PHP açıkları için küresel alarm: Yamalar yayımlandı

PHP’de iki kritik açık: Milyonlarca sunucu için acil yama

İnternet sitelerinin sunucu tarafında yaygın olarak kullanılan PHP, kimlik doğrulama olmadan uzaktan kod çalıştırılmasına yol açabilen iki güvenlik açığı nedeniyle acil güncelleme gündeminde. PHP2Shell adıyla anılan CVE-2026-109618 ve CVE-2026-109619, saldırganların savunmasız sistemlerde PHP işleminin yetkileriyle kod yürütmesine imkân verebiliyor. Güvenlik güncellemeleri 21 Ekim 2026'da yayımlandı.

PHP açıkları neden kritik kabul ediliyor?

Her iki açığın CVSS v4.0 tehlike puanı 10 üzerinden 9,2 olarak belirlendi. Bu değer saldırıya uğrama olasılığını değil, açığın teknik ciddiyetini gösteriyor. Sorunlar, isteklerin işlenmesi sırasında belleğin güvenli biçimde yönetilememesinden kaynaklanıyor.

PHP ekibi; web isteklerini karşılayan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed kurulumlarını risk kapsamında değerlendiriyor. En yüksek riskin mod_php üzerinde olduğu belirtiliyor. Doğrulanmış bir saldırı yöntemi, uygulamanın kendi kodu çalışmadan önce tetiklenebiliyor. Dolayısıyla yalnızca site yazılımını veya eklentileri güncellemek yeterli olmayabiliyor.

Milyonlarca sunucu görülüyor, hepsi saldırıya uğramış değil

Censys’in 21 Ekim tarihli duyurusunda yayımlanan sorgu sonuçları, PHP tespit edilen 6 milyon 292 bin 667 sunucu ve 115 milyon 393 bin web varlığı gösteriyor. Bunlar farklı ölçüm kategorileri olduğu için toplanarak benzersiz internet sitesi sayısı üretilemiyor. Sonuçlar, doğrulanmış ihlal ya da kesin olarak sömürülebilir sistem sayısını da ifade etmiyor.

Buna karşın tehdit yalnızca teorik düzeyde değil. Cloudflare, müşterilerini hedefleyen saldırı trafiği ve korumaları aşmaya yönelik değiştirilmiş saldırı girdileri gözlemlediğini açıkladı. Şirket, güvenlik duvarı korumaları devrede olsa bile PHP yamalarının uygulanmasını öneriyor. Açıklamada toplam başarılı ihlal sayısı verilmiyor.

Uluslararası basın konuyu gündeme taşıdı

Bloomberg News, ABD yönetiminin federal kurumlar ve kritik altyapı üzerindeki olası risklere karşı teknoloji şirketleriyle çalıştığını aktardı. Reuters ise bazı kamu sitelerinin tedbir amacıyla kapatıldığını haberleştirdi. The Wall Street Journal ve The Washington Post da konuyu geniş internet altyapısına yönelik bir risk olarak ele aldı.

Ancak haber yayımlamak, bu kuruluşların kendi sistemlerinin ele geçirildiği anlamına gelmiyor. İncelenen kaynaklarda Bloomberg, BBC veya The New York Times için doğrulanmış bir ihlal kaydına ulaşılamadı.

Çin ve Avrupa’dan da güncelleme uyarısı

Şanghay Jiao Tong Üniversitesi ağ bilgi merkezi, Çince duyurusunda internete açık sunucuların, paylaşımlı barındırma ortamlarının ve içerik yönetim sistemlerinin önceliklendirilmesini istedi.

ENISA ve diğer Avrupa Birliği siber güvenlik kuruluşlarının önerisi de benzer: Kullanılan PHP uygulamalarını belirlemek, barındırma sağlayıcısıyla koordinasyon kurmak ve yamaları uygulamak. Hemen düzeltilemeyen uygulamaların kamuya açık ağlardan geçici olarak ayrılması da değerlendirilmeli.

Hangi sürümler güvenli?

Düzeltmeler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerinde bulunuyor. Site yöneticilerinin yalnızca sürüm numarasını değil, sağlayıcılarının ilgili güvenlik düzeltmesini uygulayıp uygulamadığını da doğrulaması gerekiyor.

PHP nedir, adı nereden geliyor?

PHP, internet sitelerinde kullanıcı girişi, form işleme ve veri tabanıyla iletişim gibi işlemleri sunucu üzerinde gerçekleştiren açık kaynaklı bir programlama dili. Rasmus Lerdorf, 1994'te çevrim içi özgeçmişinin ziyaretlerini takip etmek için geliştirdiği araçlara “Kişisel Ana Sayfa Araçları” anlamına gelen Personal Home Page Tools adını verdi. Kaynak kodları Haziran 1995'te kamuya açılan yazılım, zamanla dinamik internet sitelerinin geliştirilmesinde kullanılan bir dile dönüştü. Kısaltmanın açılımı daha sonra “PHP: Hypertext Preprocessor”, Türkçesiyle “PHP: Hipermetin Ön İşlemcisi” olarak değiştirildi.