenlik açıklarına yönelik saldırı denemeleri milyonlara ulaştı ve kripto sektörünün en büyük şirketleri 22 Ekim'de sistemlerinin etkilenip etkilenmediğine dair açıklamalarını yayımladı. Coinbase (COIN) ile BitGo, altyapılarına ilişkin herhangi bir etki kanıtına rastlamadıklarını bildirdi. Binance ise resmi güvenlik yaması dağıtılmadan önce koruyucu önlemleri devreye aldığını ve gerekli gördüğü müdahaleyi tamamladığını duyurdu. Bu açıklamaların yapıldığı ana kadar hiçbir kripto şirketinde ihlal kaydedilmediği, kullanıcı fonlarından da kayıp oluşmadığı görülüyor. Binance'in kurucu ortaklarından Changpeng Zhao, sektörde CZ adıyla tanınıyor ve kullanıcılara önümüzdeki günlerde hiçbir internet sitesini ziyaret ederken son derece dikkatli olmaları uyarısında bulundu. Endişesinin kaynağı şu: yamayı geç yükleyen bir internet sitesi, giriş bilgilerinin çalınması ya da ziyaretçinin cihazına saldırı için bir kanala dönüşebilir. Alarmın merkezindeki açık sınıfı, saldırganın sunucuda oturum açmadan kod çalıştırmasına izin veriyor. PHP geliştirme ekibi düzeltilmiş sürümü 21 Ekim'de yayımladı, ama her site işletmecisi yamayı kendi sistemi kurmak zorunda. Altyapı ölçümleri taramanın boyutunu da gösteriyor: Cloudflare, açıklamanın ardından iki saat içinde deneme sayısının yüz binlere, sonrasında ise milyonlara tırmandığını ölçtü. Amazon ise saldırı denemelerini, açıklar kamuya çıkmadan önce 17 Ekim Cumartesi gibi erken bir tarihte gözlemlediğini bildirdi. Ayrıca Hindistan merkezli sertifika kuruluşu eMudhra'da ayrı bir sorun ortaya çıktı: sekiz ara sertifika alışılmadık biçimde zayıf özel anahtarlarla üretilmişti ve bu durum saldırganın borsa taklidi yapan sertifikalar üretmesine olanak tanıyabiliyordu. Tarayıcılar bu sertifikaları engellemeye başladı; ancak kendi sertifika listelerini tutan işlem programları aynı korumayı sunmayabilir. Lightning Labs, Bitcoin ve Lightning Network yazılımının kullanıcılarını derhal güncelleme yapmaya çağırdı. Uyarıyla birlikte dolaşan pratik tavsiyeler ise şöyle: borsalara yalnızca yer imlerine kaydedilmiş resmi adreslerden erişin, aciliyet vurgusu yapan güncelleme pencerelerine itibar etmeyin ve her para yatırma adresini göndermeden önce kayıtlı kopyayla karşılaştırın.

CVE-2026-109618 ve CVE-2026-109619

Bu uyarının altında, web'in büyük bölümünün arkasındaki sunucu dili PHP'deki ve her WordPress sitesini kapsayan bu yaygınlıkta iki kritik açık yatıyor. Her ikisi de 21 Ekim'de yapılan acil güvenlik sürümüyle kapatıldı; ayrıntıları ise planlanan açıklamadan önce sızdı. Açıklar CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izleniyor ve saldırgan için oturum açma şartı bulunmuyor. CZ, 21 Ekim'de X'te yazdığı mesajda kendisine paronoid diyebileceklerini ama önümüzdeki günlerde herhangi bir siteyi ziyaret ederken çok dikkatli olunması gerektiğini belirtti; çünkü bazı site işletmecileri güvenlik sistemlerini her zaman güncel tutmuyor. İki açığın sömürüsünün, açıklamanın hemen ardından doğada doğrulandığını da ekledi. PHP Foundation'ın sürüm anlatımı ise bir noktada farklılaşıyor. Vakfın açıklamasına göre CVE numaraları, 20 Ekim Salı günü hatalı bir yayın tarihi ve 10 üzerinden 10 olarak ilan edilen bir ciddiyetle internette dolaşmaya başladı; gerçek puan ise 9,2. Açıkları bildiren taraflardan Calif, sömürü anlatan bir videoyu yanılarak yayımladı ve Chainguard, üzerinde anlaşılan saatten altı saatten fazla önce düzeltilmiş derlemeleri dağıttı. Vakıf, güncelleme yayımlanmadan önce gerçek bir sömürü gözlemlemediğini ve CZ'nin sonraki değerlendirmesinin aksine bu yönde bir kanıt görmediğini belirtiyor. Devlet siber kurumları da paralel biçimde hareket etti. NSA, PHP kullanıcılarına güncellemelere hazırlanmalarını ve yamalama hemen yapılamayacaksa etkilenen sistemleri çevrimdışına almalarını önerdi. FBI'ın Siber Dairesi aynı tavsiyeyi yineledi ve işletmecilere, PHP süreçlerinin beklenmedik biçimde sistem komutları çalıştırıp çalıştırmadığını izlemelerini söyledi. Kripto platformları arasında BNB Chain'den Nina Rong, ağın kendisinin PHP üzerinde çalışmadığını doğruladı. BNB Chain'in büyük merkeziyetsiz borsası PancakeSwap, altyapısının hiçbir bölümünde PHP kullanılmadığını ve kullanıcı fonlarının güvende olduğunu açıkladı. CZ bu açıklamayı yeniden paylaşarak çoğu projenin en azından bu tür bir teyit yayımlaması gerektiği yorumunu yaptı.

@cz_binance · X gönderisi

X'te yazdığı mesajda.

X'te görüntüle

Yamadan Önceki Sızıntı

PHP Foundation'ın sürüm notu, bu olayın birincil belgesi, risk penceresini net biçimde ortaya koyuyor: açık ayrıntıları 20 Ekim'de internette dolaşıyordu ve düzeltme 21 Ekim'de geldi. Yani yamamamış sunucular, çalışan bir sömürü kılavuzu herkese açıkken yaklaşık bir gün boyunca savunmasız kaldı. Bildirilen 10'luk ciddiyet ile gerçek 9,2 puan arasındaki uyumsuzluk ve bir tedarikçinin düzeltilmiş derlemeleri altı saat erken dağıtması, bu sürecin rutin bir yama döngüsü yerine görünür biçimde zorlanan koordine bir açıklama planına işaret ediyor. Kripto kullanıcıları için kalıcı risk, manşetlerdeki izlenimden dar: hiçbir borsa ihlali ya da kullanıcı fonu kaybı doğrulanmış değil. Pratikte gerçek risk, ele geçirilmiş bir sitede adres değişimidir ve donanım cüzdanı gönderilen adresi gösterse bile, güvenliği aşılmış sitenin sahte bir adres sunup sunmadığına hükmedemiyor.