PHP açığı nedir? Ne anlama geliyor?

İnternet dünyasının en yaygın sunucu tarafı programlama dillerinden biri olan PHP’de keşfedilen kritik güvenlik açıkları, küresel ölçekte acil eylem planlarının devreye sokulmasına yol açtı. Saldırganların kullanıcı adı veya şifre gerektirmeden sunucularda uzaktan kod çalıştırmasına (RCE) imkân tanıyan açıklar için PHP güvenlik ekibi acil güncellemeleri yayımladı.

Açık Ne Anlama Geliyor ve Neden Bu Kadar Tehlikeli?

Teknik kayıtlarda CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıklar, PHP’nin bellek yönetimi ve hata durumlarını işleme biçimindeki yapısal bir sorundan kaynaklanıyor.

10 üzerinden 9,2 ciddiyet puanına sahip olan açık, “kritik” kategorisinde yer alıyor. Sorun uygulamanın kendi kodunda değil, doğrudan PHP altyapısında bulunduğu için; yazılımı kusursuz yazılmış bir internet sitesi bile savunmasız bir PHP sürümü üzerinde çalışıyorsa risk taşıyor. Saldırının gerçekleşmesi için herhangi bir kullanıcı hesabına veya yöneticinin kötü amaçlı bir bağlantıya tıklamasına gerek duyulmuyor.

Hangi Sistemler ve Siteler Risk Altında?

WordPress, Drupal, Joomla gibi popüler içerik yönetim sistemleri ile Wikipedia’nın altyapısını oluşturan MediaWiki doğrudan PHP üzerine kurulu olduğu için geniş bir etki alanına sahip.

BBC, Finlandiya hükümeti, Edinburgh Belediyesi ve İskoçya’daki bazı sağlık kuruluşları ile Wikimedia gibi yapılar, güncellemeleri derhal uygulayamadıkları için önlem amacıyla kritik sistemlerini geçici olarak çevrimdışı (erişime kapalı) hale getirdi.

Otomatik önlem alan bazı büyük bulut ve barındırma sağlayıcıları kendi altyapılarını güncellerken, kendi sunucusunu yöneten bireysel site sahiplerinin ve şirketlerin manuel müdahale yapması gerekiyor.

Türkiye’de Ne Yapılıyor?

BBC Türkçe’nin aktardığı bilgilere göre, olası siber risklerin erken tespit edilmesi ve potansiyel zararların önüne geçilmesi amacıyla Siber Güvenlik Başkanlığı tarafından ülke genelinde ulusal ölçekte güvenlik taramaları başlatıldı. İlgili kamu kurumlarına, kritik altyapı işletmecilerine ve özel sektör kuruluşlarına acil bildirimler gönderilerek sistemlerin acilen güncellenmesi istendi. Uzmanlar, başlatılan bu taramaların bir veri sızıntısı tespit edildiği anlamına gelmediğini, savunmasız sistemleri tespit etmeye yönelik koruyucu bir adım olduğunu vurguluyor.

Site ve Sunucu Yöneticileri Ne Yapmalı?

Açıkları kalıcı olarak kapatan güncel PHP sürümleri yayımlandı. Güvenlik riskini ortadan kaldırmak için atılması gereken adımlar şunlardır:

Sürüm Güncellemesi: Sunucuların PHP sürümleri 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 (veya daha üstü düzeltme sürümlerine) ivedilikle yükseltilmelidir. Yalnızca WordPress tema ve eklentilerini güncellemek bu açığı kapatmaz; altyapıdaki PHP sürümünün yamanması şarttır.
Barındırma Kontrolü: Kendi sunucusunu yönetmeyenler, kullandıkları hosting ve barındırma firmalarıyla iletişime geçerek gerekli güvenlik yamasının uygulanıp uygulanmadığını teyit etmelidir.
Geçici Kapatma: Güncellemenin anında yapılamadığı kritik sistemlerde, yama uygulanana kadar internet erişiminin geçici olarak kesilmesi önerilmektedir.