PHP Güvenlik Açığı Dünyayı Alarma Geçirdi: Binlerce Site Kapatıldı

Web sitelerinin büyük bölümünün arka planında çalışan programlama dili PHP’de ortaya çıkan iki kritik PHP güvenlik açığı, internet dünyasını son yılların en ciddi alarmına soktu. Yamaların yayımlanmasının ardından birçok ülkede hükümet, hastane, okul ve kamu hizmeti siteleri önlem amacıyla geçici olarak erişime kapatıldı. Türkiye’de de Siber Güvenlik Başkanlığı ülke genelinde uyarı yayımladı.

PHP güvenlik açığı neden bu kadar tehlikeli?

PHP geliştirme ekibi 20 Ekim’de yaptığı duyuruda, iki kritik açığı kapatan acil yamaların yayımlandığını bildirdi. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıklar, resmi değerlendirmede CVSS v4.0 ölçeğinde 10 üzerinden 9,2 puan aldı. Siber güvenlik şirketi watchTowr ise riski 10 üzerinden 10 olarak tanımladı.

Açıkların en korkutucu yanı, saldırganın oturum açmasına gerek kalmadan sunucuda uzaktan kod çalıştırabilmesine imkân tanıması. Bu, bir saldırganın doğrudan sunucu dosya sistemine ya da veri tabanına ulaşabilmesi, hatta zararlı yazılım yükleyebilmesi anlamına geliyor. PHP’nin internetteki sitelerin yaklaşık yüzde 70’inde kullanıldığı düşünüldüğünde etki alanının ne kadar geniş olduğu daha iyi anlaşılıyor.

Açıkları yapay zekâ buldu

Olayın dikkat çeken bir diğer tarafı keşif süreci. Calif bünyesindeki araştırmacılar açıkları OpenAI’ın GPT-5.6 Sol modeliyle tespit etti, Google çatısındaki Wiz de kendi yapay zekâ araçlarıyla bulguları bağımsız olarak doğruladı. Uzmanlara göre bu tür mantık hataları klasik kod incelemesiyle yıllarca gözden kaçabiliyor; yapay zekâ ise hem tespiti hem de istismar senaryolarının üretilmesini ciddi şekilde hızlandırıyor.

Sızdırılan bir videoda “PHP2Shell” adlı istismar aracının WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal ve WHMCS gibi popüler platformlarda kod çalıştırabildiği iddia ediliyor. watchTowr, açıklardan en az birini kendi laboratuvarında yeniden üretebildiğini açıkladı. Güvenlik şirketi Sansec ise yamaların ardından ilk kitlesel saldırı dalgasının 15 dakika içinde başlayabileceği uyarısında bulundu.

Hangi kurumlar sitelerini kapattı?

ABD Ulusal Güvenlik Ajansı (NSA), Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), Avustralya ve AB yetkilileri, yama uygulanamayan sistemlerin çevrim dışı tutulmasını tavsiye etti. Bu çağrının ardından kapatma kararları art arda geldi:

• Almanya Dijital Bakanlığı bazı kamu sitelerini önleyici olarak kapattı.
• Fransa İçişleri Bakanlığı valilik sitelerini geçici olarak erişime kapattı.
• Hollanda’da Rotterdam Limanı, Overheid.nl, futbol federasyonu KNVB ve çok sayıda hastanenin siteleri çevrim dışı kaldı.
• Finlandiya’da devletin IT merkezi Valtori kamu web hizmetlerini durdurdu.
• Wikimedia Foundation, PHP kullanan bazı sistemlerini yamalar tamamlanana kadar kapattı.

Japonya Başbakanı Sanae Takaichi de kamuya açık sitelerin PHP çalıştırıp çalıştırmadığının acilen kontrol edilmesini istedi. Cloudflare yöneticisi Dane Knecht ise ilk saldırı girişimlerinin görülmeye başlandığını ve yeni koruma katmanlarının devreye alındığını açıkladı.

Site sahipleri ne yapmalı?

CERT-EU’ya göre açıklar 2004’te çıkan PHP 5’e kadar uzanan sürümleri etkileyebiliyor. Ancak PHP Foundation yamaları yalnızca güncel sürümler için yayımladı. Bu nedenle PHP 8.1 ve daha eski sürümleri kullanan sistemlerin vakit kaybetmeden yükseltilmesi gerekiyor. Güncelleme hemen yapılamıyorsa uzmanların önerisi siteyi geçici olarak kapatmak. Güncel sürümler ve güvenlik duyuruları için PHP’nin resmi sitesi takip edilebilir.

Kendi sitesini yönetenler için hosting firmasıyla iletişime geçmek de önemli. Paylaşımlı barındırma kullananlar için web hosting seçerken nelere dikkat edilmesi gerektiğini anlattığımız rehber, güvenlik güncellemelerini hızlı yapan bir sağlayıcı seçmenin önemini bir kez daha gösteriyor. WordPress tarafındaki son gelişmeler için WordPress’e gelen yapay zekâ asistanı haberimize de göz atabilirsiniz.

Sıkça Sorulan Sorular

PHP güvenlik açığı hangi sürümleri etkiliyor?

CERT-EU’ya göre PHP 5’e kadar uzanan sürümler risk altında olabilir. Yamalar yalnızca güncel sürümler için yayımlandığından PHP 8.1 ve öncesini kullananların yükseltme yapması gerekiyor.

WordPress sitem etkilenir mi?

WordPress PHP ile çalıştığı için risk altında. Sunucudaki PHP sürümünün güncellenmesi ve WordPress ile eklentilerin son sürümde tutulması gerekiyor.

Açığın istismar edildiği bir saldırı var mı?

Cloudflare ilk saldırı girişimlerinin görüldüğünü açıkladı. Büyük çaplı başarılı bir saldırı henüz bildirilmedi ancak risk sürüyor.