Dünya genelinde milyonlarca internet sitesini ilgilendiren kritik bir siber güvenlik tehdidi ortaya çıktı. Web sitelerinde yaygın olarak kullanılan PHP yazılımında, saldırganların sunucularda uzaktan komut çalıştırmasına olanak verebilen iki ciddi güvenlik açığı tespit edildi. Açıkların teknik ayrıntılarının ve saldırı yöntemlerine ilişkin bilgilerin kamuoyuna sızması üzerine uluslararası alarm verildi. PHP geliştiricileri, 21 Ekim 2026 tarihinde iki açığı kapatan acil güvenlik güncellemelerini yayımladı. Uzmanlar, güncellenmeyen sistemlerde internet sitelerinin ele geçirilmesi ve hassas verilerin açığa çıkması riskine dikkat çekiyor.
İnternet sitelerinin ve web uygulamalarının geliştirilmesinde kullanılan PHP, dünya genelinde en yaygın sunucu taraflı programlama dillerinden biri. WordPress, Drupal ve Joomla gibi içerik yönetim sistemlerinin altyapısında da kullanılan yazılımdaki güvenlik açıkları, yalnızca büyük şirketleri değil, küçük işletmeleri, haber sitelerini ve bireysel internet sitesi sahiplerini de yakından ilgilendiriyor.
PHP'de iki kritik güvenlik açığı tespit edildi
PHP güvenlik ekibi tarafından açıklanan güvenlik açıkları CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıt altına alındı.
Her iki açık da uluslararası güvenlik derecelendirme sistemi CVSS'nin 4.0 sürümünde 10 üzerinden 9,2 puanla kritik seviyede değerlendirildi.
Güvenlik açıkları, belirli koşullar altında saldırganların kullanıcı adı veya şifre bilmeden uzaktaki sunucularda kod çalıştırmasına imkân verebiliyor.
Bu tür saldırılar siber güvenlik alanında Remote Code Execution (RCE), yani uzaktan kod çalıştırma olarak adlandırılıyor.
Başarılı bir saldırı sonucunda web uygulamalarının değiştirilmesi, dosyalara erişilmesi, hassas verilerin açığa çıkması veya etkilenen sunucudaki işlemlerin saldırgan tarafından yönlendirilmesi gibi ciddi sonuçlar ortaya çıkabiliyor.
Güvenlik açığı hangi PHP sürümlerini etkiliyor?
Yapılan güvenlik değerlendirmelerinde, PHP'nin uzun yıllardır kullanılan sürümlerinin risk altında olduğu belirtildi. Özellikle PHP 5.4 ve sonrasındaki sürümlerde bulunan bazı işlevler, açıklanan saldırı yöntemleriyle ilişkilendirildi.
PHP'nin resmî güvenlik duyurusunda riskin yalnızca belirli web uygulamalarıyla sınırlı olmadığı, PHP kullanarak internet üzerinden istek alan sistemlerin değerlendirilmesi gerektiği vurgulandı.
PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi farklı sunucu ortamlarının etkilenebileceği açıklandı.
Ancak bir sunucuda PHP bulunması, sistemin mutlaka ele geçirildiği anlamına gelmiyor. Riskin gerçekleşmesi; kullanılan sürüme, sunucu yapılandırmasına, erişim koşullarına ve saldırı yöntemine bağlı olarak değişebiliyor.
21 Ekim'de acil yamalar yayımlandı
İlk güvenlik uyarılarında PHP tarafından henüz bir yama yayımlanmadığı belirtilirken, geliştirici ekip 21 Ekim 2026 tarihinde acil güvenlik sürümlerini kullanıma sundu.
Resmî açıklamaya göre güvenlik açıklarını kapatan sürümler şunlar:
- PHP 8.2 kullananlar için 8.2.35
- PHP 8.3 kullananlar için 8.3.36
- PHP 8.4 kullananlar için 8.4.27
- PHP 8.5 kullananlar için 8.5.12
PHP güvenlik ekibi, yalnızca geçici yapılandırma değişikliklerinin yeterli olmadığını, kalıcı koruma için güvenlik yamalarının uygulanması gerektiğini bildirdi.
PHP 8.1 ve daha eski sürümler, projenin normal güvenlik güncellemesi desteği dışında bulunuyor. Bu sürümleri kullananların desteklenen sürümlere geçmesi veya hizmet sağlayıcılarının sunduğu özel güvenlik düzeltmelerini kontrol etmesi gerekiyor.
Güvenlik açığının saldırı yöntemi internete sızdı
Olayı daha da kritik hale getiren gelişmelerden biri, güvenlik açıklarının teknik ayrıntılarının resmî güncellemelerden önce internette paylaşılması oldu.
PHP geliştiricilerinin 20 Ekim'deki ön duyurusunun ardından saldırı yöntemleriyle bağlantılı teknik bilgiler ve örnek kodlar çeşitli platformlarda dolaşıma girdi.
Siber güvenlik uzmanları, bu durumun kötü niyetli kişilerin güvenlik açıklarını araştırmasını ve saldırı girişimlerinde bulunmasını kolaylaştırabileceği uyarısında bulundu.
Uluslararası güvenlik şirketi Cloudflare de güncellemelerin yayımlanmasından önce erken saldırı girişimleri gözlemlediğini açıkladı.
Bununla birlikte internette saldırı kodlarının yayımlanması, PHP kullanan bütün sunucuların otomatik olarak ele geçirilebileceği anlamına gelmiyor.
Yapay zekâ güvenlik açıklarının bulunmasında kullanıldı
Uluslararası teknoloji basınında yer alan bilgilere göre kritik PHP güvenlik açıklarının tespit edilmesinde yapay zekâ destekli güvenlik araştırmaları önemli rol oynadı.
Wiz ve Calif adlı siber güvenlik şirketlerinin araştırmacıları, yapay zekâ araçlarından yararlanarak PHP'nin temel bileşenlerindeki güvenlik sorunlarını inceledi.
Google Cloud da 21 Ekim'de yayımladığı açıklamada, Wiz araştırmacılarının çeşitli yapay zekâ modellerini güvenlik açıklarının tespit edilmesi ve giderilmesi süreçlerinde kullandığını bildirdi.
Bu gelişme, yapay zekânın yalnızca siber saldırı girişimlerinde değil, güvenlik açıklarının tespit edilmesi ve önlenmesinde de kullanılabileceğini gösterdi.
Avrupa'da bazı kamu siteleri önlem amacıyla kapatıldı
Güvenlik açıklarına ilişkin uyarıların ardından bazı Avrupa ülkelerinde kamu kurumlarının internet siteleri geçici olarak erişime kapatıldı.
Uluslararası haber ajansı Reuters'ın 21 Ekim tarihli haberine göre çeşitli hükümet, eğitim ve sağlık kurumları, güvenlik güncellemeleri tamamlanana kadar riskleri azaltmak amacıyla bazı dijital hizmetlerini durdurdu.
Avrupa Birliği siber güvenlik birimleri de güncellemelerin hızla uygulanmasını, gerekli güvenlik önlemlerinin alınamadığı sistemlerin ise geçici olarak kapatılmasının değerlendirilmesini tavsiye etti.
Gelişmeler, güvenlik açığının yalnızca teknik bir yazılım sorunu olmadığını, kamu hizmetleri ve dijital altyapılar açısından da önemli riskler oluşturabileceğini ortaya koydu.
Türkiye'deki hosting şirketleri önlem almaya başladı
Türkiye'deki hosting hizmeti sağlayıcıları da PHP güvenlik açıklarına ilişkin müşterilerine bilgilendirmelerde bulunmaya başladı.
Paylaşılan güvenlik duyurularından birinde, açıkların barındırma şirketinin kendi sisteminden değil, PHP yazılımının temel bileşenlerinden kaynaklandığı belirtildi.
Söz konusu duyuruda paylaşımlı hosting sunucuları, bazı sunucu ve sanal sunucu hizmetleri ile bulut sunucularında geçici yapılandırma değişiklikleri gerçekleştirildiği açıklandı.
Bu kapsamda PHP'nin dosya yükleme ilerlemesini takip eden özelliğinin kapatıldığı bildirildi.
Ancak hosting şirketlerinin gerçekleştirdiği geçici yapılandırma değişiklikleriyle resmî PHP güvenlik güncellemelerinin birbirinden ayrı değerlendirilmesi gerekiyor.
session.upload_progress.enabled = Off ayarı yeterli mi?
Güvenlik açığının kamuoyuna yansımasının ardından PHP yapılandırma dosyasında bulunan session.upload_progress.enabled ayarının kapatılması geçici koruma yöntemlerinden biri olarak gündeme geldi.
Bu özellik, dosya yükleme işlemlerinin ilerleme durumunu takip etmek amacıyla kullanılıyor ve standart PHP yapılandırmalarında etkin olabiliyor.
PHP'nin resmî açıklamasına göre özelliğin kapatılması, CVE-2026-109619 açığıyla bağlantılı doğrulanmış bazı saldırı yollarını engelleyebiliyor.
Ancak bu değişiklik bütün saldırı yöntemlerine karşı tam koruma sağlamıyor. Diğer kritik açık olan CVE-2026-109618 için de farklı güvenlik önlemleri gerekiyor.
Bu nedenle sunucularda yalnızca ilgili ayarın kapatılmasına güvenilmemesi, iki açığı da gideren güncel PHP sürümlerinin yüklenmesi önem taşıyor.
İnternet sitesi sahipleri ne yapmalı?
PHP kullanan internet sitesi yöneticileri ve sistem sorumlularının öncelikle sunucularındaki PHP sürümünü kontrol etmesi gerekiyor.
Güvenlik uzmanlarının önerileri doğrultusunda şu önlemler öne çıkıyor:
- Sunucuda kullanılan PHP sürümünün belirlenmesi
- PHP'nin 21 Ekim 2026 tarihli güvenlik düzeltmelerini içeren sürüme güncellenmesi
- Eski ve güvenlik desteği sona ermiş PHP sürümlerinden geçiş planlanması
- Hosting şirketinden güvenlik yamalarının uygulanıp uygulanmadığına ilişkin bilgi alınması
- Sunucu erişim kayıtlarının ve olağan dışı faaliyetlerin incelenmesi
- Web sitesi dosyalarının ve veri tabanlarının güvenli yedeklerinin kontrol edilmesi
- Şüpheli bir durum tespit edilmesi halinde sistemin uzmanlar tarafından incelenmesi
Paylaşımlı hosting kullanan internet sitesi sahiplerinin sunucu düzeyindeki güncellemeleri doğrudan gerçekleştiremeyebileceği, bu işlemler için hizmet sağlayıcılarına başvurmaları gerekebileceği belirtiliyor.
WordPress ve haber siteleri de risk altında mı?
PHP tabanlı WordPress, Drupal ve Joomla gibi içerik yönetim sistemlerini kullanan internet siteleri, altyapılarındaki PHP sürümünün güvenlik durumuna bağlı olarak risk taşıyabiliyor.
Bu nedenle bir internet sitesinin içerik yönetim sisteminin güncel olması, sunucuda kullanılan PHP sürümünün de güvenli olduğu anlamına gelmiyor.
Özellikle haber portalları, e-ticaret siteleri, kurumsal web sayfaları ve kullanıcı verilerinin işlendiği platformlarda PHP altyapısının güncelliği önem taşıyor.
Türkiye'de PHP kullanan internet sitelerine yönelik doğrulanmış toplu bir saldırı sayısı henüz açıklanmış değil. Ancak güvenlik açıklarının teknik ayrıntılarının internette bulunması ve uluslararası uyarılar, sunucu yöneticileri açısından hızlı güncelleme ihtiyacını artırıyor.
PHP geliştiricileri, 21 Ekim'de yayımlanan güncellemelerin vakit kaybedilmeden uygulanması çağrısında bulunuyor.
