Dünyanın en yaygın programlama dillerinden PHP'de tespit edilen iki kritik güvenlik açığı, küresel çapta siber güvenlik alarmına yol açtı.

Belçika, Hollanda, Finlandiya, Fransa ve Almanya'da bazı kamu kurumları, limanlar ve işletmeler, sistemlerini güvenli hale getirmek amacıyla internet sitelerini geçici internete kapattı.

ABD, İngiltere, Avustralya ve Japonya'nın siber güvenlik kurumları, PHP kullanan kuruluşlara acil güncelleme çağrısında bulundu. ABD Ulusal Güvenlik Ajansı (NSA), güvenlik yamalarını hemen uygulayamayan kuruluşlara sistemlerini geçici olarak internetten ayırmalarını tavsiye etti.

PHP'nin geliştiricileri ise başlangıçta 22 Ekim'de yayımlanması planlanan güvenlik güncellemelerini, açıkların ayrıntılarının önceden sızması üzerine 21 Ekim'de kullanıma sundu.

PHP nedir, neden bu kadar önemli?

PHP, dünyadaki milyonlarca internet sitesinin çalışmasını sağlayan, açık kaynaklı temel bir programlama dili. İlk olarak 1990'lı yıllarda geliştirilen PHP, bugün internet sitelerinin yaklaşık yüzde 70'inde kullanılıyor.

Bir kullanıcı internet sitesine girdiğinde PHP, arka planda pek çok işlemi gerçekleştirebiliyor. Kullanıcıların hesaplarına giriş yapması, veritabanlarından bilgi alınması, internet üzerinden alışveriş yapılması ve içeriklerin yayımlanması bunlardan bazıları.

Örneğn kullanıcılar, bir sayfaya şifre girdiğinde, şifrenin doğrulanmasını sağlayan işlemleri PHP kodları yürütebilir. Kullanıcı web sitesine içerik girdiğinde de içeriğin kaydedilmesini ve okuyuculara sunulmasını sağlayabilir. Müşteri online sipariş verdiğinde, ödeme sayfasına aktarılması gibi işlemlerde de rol oynar.

Nitekim dünyanın en yaygın içerik yönetim sistemlerinden WordPress ve Drupal da PHP altyapısını kullanıyor. Dolayısıyla haber sitelerinden e-ticaret platformlarına, üniversitelerden kamu kurumlarına kadar çok sayıda kuruluş bu teknolojiden yararlanıyor.

Saldırganlar şifreye ihtiyaç duymuyor

"CVE-2026-109618" ve "CVE-2026-109619" olarak kaydedilen iki güvenlik açığı, 10 üzerinden 9,2 kritik risk puanına sahip.

Siber güvenlik şirketleri tarafından "PHP2Shell" olarak adlandırılan bu açıklar, PHP'nin bellek yönetimi ve hata işleme mekanizmalarında yer alıyor. Bu mekanizmalar, PHP ile çalışan internet sitelerine gönderilen neredeyse bütün isteklerde kullanılıyor.

Tespit edilen iki açık, şu şekilde sıralandı:

1. CVE-2026-109618: Bellek yönetimindeki bir hata üzerinden uzaktan kod çalıştırılmasına olanak tanıyabiliyor.

2. CVE-2026-109619: Belleğin ve programın iç durumunun yönetimindeki bir hata üzerinden uzaktan kod çalıştırılmasına veya hassas bilgilere erişilmesine yol açabiliyor.

Diğer bir deyişle, bu açıkları kullanan saldırganlar, özel olarak hazırlanmış bir internet isteği göndererek savunmasız sunucunun belleğinde hataya yol açabiliyor. Bu hata da saldırganın hesap bilgisi veya şifre girmeden o sunucuda kendi kodunu çalıştırmasına olanak tanıyor.

Siber güvenlikte uzaktan kod çalıştırma (Remote Code Execution/RCE), saldırganın sunucudaki dosyalara ve veritabanlarına erişmesi, bilgileri çalması veya sistemin işleyişini değiştirmesi gibi sonuçlar doğurabilen ciddi bir risk.

Önce site sahiplerini ilgilendiriyor

Son güvenlik açıkları öncelikle internet sitelerinin sahiplerini ve sunucu yöneticilerini ilgilendiriyor. Bireysel kullanıcıların cihazlarına PHP güncellemesi yüklemesi gerekmiyor.

Ancak saldırganların savunmasız siteleri ele geçirmesi durumunda, bu siteleri kullanan sıradan internet kullanıcısının özel bilgileri de tehlikeye girebilir.

Örneğin, bir siteyi ele geçiren saldırganlar, kullanıcıların kişisel bilgileri ve bazı hesap verilerini çalabilir. Veya siteye zararlı JavaScript kodları eklenerek ziyaretçiler hedef alınabilir.

Saldırganlar aynı zamanda, kullanıcıları bilgilerini girmesi için manipüle ederek, sahte giriş veya ödeme sayfalarına aktarabilir. Kullanıcılar direkt dolandırıcılık sitelerine de yönlendirilebilir.

Öte yandan, kullanıcılar açısından bu riskler her zaman güncel. Bu nedenle uzmanlar, özellikle güvenilirliğinden emin olunmayan internet sitelerine hassas bilgilerin girilmesi konusunda dikkatli olunmasını öneriyor.

Ne yapmalı?

Siber güvenlik şirketi CrowdStrike'a göre saldırılar, internet sitesinin kendi yazılım kodu çalıştırılmadan önce gerçekleştirilebiliyor. Bu nedenle kullanılan içerik yönetim sistemi, eklentiler veya uygulama altyapısı güncel olsa bile sunucudaki PHP sürümü savunmasız kalabiliyor.

Şirket ayrıca saldırıların tespit edilmesinin oldukça güç olabileceğini belirtiyor. Bazı saldırılarda sunucu normal çalışmaya devam ederken uygulama kayıtlarında olağan dışı bir durum görülmeyebiliyor.

Bu yüzden PHP geliştiricileri, bu iki açık için eksiksiz koruma sağlayan tek çözümün güvenlik güncellemesi olduğunu vurguluyor. İzlenebilecek bazı adımlar şu şekilde:

– PHP kullanan bütün sunucuları ve uygulamaları belirleyin.

– Güvenlik düzeltmelerini yükleyin ve ilgili servisleri yeniden başlatın.

– PHP sunucularının internete erişimleri varsa geçici süreliğine kesin.

Bu süreci karmaşık bulan web sitesi sahipleri, hosting sağlayıcıları ile de iletişime geçebilir. Zira güvenlik güncellemelerini uygulama sorumluluğu site sahiplerine, barındırma hizmeti (hosting) sağlayıcılarına ve sistem yöneticilerine ait.

Güvenlik açıklarını yapay zeka buldu

Krizin dikkat çekici yönlerinden biri, güvenlik açıklarının keşfinde yapay zekanın önemli rol oynaması.

Siber güvenlik şirketi Calif, açıkları 1 Ağustos'ta büyük dil modellerinden yararlanarak tespit ettiğini açıkladı.

Google'ın sahibi olduğu Wiz de kendi otonom güvenlik araştırma aracı Wiz Atlas'ın yanı sıra Google'ın Gemini ve OpenAI'ın GPT-5.6 modellerinden yararlanarak PHP'nin kaynak kodunu incelediğini bildirdi.

Araştırmacılar, PHP'nin geniş kod tabanında birbiriyle ilişkili yazılım hatalarını tespit ederek bunların uzaktan saldırıya nasıl dönüştürülebileceğini araştırdı.

Wiz'e göre güvenlik açıkları PHP'nin kaynak kodunda 10 yılı aşkın süredir bulunuyordu. Hataların bir araya getirilerek kullanılabilmesi ise insan araştırmacılar açısından son derece karmaşık bir süreçti.

OpenAI da araştırmacılardan oluşan bir koalisyonun keşif sürecinde yer aldığını ve gelişmiş Sol yapay zeka modellerinin önemli katkı sağladığını duyurdu.

PHP Vakfı ise güvenlik araştırmalarında Anthropic'in gelişmiş modellerinden de yararlandığını açıkladı.

Siber Güvenlik Başkanlığı'ndan gece yarısı uyarısı

Türkiye'de konu kamuoyunun gündemine Siber Güvenlik Başkanlığı'nın çarşambayı perşembeye bağlayan gece yaptığı acil uyarıyla gündeme geldi.

Kurumdan yapılan açıklamada, "Dünya genelinde yaygın olarak kullanılan PHP yazılım altyapısında kritik güvenlik açıkları tespit edilmiştir. Başkanlığımız, söz konusu zafiyetlerin oluşturabileceği risklerin erken tespiti ve olası etkilerinin sınırlandırılması amacıyla ulusal ölçekte güvenlik taramalarını başlatmış, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerini iletmiştir," ifadeleri yer aldı:

"Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır. Dijital altyapılarımızın güvenliği ve kritik hizmetlerin sürekliliği için ulusal düzeyde koordinasyon ve önleyici güvenlik çalışmalarımız sürmektedir."

Krizle ilgili Japonya Başbakanı Takaichi Sanae'nin de doğrudan açıklama yapması dikkatleri çekti.

Başbakan çarşamba günü yaptığı açıklamada, "Herkese, bu gece için acilen uyulmasını rica ettiğimiz önemli bir taleptir. Birçok web sitesinde kullanılan PHP ile ilgili olarak, PHP güvenlik ekibi, iki kritik güvenlik açığına dair uyarı duyurusu yaptı. Eeb sitenizde PHP kullanıp kullanmadığınızı kontrol edin ve bu gece yayınlanacak düzeltme yaması için, mümkün olan en kısa sürede uygulayabilmeniz adına hazırlık yapmanızı rica ederiz."