Dünya genelinde internet sitelerini etkileyen iki kritik PHP güvenlik açığı tespit edildi. Uzmanlar, site yöneticilerini acil güncelleme yapmaları konusunda uyardı.
Dünya genelinde milyonlarca internet sitesinin altyapısında kullanılan PHP programlama dilinde iki kritik güvenlik açığının ortaya çıkarılması, siber güvenlik alanında geniş çaplı önlemlerin alınmasına neden oldu.
21 Ekim 2026'da duyurulan güvenlik açıklarının, gerekli koşullar oluştuğunda saldırganların sunucularda uzaktan kod çalıştırmasına ve hassas bilgilere erişmesine olanak sağlayabileceği belirtildi.
Açıkların tespit edilmesinin ardından bazı ülkelerde kamu kurumları ve internet hizmeti sağlayıcıları, sistemlerini korumak amacıyla geçici erişim kısıtlamalarına gitti. PHP geliştiricileri ise güvenlik sorunlarını gidermek için yeni sürümler yayımladı.
Yapay zeka destekli araştırma araçlarının da kullanıldığı süreç, hem internet altyapısındaki güvenlik risklerini hem de yapay zekanın siber güvenlik çalışmalarındaki rolünü yeniden gündeme taşıdı.
Peki PHP güvenlik açığı nasıl ortaya çıktı, hangi internet sitelerini etkiliyor ve site sahiplerinin ne yapması gerekiyor? İşte yaşanan gelişmelere ilişkin 5 kritik soru.
1. PHP GÜVENLİK AÇIĞI NASIL ORTAYA ÇIKTI?
PHP programlama dilindeki iki kritik güvenlik açığı, siber güvenlik araştırmacılarının yürüttüğü çalışmalar sonucunda tespit edildi.
Calif ve Wiz ekiplerinin araştırmalarında gelişmiş yapay zeka araçlarından yararlanıldı. OpenAI tarafından desteklenen Patch the Planet girişimi de güvenlik sorunlarının araştırılması ve çözüm sürecine katkı sağladı.
Tespit edilen açıklar, PHP'nin temel çalışma mekanizmasındaki bellek yönetimi ve istek işleme süreçleriyle ilişkili.
Güvenlik sorunlarının ortaya çıkarılmasının ardından PHP geliştiricileri, araştırmacılar ve teknoloji şirketleri arasında koordineli bir çalışma yürütüldü.
PHP projesi, 21 Ekim'de güvenlik güncellemelerini yayımlayarak kullanıcıları sistemlerini acilen güncellemeye çağırdı.
2. HANGİ İNTERNET SİTELERİ VE KURUMLAR ETKİLENDİ?
PHP, dünya genelinde çok sayıda internet sitesi ve web uygulamasının çalışmasında kullanılan bir programlama dili.
WordPress, Drupal, Joomla ve MediaWiki gibi yaygın içerik yönetim sistemleri de PHP altyapısından yararlanıyor.
Bu nedenle güvenlik açıkları yalnızca belirli bir internet sitesini değil, PHP'nin savunmasız sürümlerini kullanan farklı sistemleri ilgilendiriyor.
Güvenlik uyarılarının ardından Avrupa'daki bazı kamu kurumları ve kuruluşlar, olası saldırıları önlemek amacıyla internet hizmetlerini geçici olarak durdurdu.
Wikipedia'nın arkasındaki Wikimedia Vakfı da bazı destek hizmetlerini güvenlik güncellemeleri tamamlanana kadar çevrimdışı bıraktığını duyurdu.
Ancak PHP kullanan her internet sitesinin saldırıya uğradığı veya bütün sitelerin güvenlik açıklarından aynı şekilde etkilendiği söylenemiyor.
3. PHP AÇIĞI NEDEN TEHLİKELİ KABUL EDİLİYOR?
PHP'de tespit edilen güvenlik açıkları, sunucular üzerinde ciddi sonuçlara yol açabilecek özellikler taşıyor.
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan iki açığın önem derecesi, CVSS 4.0 değerlendirmesinde 9,2 olarak açıklandı.
Bu seviye, güvenlik sorunlarının kritik kategoride bulunduğunu gösteriyor.
Açıkların uygun koşullarda kötüye kullanılması halinde saldırganlar, kimlik doğrulaması yapmadan sunucuda uzaktan kod çalıştırabiliyor.
Bu durum, internet sitesinin kontrolünün ele geçirilmesi, hassas verilere erişilmesi veya hizmetlerin kesintiye uğratılması gibi riskler oluşturabiliyor.
Güvenlik araştırmacıları, özellikle internete açık ve güncellenmemiş sunucuların hızla kontrol edilmesi gerektiğini belirtiyor.
4. HANGİ PHP SÜRÜMLER RİSK ALTINDA?
Güvenlik duyurularına göre PHP'nin 5.4 sürümünden başlayarak 21 Ekim'de yayımlanan düzeltmelerden önceki çeşitli sürümleri güvenlik açıklarından etkileniyor.
PHP geliştiricileri, sorunları gidermek amacıyla dört güncel sürüm yayımladı.
Güvenlik düzeltmelerinin bulunduğu sürümler şöyle:
-
PHP 8.5.12
-
PHP 8.4.27
-
PHP 8.3.36
-
PHP 8.2.35
PHP 8.1 ve daha eski sürümler ise resmî güvenlik desteğinin sona ermesi nedeniyle yeni düzeltmeleri almıyor.
Bu sürümleri kullanan sistemlerin desteklenen bir PHP sürümüne geçirilmesi gerekiyor.
PHP 8.2 sürümünün güvenlik desteğinin de 31 Aralık 2026'da sona ermesi planlanıyor.
5. İNTERNET SİTESİ SAHİPLERİ NE YAPMALI?
Siber güvenlik uzmanları, PHP altyapısı kullanan internet sitelerinin yöneticilerine güvenlik güncellemelerini gecikmeden uygulamaları çağrısında bulunuyor.
İlk olarak sunucuda kullanılan PHP sürümünün kontrol edilmesi gerekiyor.
WordPress kullanan site sahipleri, yönetim panelindeki Site Sağlığı bölümünden PHP sürümüne ilişkin bilgilere ulaşabiliyor.
Ardından kullanılan sürüme uygun güvenlik güncellemesinin yüklenmesi ve web uygulamalarının yeni sürümle uyumluluğunun kontrol edilmesi önem taşıyor.
Hosting hizmeti kullanan işletmelerin ise hizmet sağlayıcılarıyla iletişime geçerek sunucularının güncellenip güncellenmediğini öğrenmeleri öneriliyor.
Güncellemenin hemen yapılamadığı ve güvenliğin sağlanamadığı durumlarda ilgili hizmetin geçici olarak çevrimdışı bırakılması değerlendirilebiliyor.
Ayrıca sunucu kayıtlarının incelenmesi ve olası yetkisiz erişim belirtilerinin araştırılması da önem taşıyor.
TÜRKİYE'DEKİ İNTERNET SİTELERİ DE RİSK ALTINDA OLABİLİR
PHP'nin yaygın kullanımı nedeniyle Türkiye'deki haber siteleri, e-ticaret platformları, kurumsal web sayfaları ve farklı çevrimiçi hizmetler de söz konusu güvenlik sorunlarından etkilenebilecek sistemler arasında bulunuyor.
Özellikle WordPress ve benzeri içerik yönetim sistemlerini kullanan kuruluşların yalnızca uygulama güncellemelerini değil, sunucularında çalışan PHP sürümünü de kontrol etmesi gerekiyor.
WordPress tarafından yapılan güvenlik açıklamasında, sorunların doğrudan WordPress yazılımından kaynaklanmadığı ve çözüm için PHP altyapısının güncellenmesi gerektiği vurgulandı.
Uzmanlar, güvenlik güncellemelerinin zamanında uygulanmasının ve destek süresi sona ermiş yazılımların değiştirilmesinin olası siber saldırılara karşı temel önlemler arasında bulunduğunu belirtiyor.
