PHP'de Kritik Açık: Hükümetler Sitelerini Kapattı, Yama Hemen Yüklenmeli
PHP'de uzaktan kod çalıştırmaya izin veren iki kritik açık için 21 Ekim 2026'da yama yayımlandı. Birçok ülkede kurumlar önlem olarak sitelerini geçici olarak kapattı.
Web sitelerinin büyük bölümünün arkasında çalışan PHP programlama dilinde iki kritik güvenlik açığı ortaya çıktı. PHP ekibi 21 Ekim 2026'da yamaları yayımladı ve tüm kullanıcıları hemen güncelleme yapmaya çağırdı. Bu süreçte birçok ülkede kamu kurumları ve şirketler, önlem olarak bazı sitelerini geçici olarak erişime kapattı.
Açıklar ne kadar tehlikeli?
CVE-2026-109618 ve CVE-2026-109619 numaralarıyla izlenen açıklar, güvenlik camiasında "PHP2Shell" olarak anılıyor. PHP'nin duyurusuna göre her iki açık da 10 üzerinden 9,2 önem puanı aldı. Açıklar, saldırganın oturum açmadan, uzaktan sunucuda kod çalıştırmasına imkân verebiliyor.
PHP ekibi, web isteklerine yanıt veren tüm PHP kurulumlarını risk altında sayıyor. PHP-FPM, mod_php ile Apache, php-cgi, FrankenPHP ve LiteSpeed bu kapsamda. Duyuruda en yüksek riskin mod_php'de olduğu, burada uygulama kodu çalışmadan önce tetiklenebilen bir saldırının gösterildiği belirtiliyor.
Sorunun ölçeği de büyük. Sektör tahminlerine göre PHP, sunucu tarafı dili bilinen web sitelerinin yaklaşık yüzde 70'inde kullanılıyor. Palo Alto Networks, internete bağlı 22,6 milyondan fazla potansiyel olarak savunmasız kurulum tespit etti; ancak bu rakam benzersiz site ya da doğrulanmış ihlal sayısı değil.
Hükümetler ve şirketler sitelerini kapattı
The Record'un haberine göre PHP ekibi uyarısını 20 Ekim akşamı yayımladı, yamalar ise 21 Ekim'de gelmeye başladı. Avrupa Birliği, ABD, Almanya, Japonya, Avustralya, İngiltere ve Hollanda yerel uyarılar yayımladı. The National News Desk, Finlandiya, Hollanda, Belçika ve Fransa'da bazı sitelerin tamamen ya da kısmen kapatıldığını, bunların bir kısmının ihtiyati olduğunu aktarıyor.
Nintendo dahil bazı büyük şirketler de yama sürecinde hizmetlerini geçici olarak durdurdu. Cloudflare, bazı müşterileri için geçici önlemler sunduğunu ve saldırı trafiği gördüğünü açıkladı. Ancak bu girişimlerin başarılı olduğuna dair bir teyit bulunmuyor.
Açıkları yapay zekâ destekli araştırma buldu
The Record'a göre açıklar yaklaşık iki ay önce Calif adlı siber güvenlik firmasının araştırmacıları tarafından, OpenAI'ın "Patch the Planet" programı kapsamında OpenAI araçları kullanılarak bulundu. OpenAI, zayıflıkların zaten var olduğunu, ancak yapay zekânın saldırganların bunları istismar etmesine de yardımcı olabileceğini vurguladı.
Site sahipleri ne yapmalı?
PHP ekibine göre tam bir geçici çözüm yok; tek güvenli yol güncelleme yapmak. Yamalı sürümler şunlar:
- PHP 8.5 için 8.5.12
- PHP 8.4 için 8.4.27
- PHP 8.3 için 8.3.36
- PHP 8.2 için 8.2.35
PHP 8.1 ve daha eski sürümler artık resmi güncelleme almıyor; 7.4, 8.0 ve 8.1 için yalnızca asgari düzeyde geri taşınmış düzeltmeler paylaşıldı. The Record, PHP sitelerinin kabaca yarısının desteği biten eski sürümlerde çalıştığını aktarıyor. PHP 8.2'nin desteği de 31 Aralık 2026'da sona erecek.
Önemli bir not: Açıklar PHP'nin kendisinde olduğu için yalnızca site içeriğini veya eklentileri güncellemek yeterli değil. Kendi sunucusu olmayan site sahiplerinin barındırma firmasıyla iletişime geçmesi gerekiyor. Mevcut bilgilere göre etkilenen bir siteyi yalnızca ziyaret etmek, ziyaretçinin cihazına zarar vermiyor.
Türkiye için anlamı
WordPress başta olmak üzere Türkiye'de yaygın kullanılan pek çok içerik yönetim sistemi ve e-ticaret altyapısı PHP üzerinde çalışıyor. Bu nedenle kurumsal siteler, KOBİ'ler ve bireysel blog sahipleri de risk altında olabilir. Sunucu yöneticilerinin PHP sürümlerini hemen kontrol etmesi, güncelleme yapılamayan sistemleri ise güvenlik firmalarının önerdiği gibi internetten yalıtması öneriliyor.
KAYNAKLAR
SIRADAKİ HABER →
