PHP’de Kritik Güvenlik Açıkları İçin Acil Güncelleme

İnternet sitelerinin altyapısında yaygın olarak kullanılan PHP’de iki kritik güvenlik açığı ortaya çıktı. PHP ekibi, saldırganların belirli koşullarda sunucularda uzaktan kod çalıştırmasına imkan tanıyan açıklar için 21 Ekim’de güvenlik güncellemelerini yayımladı. Site yöneticilerine güncellemeleri vakit kaybetmeden uygulama çağrısı yaptı.

PHP2Shell Güvenlik Açıkları Neden Bu Kadar Ciddi?

PHP2Shell adı verilen açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. Her iki açığın da güvenlik derecesi 10 üzerinden 9,2 olarak açıklandı. Araştırmacılar, herhangi bir kullanıcı hesabıyla giriş yapmadan WordPress, Drupal ve Joomla kurulumlarında uzaktan kod çalıştırabildiklerini gösterdi. Sorun PHP’nin kendisinden kaynaklandığı için sitenin uygulama kodunda ayrıca bir hata bulunması gerekmiyor.

Tehdidin bu kadar geniş yankı uyandırmasının nedeni PHP’nin kullanım oranı. W3Techs’in 21 Ekim verilerine göre sunucu tarafındaki programlama dili tespit edilebilen internet sitelerinin yüzde 69,3’ü PHP kullanıyor. Bu oran, internetin tamamındaki sitelerin yüzde 70’inin saldırıya uğradığı anlamına gelmiyor ancak güncellemenin ne kadar geniş bir kesimi ilgilendirdiğini gösteriyor.

Açıklar, PHP’nin bellek yönetiminde yaşanan sorunlardan kaynaklanıyor. Özellikle bellek yetersizliği gibi hatalar sırasında bazı işlemlerin yarıda kalması, PHP’nin artık geçerli olmayan verileri kullanmasına yol açabiliyor. Araştırmacılara göre saldırganlar bu durumdan yararlanarak sunucuda kendi kodlarını çalıştırabiliyor veya bellekteki şifreler, oturum bilgileri ve API anahtarları gibi hassas verilere ulaşabiliyor. Etkilenen sürümler PHP 5.4’e kadar uzanıyor.

Araştırmanın dikkat çeken taraflarından biri de yapay zekanın rolü. Wiz ekibi, açıkları inceleme, çalışan saldırı yöntemleri geliştirme ve yamaları doğrulama sürecinde Wiz Atlas, Gemini 4 Argon ve GPT-5.6 Sol’dan yararlandığını açıkladı. Şirkete göre yapay zeka, daha önce istismar edilmesi çok zor görülen hataların farklı sistemlerde kullanılabilecek saldırılara dönüştürülmesini kolaylaştırdı.

PHP Vakfı’nın açıklaması ise sorunun geçmişine ilişkin yeni ayrıntılar ortaya koydu. Vakıf, açıklardan birinin temelindeki bellek sorununa ait ilk işaretlerin 2024’te görüldüğünü belirtti. Ancak o dönemde somut bir saldırı yolunun bulunamaması, çözüm seçenekleri üzerindeki anlaşmazlıklar ve kaynak yetersizliği düzeltmeyi geciktirdi. Vakıf bu gecikmeyi yapısal bir başarısızlık olarak değerlendirdi. Calif araştırmacısının 11 Ağustos 2026’da çalışan bir uzaktan kod yürütme yöntemi bildirmesinin ardından sorun en yüksek önceliğe alındı.

Başlangıçta 22 Ekim için planlanan güncelleme, açıkların kimlik numaralarının internette dolaşıma girmesi üzerine bir gün erkene çekildi. Cloudflare da müşterilerini hedef alan saldırı trafiği gözlemlediğini ve saldırganların güvenlik önlemlerini aşmak için isteklerini değiştirdiğini açıkladı. Şirket, ücretsiz ve ücretli web uygulaması güvenlik duvarı hizmetlerine koruma eklediğini duyurdu. Bununla birlikte PHP güncellemesinin yine de yapılması gerektiğini vurguladı.

Açıkları gideren sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 olarak sıralanıyor. PHP ekibi, eski sürümleri kullananların desteklenen bir sürüme geçmesini veya hizmet aldıkları sağlayıcıdan güvenlik yamasının uygulanıp uygulanmadığını öğrenmesini istiyor. Geçici önlemler bazı saldırı yollarını zorlaştırsa da tek başına tam koruma sağlamıyor.

Yapay Zeka

ChatGPT'de Sohbetler Artık PIN ile Kilitlenebiliyor

OpenAI, ChatGPT'deki sohbetleri 4 haneli bir PIN ile kilitlemeyi sağlayan Locked Chats özelliğini sunmaya başladı. Özellik Free dahil tüm planlara geliyor.

WordPress kullananlar için de önemli bir ayrıntı var. Yalnızca WordPress’i, temaları veya eklentileri güncellemek bu sorunu çözmüyor. Sunucuda çalışan PHP’nin de güncellenmesi gerekiyor. Automattic, WordPress.com, WordPress VIP, WP Cloud, Pressable ve Tumblr üzerinde barındırdığı sitelerin korunduğunu açıkladı. Başka bir hosting hizmeti kullanan site sahiplerinin ise sağlayıcılarından PHP güncellemesini doğrulamalarını istedi.