PHP, internet sitelerinin ve çevrim içi uygulamaların sunucu tarafında çalışmasını sağlayan bir programlama dilidir. Kullanıcı girişleri, formlar, içerik yönetimi ve veri tabanıyla iletişim gibi pek çok işlemde PHP kullanılabilir.

PHP güvenlik zafiyeti, yazılımın belirli bir bölümündeki hatanın kötü niyetli kişiler tarafından kullanılarak sistemin güvenliğinin tehlikeye atılabilmesi anlamına geliyor.

Basit bir örnekle açıklamak gerekirse, bir internet sitesini korunan bir bina, PHP yazılımını ise binanın kapı ve güvenlik sistemi olarak düşünebiliriz. Güvenlik sistemindeki bir hata, yetkisiz kişilerin binaya girmesine imkân tanıyabilir. Benzer şekilde, yazılımdaki bir açık da saldırganların sunucuya izinsiz erişmesinin önünü açabilir.

Ancak her güvenlik açığı aynı sonucu doğurmaz. Riskin boyutu, açığın niteliğine, kullanılan yazılım sürümüne ve sistemde alınan ek güvenlik önlemlerine bağlıdır.

PHP güvenlik açığı neden gündem oldu?

21 Ekim 2026'da yayımlanan güvenlik duyurularında PHP'de CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan iki kritik güvenlik açığı için düzeltmeler açıklandı.

Uluslararası siber güvenlik kurumlarının uyarılarına göre söz konusu açıklar, etkilenen sistemlerde kullanıcı girişi gerektirmeden uzaktan kod çalıştırılmasına veya hassas bellek verilerine erişilmesine yol açabilir. Bu durum, güvenlik güncellemelerini uygulamayan internet sunucuları açısından ciddi bir risk oluşturuyor.

İngiltere ve Kanada'daki siber güvenlik kurumları, etkilenen sistemlerin acilen güncellenmesini önerdi. Güncellemenin hemen yapılamadığı durumlarda internete açık sistemlerin geçici olarak erişime kapatılması da değerlendirilmesi gereken önlemler arasında gösterildi.

PHP güvenlik açığı vatandaşları nasıl etkiler?

PHP güvenlik açığının kötü niyetli kişiler tarafından kullanılması durumunda vatandaşlar doğrudan veya dolaylı biçimde etkilenebilir. Olası sonuçlar, saldırıya uğrayan internet sitesinin hangi bilgileri tuttuğuna ve sistemin nasıl korunduğuna göre değişir.

1. Kişisel bilgiler ele geçirilebilir

Güvenlik açığı bulunan bir sunucuya yetkisiz erişim sağlanması ve gerekli korumaların da aşılması durumunda isim, soyisim, e-posta adresi, telefon numarası veya adres gibi kişisel bilgiler risk altına girebilir.

Sistemde tutulan verilerin niteliğine bağlı olarak daha hassas bilgiler de tehlikeye girebilir. Bununla birlikte, PHP açığının varlığı tek başına bu bilgilerin ele geçirildiğini göstermez.

2. Dolandırıcılık ve kimlik avı girişimleri artabilir

Saldırganların bir internet sitesinden kişisel bilgiler elde etmesi durumunda bu bilgileri kullanarak vatandaşlara sahte mesajlar göndermesi mümkün olabilir.

Örneğin, kişinin kullandığı bir hizmetin adını içeren sahte bir SMS gönderilerek bağlantıya tıklaması veya şifresini paylaşması istenebilir. Bu nedenle kişisel bilgilerin sızdırıldığı doğrulanmış bir olay olmasa bile şüpheli mesajlara karşı dikkatli olunması önem taşıyor.

3. İnternet siteleri geçici olarak hizmet dışı kalabilir

Kurumlar güvenlik açığını kapatmak veya saldırı riskini azaltmak için internet sitelerini geçici olarak erişime kapatabilir.

Bu durumda vatandaşlar çevrim içi başvuru, belge görüntüleme, ödeme veya randevu gibi işlemlerini gerçekleştirmekte zorlanabilir. Bu tür kesintiler, verilerin çalındığını değil, güvenlik amacıyla önlem alındığını da gösterebilir.

4. Veriler değiştirilebilir veya silinebilir

Saldırganların sunucu üzerinde yeterli yetki elde etmesi halinde internet sitesindeki içerikleri değiştirme, dosyaları silme veya hizmetin çalışmasını bozma gibi sonuçlar ortaya çıkabilir.

Bunun gerçekleşip gerçekleşmeyeceği, saldırının kapsamına ve sistemdeki diğer güvenlik önlemlerine bağlıdır.

5. Çevrim içi hizmetlere duyulan güven zarar görebilir

Bir kurumun sistemlerine yönelik başarılı bir siber saldırı, vatandaşların o kuruma ait dijital hizmetlere güvenini olumsuz etkileyebilir. Bu nedenle yazılım güncellemeleri, güvenlik kontrolleri ve olası ihlallerin zamanında tespit edilmesi büyük önem taşıyor.

PHP açığı e-Devlet ve banka hesaplarını etkiler mi?

PHP kullanan her internet sitesi aynı risk altında değildir. Bir kamu kurumunun veya bankanın PHP kullanması, o kurumun sistemlerinin mutlaka savunmasız olduğu anlamına gelmez. Kullanılan sürüm, sistem mimarisi, güvenlik yapılandırması ve uygulanan yamalar belirleyicidir.

Mevcut güvenlik uyarıları, bütün e-Devlet hesaplarının veya banka hesaplarının ele geçirildiğini göstermiyor. Belirli bir kurumun etkilenip etkilenmediğini söylemek için o kuruma ait sistemlerin teknik olarak incelenmesi ve doğrulanmış bir açıklama bulunması gerekir.

Vatandaşların bu süreçte panik yapmadan resmî duyuruları takip etmesi ve şüpheli bağlantılardan uzak durması gerekiyor.

Vatandaşlar PHP güvenlik açığına karşı ne yapmalı?

PHP güvenlik açıklarının kapatılması öncelikle internet sitesi sahiplerinin, kurumların ve teknik ekiplerin sorumluluğundadır. Vatandaşlar ise olası dolandırıcılık girişimlerine karşı bazı önlemler alabilir.

  • Şüpheli bağlantılara tıklamayın: Banka, kamu kurumu veya başka bir hizmetten gelmiş gibi görünen mesajlardaki bağlantıları kontrol edin.

  • Şifrelerinizi paylaşmayın: Hiçbir şüpheli mesaj veya telefon görüşmesinde parola ve doğrulama kodlarınızı vermeyin.

  • İki aşamalı doğrulamayı etkinleştirin: Desteklenen hesaplarda ek güvenlik doğrulaması kullanın.

  • Hesap hareketlerinizi kontrol edin: Banka ve diğer önemli hesaplarınızdaki olağan dışı işlemleri takip edin.

  • Resmî kanalları kullanın: Bir hizmetin güvenliğiyle ilgili duyuruları kurumun kendi internet sitesinden veya doğrulanmış iletişim kanallarından takip edin.

Bir hesabın ele geçirildiğinden şüpheleniyorsanız ilgili hizmetin resmî kanalı üzerinden şifrenizi değiştirin ve gerekirse bankanızla veya ilgili kurumla iletişime geçin.

PHP güvenlik açığı nasıl kapatılır?

PHP'nin geliştirici ekibi, 21 Ekim 2026'da duyurulan iki kritik güvenlik açığı için düzeltilmiş sürümleri yayımladı.

Duyuruda belirtilen düzeltilmiş sürümler şunlar:

  • PHP 8.5.12

  • PHP 8.4.27

  • PHP 8.3.36

  • PHP 8.2.35

Bu sürümlerin veya ilgili dal için yayımlanan daha yeni, güvenli sürümlerin kullanılması öneriliyor. PHP 8.1 ve daha eski sürümler ise standart destek süresinin dışında olduğundan desteklenen bir sürüme geçiş yapılması gerekiyor. Bazı işletim sistemi ve kurumsal yazılım sağlayıcılarının düzeltmeleri geriye dönük olarak sunabileceği de dikkate alınmalı.İnternet sitesi yöneticilerinin yalnızca PHP sürümünü değil, PHP içeren içerik yönetim sistemlerini, eklentileri, sunucu yapılandırmalarını ve diğer bileşenleri de kontrol etmesi gerekiyor. Güncelleme sonrasında sistem kayıtlarının incelenmesi ve şüpheli etkinliklerin araştırılması da önerilen güvenlik önlemleri arasında yer alıyor.

Kaynak: HABER MERKEZİ