İnternet sitelerinin ve çevrimiçi hizmetlerin çalışmasını sağlayan PHP yazılımında tespit edilen iki kritik güvenlik açığı, dünya genelinde acil güncelleme çağrılarına yol açtı. Bazı kurumlar internet sitelerini tedbiren erişime kapatırken Türkiye’de Siber Güvenlik Başkanlığı ulusal ölçekte tarama başlattı.

“PHP2Shell” adı verilen açıklar, belirli koşullarda saldırganların kullanıcı adı veya şifreyle giriş yapmadan, bir internet sitesinin çalıştığı sunucuda kendi kodlarını çalıştırmasına imkân tanıyor. Bunun sonucunda hassas veriler açığa çıkabiliyor, site içeriği değiştirilebiliyor veya hizmet kesintiye uğratılabiliyor. PHP güvenlik ekibi, açıkları gideren sürümleri 21 Ekim’de yayımladı.

PHP nedir, günlük hayatta nerede karşımıza çıkıyor?

PHP, internet sitelerinin sunucu tarafında çalışan bir programlama dili. Bir sayfayı açtığımızda gerekli bilgilerin veritabanından alınması, işlenmesi ve tarayıcımızda görüntülenecek içeriğin hazırlanması gibi görevleri yerine getiriyor. Kullanıcılar genellikle adını görmese de PHP, çevrimiçi mağazalardan haber sitelerine kadar pek çok hizmetin arka planında çalışıyor.

WordPress, Drupal ve Joomla gibi internet sitesi yönetim sistemleri ile Wikipedia’nın kullandığı MediaWiki de PHP üzerine kurulu. Bu nedenle yazılımın kendisindeki bir açık, birbirinden bağımsız çok sayıda siteyi ilgilendiriyor.

Açık neye izin veriyor?

Sorun, PHP’nin belleği yönetme ve hata oluştuğunda işlemleri sonlandırma biçiminde bulunuyor. Basitçe anlatmak gerekirse, bir işlem yarıda kaldığında yazılımın artık kullanmaması gereken bellek alanlarına yeniden başvurabilmesi, saldırganların sistemin davranışına müdahale etmesine kapı açıyor.

Teknik kayıtlarda CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen iki açığın ciddiyet puanı, 10 üzerinden 9,2. Bu, güvenlik açıklarının sınıflandırılmasında “kritik” düzeye karşılık geliyor.

Açığın önemini artıran nokta, saldırı için her durumda bir kullanıcı hesabına veya site yöneticisinin bir bağlantıya tıklamasına ihtiyaç duyulmaması. Üstelik sorun sitenin kendi kodunda bulunmadığından, uygulaması düzgün yazılmış bir site de savunmasız PHP sürümü üzerinde çalışıyorsa risk taşıyabiliyor.

Hangi siteler risk altında?

PHP’nin resmî duyurusu, internet üzerinden gelen istekleri işleyen PHP kurulumlarını risk kapsamında değerlendiriyor. Saldırının gerçekleşme biçimi kullanılan sürüme ve sunucu yapılandırmasına göre değişebiliyor. Araştırmacılar, WordPress, Drupal ve Joomla üzerinde çalışan saldırı örnekleri geliştirdi.

Bunlar, açığın kullanılabilirliğini gösteren araştırma sonuçları; bu sistemleri kullanan bütün sitelerin saldırıya uğradığı anlamına gelmiyor.

Barındırma hizmetinin aldığı önlemler de belirleyici. Örneğin Automattic, kendi hizmetlerine ilişkin açıklamasında, “Siteniz WordPress.com, WordPress VIP, WP Cloud, Pressable veya Tumblr’da barındırılıyorsa zaten korunuyor” dedi. Bu açıklama, başka şirketlerin sunucularında veya kişisel sunucularda çalışan bütün WordPress sitelerini kapsamıyor.

Siteler neden kapatılıyor?

BBC’nin haberine göre Wikimedia bazı sistemlerini önlem amacıyla devre dışı bıraktı. Finlandiya hükümeti, Edinburgh Belediyesi ve BBC de bazı site ve sayfalarını çevrimdışı hale getirdi. İskoçya’daki bazı belediyeler ve sağlık kuruluşları da geçici kapatma yoluna gitti.

Bu kesintiler, tek başına başarılı bir saldırı veya veri hırsızlığı yaşandığını göstermiyor. Güncellemeyi hemen uygulayamayan kuruluşlar, saldırıya açık sistemleri erişime kapatarak riskin azaltılmasını amaçlıyor.

ABD Ulusal Güvenlik Ajansı’nın uyarısında, “Hemen güncelleme yapılamıyorsa kuruluşların, risk tamamen giderilene kadar sistemi çevrimdışı bırakmaları tavsiye edilir” denildi. Birleşik Krallık Ulusal Siber Güvenlik Merkezi de güncellemenin hemen mümkün olmadığı durumlarda geçici kapatmanın değerlendirilmesini istedi.

Türkiye’de ne yapılıyor?

BBC Türkçe’nin aktardığına göre Siber Güvenlik Başkanlığı, risklerin erken belirlenmesi ve olası etkilerinin sınırlandırılması amacıyla ülke genelinde güvenlik taramaları başlattı ve ilgili kurumlara acil bildirimler gönderdi.

Başkanlığın açıklamasında, “Kamu kurumlarımızın, kritik altyapı işletmecilerimizin ve özel sektör kuruluşlarımızın sistemlerini gözden geçirerek gerekli güvenlik güncellemelerini ivedilikle uygulamaları önem taşımaktadır” denildi.

Tarama başlatılması, Türkiye’de belirli bir kurumun verilerinin çalındığının tespit edildiği anlamına gelmiyor. Açıklanan çalışma, savunmasız sistemlerin bulunmasına ve gerekli önlemlerin alınmasına yönelik.

Yapay zekâ nasıl bir rol oynadı?

Calif ve Wiz araştırmacıları, kodu incelemek ve açıkların saldırıda nasıl kullanılabileceğini ortaya çıkarmak için yapay zekâ araçlarından yararlandı. Wiz’in araştırması, bu araçların karmaşık saldırı yollarının bulunması için gereken süreyi önemli ölçüde kısalttığını ortaya koyuyor.

Ancak sorunun geçmişi yalnızca bu keşiften ibaret değil. PHP Vakfı’nın yayımladığı teknik değerlendirmeye göre, açıklardan birinin temelindeki bellek sorununun ilk işaretleri 2024’te görüldü. O dönemde somut bir uzaktan saldırı yöntemi ortaya konulamaması, çözüm seçeneklerinin başka sorunlar yaratma ihtimali ve sınırlı insan kaynağı, düzeltmenin gecikmesinde etkili oldu.

Vakıf, gecikmeyi “hem güvenlik ekibinin karar alma sürecinden hem de kaynak yetersizliğinden kaynaklanan yapısal bir başarısızlık” olarak nitelendirdi. 2026’daki araştırmalar ise sorunun etkisini somutlaştırarak düzeltme çalışmalarını hızlandırdı.

Site sahipleri ne yapmalı?

Açıkları gideren sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. Sunucuyu kendisi yönetenlerin uygun güvenlik güncellemesini uygulaması; barındırma hizmeti alanların ise güncellemenin yapıldığını sağlayıcılarından teyit etmesi gerekiyor. Bazı işletim sistemi sağlayıcıları düzeltmeleri kendi paketlerine aktardığı için kontrolün yalnızca sürüm numarasına bakılarak yapılmaması gerekiyor.

Yalnızca WordPress’i, temaları veya eklentileri güncellemek bu açığı kapatmıyor; bunların üzerinde çalıştığı PHP altyapısının da düzeltilmesi gerekiyor. Güvenlik duvarları gibi ek önlemler bazı saldırı yollarını engelleyebilse de güncellemenin yerini tutmuyor.

Avrupa Birliği siber güvenlik kurumlarının ortak uyarısı da internete açık sistemlere öncelik verilmesini, kuruluşların barındırma ve hizmet sağlayıcılarıyla koordinasyon kurmasını öngörüyor.

İnternet kullanıcıları ne yapmalı?

Sıradan kullanıcıların kendi telefonlarına veya bilgisayarlarına bir PHP yaması yüklemesi gerekmiyor; temel sorumluluk site ve sunucu yöneticilerinde.

BBC’ye konuşan UNSW Sydney araştırmacısı Salil Kanhere, kullanıcıların yararlandıkları hizmetlerden gelen güvenlik bildirimlerini takip etmesini öneriyor. Şifre değiştirme talebi gibi uyarılar kontrol edilirken, olayın yarattığı endişeyi kullanarak sahte bağlantılar gönderen dolandırıcılara karşı da dikkatli olunması gerekiyor.

Kaynak: Gazete Oksijen