İnternet sitelerinin ve dijital platformların sunucu tarafındaki işlemlerini yöneten PHP programlama dilinde iki büyük güvenlik zafiyeti saptandı. Siber dünyada geniş yankı uyandıran ve küresel ölçekte güncelleme seferberliği başlatan bu durum karşısında, Türkiye'de de Siber Güvenlik Başkanlığı harekete geçerek ulusal seviyede tarama ve bilgilendirme süreçlerini başlattı. Teknik literatürde CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıt altına alınan her iki açığın ciddiyet skoru, 10 üzerinden 9,2 (Kritik) olarak belirlendi.PHP2Shell olarak adlandırılan bu zafiyet, saldırganların herhangi bir kullanıcı adı veya şifreye ihtiyaç duymadan, doğrudan web sitesinin barındığı sunucu üzerinde kendi kodlarını çalıştırmalarına olanak tanıyor. Bu durum sonucunda:Hassas veriler sızdırılabiliyor,Web sitelerinin içerikleri izinsiz değiştirilebiliyor,Sistemler tamamen erişilemez ve çalışamaz hale getirilebiliyor.Açığın en tehlikeli boyutu ise saldırı için site yöneticisinin veya bir kullanıcının zararlı bir bağlantıya tıklamasına dahi gerek kalmaması. Sorun doğrudan yazılım kodlamasından değil, PHP’nin kendi altyapısından kaynaklandığı için en iyi şekilde kodlanmış siteler bile savunmasız PHP sürümlerinde çalışıyorsa risk altında kalıyor. Söz konusu güvenlik sorunu, PHP’nin belleği yönetme ve süreçlerde bir hata meydana geldiğinde işlemleri sonlandırma mekanizmasındaki aksaklıktan kaynaklanıyor. Yarıda kesilen bir işlem sonrasında yazılımın kullanmaması gereken bellek alanlarına yeniden erişebilmesi, saldırganların sistem mimarisine dışarıdan müdahale etmesine kapı aralıyor. Dünya genelinde popüler olarak kullanılan pek çok içerik yönetim sistemi PHP altyapısını tercih ediyor:WordPress, Drupal, Joomla gibi içerik yönetim sistemleri,Wikipedia'nın altyapısını oluşturan MediaWiki,Çevrimiçi alışveriş platformları ve haber portalları.Güvenlik araştırmacıları WordPress, Drupal ve Joomla üzerinde çalışan örnek saldırı senaryoları geliştirerek açığın kullanılabilirliğini kanıtladı. Ancak bu durum, söz konusu sistemleri kullanan her sitenin doğrudan hedeflendiği anlamına gelmiyor. Barındırma (hosting) firmalarının aldığı güvenlik tedbirleri belirleyici oluyor. Örneğin Automattic yaptığı açıklamada; WordPress.com, WordPress VIP, WP Cloud, Pressable ve Tumblr altyapısında barındırılan sitelerin zaten koruma altında olduğunu duyurdu. Ancak bu güvence, kişisel sunucularda veya farklı hosting firmalarında barındırılan bağımsız WordPress sitelerini kapsamıyor. Açığın hemen yamalanamadığı durumlarda riski sıfırlamak isteyen birçok uluslararası kuruluş tedbir amaçlı sistem kapatma yoluna gitti:Wikimedia, bazı servislerini geçici olarak devre dışı bıraktı.Finlandiya Hükümeti, Edinburgh Belediyesi ve BBC bazı web sayfalarını çevrimdışı konuma getirdi.İskoçya’daki yerel belediyeler ve sağlık kuruluşları da benzer kısıtlamalara gitti.ABD Ulusal Güvenlik Ajansı (NSA) ve Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), güncellemeyi anında uygulayamayan kurumların risk giderilene kadar sistemlerini çevrimdışı tutmalarını tavsiye etti. Siber Güvenlik Başkanlığı, olası etkileri en aza indirmek ve riskli sistemleri tespit etmek amacıyla Türkiye genelinde güvenlik taramaları başlattı ve kurumlara acil uyarı yazıları iletti.Başkanlık tarafından yapılan açıklamada şu ifadelere yer verildi:Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır.Başlatılan tarama faaliyeti, Türkiye'de herhangi bir kurumun verisinin çalındığı anlamına gelmeyip, tamamen önleyici bir savunma tedbiri niteliği taşıyor.  Calif ve Wiz araştırmacıları, PHP kodlarını incelemek ve açıkların nasıl suistimal edilebileceğini ortaya çıkarmak için yapay zekâ araçlarından faydalandı. Wiz, yapay zekânın karmaşık saldırı vektörlerini tespit etme süresini belirgin şekilde kısalttığını aktardı.Ancak PHP Vakfı'nın teknik değerlendirmesine göre bellek sorununun ilk emareleri 2024 yılında fark edilmişti. O dönemde somut bir uzaktan saldırı yönteminin sunulamaması, olası yamaların başka sistem sorunlarına yol açma riski ve insan kaynağı yetersizliği düzeltmeyi geciktirdi. Vakıf, bu durumu insan kaynağı eksikliği ve karar alma süreçlerinden kaynaklanan yapısal bir aksaklık olarak tanımladı. 2026'daki yapay zekâ destekli araştırmalar ise açığın ciddiyetini somutlaştırarak yamaların yayımlanmasını hızlandırdı. PHP güvenlik ekibi, açıkları kapatan yamalı sürümleri 21 Ekim itibarıyla erişime sundu.Güncellenmesi Gereken Sürümler: Sunucu yöneticilerinin sistemlerini PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerine yükseltmesi gerekiyor.Hosting Alanlar: Barındırma hizmeti alan kişilerin, sağlayıcılarıyla iletişime geçerek sunucu altyapısının güncellendiğini teyit etmesi önem taşıyor.Dikkat: Yalnızca WordPress temasını veya eklentilerini güncellemek bu açığı kapatmaz; sitenin üzerinde çalıştığı ana PHP sürümünün güncellenmesi şarttır.Sürüm Kontrolü: İşletim sistemi sağlayıcıları yamaları kendi paketlerine entegre edebildiği için kontrol sadece sürüm numarası üzerinden yapılmamalıdır. Sıradan internet kullanıcılarının kişisel bilgisayarlarına veya akıllı telefonlarına herhangi bir PHP yaması yüklemesi gerekmiyor. Kullanıcıların dikkat etmesi gereken noktalar şunlar:Hizmet aldıkları platformlardan gelebilecek resmi güvenlik bildirimlerini ve şifre yenileme taleplerini dikkatle takip etmek,Bu süreci fırsat bilerek panik havası yaratmaya çalışan ve sahte bağlantılar (oltalama/phishing) gönderen siber dolandırıcılara karşı tedbirli olmak.