PHP’de iki kritik açık: Milyonlarca sunucu için acil yama

PHP’de iki kritik açık: Milyonlarca sunucu için acil yama

Web sitelerinin büyük bölümünde sunucu tarafında çalışan PHP’de, saldırganların kimlik doğrulaması yapmadan uzaktan kod çalıştırmasına imkân tanıyabilecek iki ciddi güvenlik açığı bulundu. “PHP2Shell” olarak adlandırılan CVE-2026-109618 ve CVE-2026-109619 numaralı açıkları kapatan güncellemeler 21 Ekim 2026'da yayımlandı.

Tehlike puanı 10 üzerinden 9,2

İki açık da CVSS v4.0 ölçeğinde 9,2 puanla “kritik” seviyede değerlendirildi. Bu puan, bir sistemin saldırıya uğrama ihtimalini değil, açığın teknik olarak ne kadar ağır sonuçlar doğurabileceğini gösteriyor. Sorunun kaynağı, gelen isteklerin işlenmesi sırasında belleğin güvenli şekilde yönetilememesi.

Sadece site yazılımını güncellemek yetmeyebilir

PHP geliştirici ekibine göre PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed ile çalışan kurulumlar risk altında. En kritik durum mod_php’de: Doğrulanmış bir saldırı yöntemi, sitenin kendi kodu daha devreye girmeden tetiklenebiliyor. Bu nedenle yalnızca içerik yönetim sistemini ya da eklentileri güncellemek koruma sağlamayabilir; PHP’nin kendisinin yamalanması gerekiyor.

Rakamlar büyük, ama hepsi ihlal değil

Censys’in 21 Ekim’de paylaştığı tarama sonuçlarında PHP kullanan 6 milyon 292 bin 667 sunucu ve 115 milyon 393 bin web varlığı tespit edildi. Bu iki rakam farklı ölçümler olduğu için toplanamıyor; ayrıca saldırıya uğramış ya da kesin olarak savunmasız sistem sayısını göstermiyor.

Yine de tehdidin gerçek olduğuna dair işaretler var. Cloudflare, müşterilerine yönelik saldırı girişimleri ve güvenlik önlemlerini aşmak için değiştirilmiş saldırı denemeleri gözlemlediğini duyurdu. Şirket, güvenlik duvarı kullanılsa bile PHP güncellemelerinin mutlaka yapılmasını tavsiye etti. Başarılı saldırı sayısına dair bir bilgi paylaşılmadı.

Uluslararası basının gündeminde

Bloomberg News, ABD yönetiminin kamu kurumları ve kritik altyapıya yönelik riskler konusunda teknoloji şirketleriyle iş birliği yaptığını yazdı. Reuters, bazı kamu sitelerinin önlem olarak geçici olarak erişime kapatıldığını bildirdi. The Wall Street Journal ve The Washington Post da konuyu internet altyapısı açısından ele aldı. Ancak bu kuruluşların kendi sistemlerinin ele geçirildiğine dair doğrulanmış bir bilgi bulunmuyor.

Avrupa ve Çin’den de uyarı

Şanghay Jiao Tong Üniversitesi’nin ağ bilgi merkezi, internete açık sunucular, paylaşımlı barındırma ortamları ve içerik yönetim sistemlerinin öncelikli olarak güncellenmesi çağrısında bulundu. ENISA ve Avrupa Birliği’nin diğer siber güvenlik kurumları da kurumlara hangi PHP uygulamalarını kullandıklarını tespit etmelerini, barındırma firmalarıyla iletişime geçmelerini ve yamaları uygulamalarını önerdi. Hemen güncellenemeyen sistemlerin internetten geçici olarak ayrılması da seçenekler arasında.

Güvenli sürümler

Açıklar PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleriyle kapatıldı. Site yöneticilerinin yalnızca sürüm numarasına bakmakla yetinmeyip, barındırma firmalarının ilgili düzeltmeyi gerçekten uygulayıp uygulamadığını da teyit etmesi gerekiyor.

PHP nedir?

PHP, internet sitelerinde üye girişi, form gönderimi ve veri tabanı işlemleri gibi görevleri sunucuda yürüten açık kaynaklı bir programlama dili. Rasmus Lerdorf, 1994'te kişisel özgeçmiş sayfasının ziyaretçilerini izlemek için birkaç araç yazdı ve bunlara “Personal Home Page Tools” adını verdi. Haziran 1995'te kaynak kodu herkese açılan bu araçlar zamanla dinamik web siteleri geliştirmek için kullanılan bir dile dönüştü. Kısaltma daha sonra “PHP: Hypertext Preprocessor” olarak yeniden tanımlandı. Kullanıcılar tarayıcıda PHP kodunu değil, sunucunun bu kodu çalıştırarak ürettiği sayfayı görüyor.