PHP'de kritik güvenlik açığı: Uzmanlar acil güncelleme çağrısı yaptı

PHP programlama dilinin geliştiricileri, saldırganların etkilenen sunucularda uzaktan kod çalıştırmasına imkân verebilecek iki kritik güvenlik açığı için acil yama yayımladı. PHP Foundation'ın açıklamasına göre güvenlik dünya çapında web yöneticilerini ve geliştiricileri harekete geçirdi; uzmanlar güncellemenin tek güvenli seçenek olduğunu belirtiyor.

PHP güvenlik açığı CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. Foundation, web isteklerini karşılayan tüm PHP kurulumlarının, 2004'te yayımlanan PHP 5'e kadar geriye giden biçimde etkilendiğini bildirdi. Ancak yalnızca PHP 8.2 ve daha yeni sürümler resmi yama alacak; bazı dağıtımlar ve üçüncü taraf sağlayıcılar eski sürümler için de düzeltme üretmeye devam ediyor.

Her iki açık da Common Vulnerability Scoring System (CVSS) ölçeğinde 10 üzerinden 9,2 puanla "kritik" kabul ediliyor. Foundation, yamaların yayımlanmasından önceki uyarısında ayrıntı vermedi ve açıklarla ilgili bilgilerin kamuya sızması ya da aktif sömürü kanıtı çıkması halinde güncellemeyi daha erken yayımlama hakkını saklı tuttuğunu belirtmişti.

PHP güvenlik açığı neden bu kadar tehlikeli?

PHP, 1990'lardan bu yana web geliştirmede kullanılan temel dillerden biri. WordPress ve Drupal gibi yayın sistemlerinden Adobe'nin Magento'suna kadar birçok e-ticaret platformu PHP üzerinde çalışıyor. Bağımsız güvenlik danışmanı ve King's College London'da kıdemli araştırmacı Lukasz Olejnik, dilin yaygınlığını kritik altyapıya benzetiyor.

Olejnik, "Etki çok büyük" diyerek milyonlarca sistemin etkilenebileceğini söylüyor. Saldırganların açıkları hızla kullanmaya yönelmesi halinde en kötü senaryonun, internetin büyük bölümünü etkileyen solucan benzeri kötü amaçlı yazılımlar olduğunu ekliyor. Uzun süredir güvenlik ve uyum danışmanlığı yapan Davi Ottenheimer ise açığı, kilidi olmayan bir ön kapıya benzetiyor: Saldırganın hangi siteye veya hangi yazılıma saldırdığını bilmesine gerek olmadığını, tek bir hazırlanmış yüklemenin tüm saldırıyı oluşturduğunu söylüyor.

Açık nasıl sömürülüyor, kimler tespit etti?

Google'a ait güvenlik şirketi Wiz, açıkları kısmen yapay zekâ araçlarıyla keşfettiklerini açıkladı. OpenAI ve güvenlik firması Calif de sorunları bağımsız olarak bulduklarını ve birlikte çalıştıklarını belirtiyor. Wiz araştırmacıları, sömürü gösterimine "php2shell" adını verdi.

Wiz'in araştırmasına göre açıklar, kimlik doğrulaması yapmayan saldırganların etkilenen sunucularda kod çalıştırmasına ya da hassas süreç belleğini okumasına izin verebiliyor. Bu bellek, başka isteklere veya sunucunun kendisine ait parolalar, kimlik doğrulama jetonları, API anahtarları ve sertifikalar içerebiliyor. Firma, bazı durumlarda açıkların "oldukça kolay" biçimde sömürülebildiğini yazıyor.

Cloudflare, açıklar ayrıntılandırılmadan ve yamalar yayımlanmadan önce erken saldırı girişimleri gördüğünü bildirdi. Güvenlik firması Sansec ise yamaların çıkmasından sonraki 15 dakika içinde kitlesel saldırıların başlamasını beklediğini açıklamıştı. Bleeping Computer ve Ars Technica'nın haberlerine göre açıklara ilişkin bazı ayrıntılar resmi yayımdan önce sızmış olabilir.

Kurumlar ve kullanıcılar ne yapmalı?

PHP Foundation, uyarılarında "Tam bir hafifletme yok, güncellemek tek güvenli seçenek" ifadelerini kullandı. Avrupa Birliği'nin bilgisayar acil müdahale ekibi EU-CERT ve Avustralya'nın siber güvenlik kurumu, bilişim ekiplerine sistemlerini mümkün olan en kısa sürede güncellemeye hazır olmaları çağrısı yaptı.

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), kuruluşlara PHP kullanan sistemler için "acil güncellemeye hazırlanmaları" uyarısında bulundu. Merkez, güncellemenin hemen yapılamadığı durumlarda sistemin tamamen giderilene kadar çevrimdışı alınmasını önerdi. Kuruluşların önce altyapılarında PHP çalışan sistemleri belirlemesi, özellikle internetle bağlantılı olanları izlemesi, ardından güncellemeleri uygulaması ve PHP'yi uygulamalarında kullanan yazılım şirketlerinin duyurularını takip etmesi isteniyor.

FBI Siber Güvenlik Yardımcı Direktörü Brett Leatherman da çevrimiçi paylaşımında, ele geçirilme belirtisi bulan kuruluşların sistemi izole etmesini, web sunucusu ve PHP günlüklerini saklamasını ve durumu yerel FBI saha ofisine bildirmesini istedi.

Bazı kurumlar yamalar yayımlanmadan önce sitelerini geçici olarak kapattı. Haberlere göre Finlandiya hükümetine ait Ulusal Arazi Ölçüm Kurumu dahil birden fazla site erişilemez durumdaydı. Reuters'a göre Fransız hükümet siteleri ve Rotterdam Limanı'nın sitesi de çevrimdışıydı.

Türkiye'de durum ne?

PHP, Türkiye'de de içerik yönetim sistemleri ve e-ticaret altyapılarında yaygın kullanılıyor; ancak kaynak metinde Türkiye'ye özel bir etki ya da müdahale bilgisi yer almıyor. Türkiye'deki kurumların da NCSC ve EU-CERT'in önerileri doğrultusunda PHP çalıştıran sistemlerini belirleyip PHP 8.2 ve üzeri sürümlere güncellemesi, güncelleme yapılamıyorsa sistemi geçici olarak devre dışı bırakması gerekiyor.