PHP'deki iki kritik açık neden dünya genelinde alarm yarattı?

Dünya genelindeki internet sitelerinin yaklaşık yüzde 70’inde kullanılan PHP programlama dilinde belirlenen iki kritik güvenlik açığı, farklı ülkelerde siber güvenlik önlemlerinin artırılmasına yol açtı. Belçika, Hollanda, Finlandiya, Fransa ve Almanya’da bazı kamu kurumları, limanlar ve işletmeler, sistemlerini korumak amacıyla internet sitelerini geçici süreyle erişime kapattı.

ABD, İngiltere, Avustralya ve Japonya’daki siber güvenlik kurumları PHP kullanan kuruluşlara vakit kaybetmeden güncelleme yapmaları çağrısında bulundu. ABD Ulusal Güvenlik Ajansı (NSA) ise güvenlik yamalarını hemen yükleyemeyen kuruluşlara sistemlerini geçici olarak internet bağlantısından ayırmalarını tavsiye etti. PHP geliştiricileri de ayrıntıların önceden sızmasının ardından, ilk planlamada 22 Ekim’de yayımlanması öngörülen güncellemeleri bir gün erkene alarak 21 Ekim’de kullanıma sundu.

PHP, internet sitelerinin arka planında çalışıyor

1990’lı yıllarda geliştirilen PHP, milyonlarca internet sitesinin işleyişini sağlayan açık kaynaklı bir programlama dili. Dünya genelindeki sitelerin yaklaşık yüzde 70’inde kullanılan bu altyapı, ziyaretçinin ekranda gördüğü sayfanın arkasında çeşitli görevleri yerine getiriyor.

PHP; kullanıcı hesaplarına giriş yapılması, veritabanlarından bilgi çekilmesi, internet üzerinden alışveriş yapılması ve içeriklerin yayımlanması gibi işlemlerde rol oynayabiliyor. Bir kullanıcı sayfaya şifresini yazdığında PHP kodları bu bilginin doğrulanmasını sağlayabiliyor. Siteye içerik girildiğinde metnin kaydedilip okuyuculara sunulması veya bir müşterinin siparişinin ödeme sayfasına aktarılması da PHP’nin üstlenebildiği işlemler arasında bulunuyor.

Dünyanın yaygın içerik yönetim sistemlerinden WordPress ve Drupal da PHP altyapısından yararlanıyor. Bu nedenle teknoloji yalnızca belirli bir site türüyle sınırlı kalmıyor; haber portallarından e-ticaret platformlarına, üniversitelerden kamu kurumlarına kadar pek çok kuruluşun sistemlerinde yer alıyor.

PHP’deki iki açık sunucuda kod çalıştırma riski taşıyor

CVE-2026-109618 ve CVE-2026-109619 numaralarıyla kayda geçen iki güvenlik açığına 10 üzerinden 9,2’lik kritik risk puanı verildi. Siber güvenlik şirketlerinin “PHP2Shell” adını kullandığı açıklar, PHP’nin bellek yönetimi ve hata işleme mekanizmalarıyla ilişkili. Bu mekanizmalar, PHP ile çalışan sitelere gönderilen isteklerin neredeyse tamamında devreye giriyor.

CVE-2026-109618 kodlu açık, bellek yönetimindeki bir hatadan yararlanılarak uzaktan kod çalıştırılmasına imkân tanıyabiliyor. CVE-2026-109619 ise belleğin ve programın iç durumunun yönetimindeki bir kusur nedeniyle uzaktan kod çalıştırma ya da hassas bilgilere erişme tehlikesi oluşturuyor.

Saldırganlar, özel olarak hazırladıkları bir internet isteğini savunmasız sunucuya göndererek bellekte hataya neden olabiliyor. Bu yöntemle, hesap bilgisi veya şifre girmeden sunucuda kendi kodlarını çalıştırmaları mümkün hale gelebiliyor. Siber güvenlikte uzaktan kod çalıştırma (Remote Code Execution/RCE) olarak adlandırılan bu tür bir risk, saldırganların sunucudaki dosyalara ve veritabanlarına ulaşmasına, bilgileri çalmasına veya sistemin çalışma biçimini değiştirmesine kadar uzanan sonuçlar doğurabiliyor.

Site sahipleri ve sunucu yöneticileri için acil güncelleme çağrısı

Açıkların ilk aşamadaki muhatapları, PHP kullanan internet sitelerinin sahipleri ile sunucu yöneticileri. Bireysel kullanıcıların kendi cihazlarına PHP güncellemesi yüklemesi gerekmiyor. Bununla birlikte savunmasız bir sitenin ele geçirilmesi, o siteyi kullanan kişilerin özel bilgilerini de riske sokabiliyor.

Bir siteye sızan saldırganlar kullanıcıların kişisel bilgilerini ve bazı hesap verilerini çalabilir ya da sayfaya zararlı JavaScript kodları ekleyerek ziyaretçileri hedef alabilir. Kullanıcılar bilgilerini paylaşmaları için kandırılarak sahte giriş veya ödeme sayfalarına yönlendirilebilir; doğrudan dolandırıcılık amacı taşıyan internet sitelerine aktarılmaları da mümkün olabilir. Uzmanlar, bu nedenle kullanıcıların özellikle güvenilirliğinden emin olmadıkları sitelere hassas bilgilerini girerken dikkatli davranması gerektiğini vurguluyor. Bu tür çevrim içi riskler, güvenlik açıklarından bağımsız olarak da kullanıcıların karşısına çıkabiliyor.

Siber güvenlik şirketi CrowdStrike’ın değerlendirmesine göre saldırılar, internet sitesinin kendi yazılım kodu çalıştırılmadan önce gerçekleştirilebiliyor. Bu durum, kullanılan içerik yönetim sistemi, eklentiler veya uygulama altyapısı güncel olsa dahi sunucuda çalışan PHP sürümünün savunmasız kalabileceği anlamına geliyor. CrowdStrike ayrıca bazı saldırıların fark edilmesinin güç olduğunu; sunucu olağan biçimde çalışmayı sürdürürken uygulama kayıtlarında sıra dışı bir belirti görülmeyebileceğini bildiriyor.

PHP geliştiricileri, iki açığa karşı eksiksiz koruma sağlayan tek yöntemin güvenlik güncellemelerini yüklemek olduğunu belirtiyor. PHP kullanan bütün sunucu ve uygulamaların tespit edilmesi, güvenlik düzeltmelerinin kurulması ve ilgili servislerin yeniden başlatılması öneriliyor. PHP sunucuları internete açıksa bağlantının geçici olarak kesilmesi de izlenebilecek adımlar arasında yer alıyor. Süreci yönetmekte zorlanan site sahipleri hosting sağlayıcılarıyla iletişim kurabilir. Güncellemelerin uygulanması konusunda sorumluluk site sahipleri, barındırma hizmeti veren şirketler ve sistem yöneticileri arasında bulunuyor.

Güvenlik açıklarının araştırılmasında yapay zekâ kullanıldı

PHP’deki açıkların keşfi ve incelenmesi sürecinde yapay zekâ araçlarının rol oynaması, krizin öne çıkan yönlerinden biri oldu. Siber güvenlik şirketi Calif, büyük dil modellerinden yararlanarak açıkları 1 Ağustos’ta tespit ettiğini açıkladı.

Google’ın sahibi olduğu Wiz de PHP kaynak kodunu araştırırken kendi otonom güvenlik araştırma aracı Wiz Atlas’tan, Google’ın Gemini modelinden ve OpenAI’ın GPT-5.6 modelinden yararlandığını bildirdi. Araştırmacılar, PHP’nin geniş kod tabanında birbiriyle bağlantılı yazılım hatalarını belirleyerek bu kusurların uzaktan saldırıya nasıl dönüştürülebileceğini inceledi.

Wiz’in açıklamasına göre güvenlik açıkları PHP’nin kaynak kodunda 10 yılı aşkın süredir bulunuyordu. Hataların birlikte kullanılarak saldırıya dönüştürülebilmesi, insan araştırmacılar açısından son derece karmaşık bir süreçti. OpenAI da araştırmacılardan oluşan bir koalisyonun keşif çalışmalarına katıldığını ve gelişmiş Sol yapay zekâ modellerinin bu çalışmalara önemli katkı sağladığını duyurdu. PHP Vakfı ise güvenlik araştırmalarında Anthropic’in gelişmiş modellerinden de yararlandığını açıkladı.

Siber Güvenlik Başkanlığı kurumlara bildirim gönderdi

Türkiye’de konu, Siber Güvenlik Başkanlığı’nın çarşambayı perşembeye bağlayan gece yayımladığı acil uyarıyla gündeme geldi. Başkanlık, dünya genelinde yaygın biçimde kullanılan PHP altyapısında kritik güvenlik açıkları belirlendiğini bildirerek risklerin erken tespiti ve muhtemel etkilerin sınırlandırılması amacıyla ülke çapında güvenlik taramalarının başlatıldığını açıkladı. Kurum, ilgili kuruluşlara acil güvenlik bildirimleri iletildiğini de duyurdu.

Başkanlığın açıklamasında, “Dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıkları tespit edilmiştir. Başkanlığımız, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlatmış, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerini iletmiştir” ifadeleri kullanıldı.

Açıklamada ayrıca, “Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır. Dijital altyapılarımızın güvenliği ve kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarımız sürmektedir” denildi.

Japonya Başbakanı Takaichi Sanae’den gece uyarısı

Krize ilişkin doğrudan açıklama yapan isimlerden biri de Japonya Başbakanı Takaichi Sanae oldu. Takaichi, çarşamba günü yaptığı açıklamada herkese o gece için acil bir çağrıda bulundu. Başbakan, “Herkese, bu gece için acilen uyulmasını rica ettiğimiz önemli bir taleptir. Birçok web sitesinde kullanılan PHP ile ilgili olarak, PHP güvenlik ekibi, iki kritik güvenlik açığına dair uyarı duyurusu yaptı. Web sitenizde PHP kullanıp kullanmadığınızı kontrol edin ve bu gece yayınlanacak düzeltme yaması için, mümkün olan en kısa sürede uygulayabilmeniz adına hazırlık yapmanızı rica ederiz” ifadelerini kullandı.