İnternet siteleri ve kurumsal uygulamalarda yaygın kullanılan PHP yazılımındaki iki kritik güvenlik açığı nedeniyle site ve sunucu yöneticilerine acil güncelleme çağrısı yapıldı. “PHP2Shell” adıyla anılan açıklar, savunmasız sistemlerde sunucunun kontrolünün ele geçirilmesine ve hassas bilgilerin açığa çıkmasına yol açabiliyor.
PHP projesi, açıkları gideren güvenlik sürümlerini 21 Ekim’de yayımladı. Resmî duyuruda, internet üzerinden gelen istekleri işleyen PHP kurulumlarının risk kapsamında olduğu, saldırının uygulanabilirliğinin ise sunucu yapılandırmasına göre değiştiği belirtildi.
Türkiye’de ulusal güvenlik taraması başlatıldı
Siber Güvenlik Başkanlığı, PHP altyapısındaki kritik zafiyetlere karşı Türkiye genelinde önleyici güvenlik çalışmalarını devreye aldı.
Anadolu Ajansının aktardığı açıklamaya göre, kamu kurumları başta olmak üzere sistemlerde güvenlik taramaları başlatıldı ve ilgili kuruluşlara acil tedbir bildirimleri gönderildi. Tarama kararı, tek başına herhangi bir kurumda veri hırsızlığı tespit edildiği anlamına gelmiyor.
PHP nedir, hangi sitelerde kullanılıyor?
PHP, internet sitelerinin sunucu tarafında çalışan bir programlama dili. Kullanıcının isteğine göre bilgilerin işlenmesi ve görüntülenecek sayfanın hazırlanması gibi görevleri yerine getiriyor.
WordPress, Drupal ve Joomla gibi yaygın içerik yönetim sistemleri PHP kullanıyor. Ancak açık bu sistemlerin kendi kodundan kaynaklanmıyor; üzerinde çalıştıkları PHP altyapısında bulunuyor.
Wiz araştırmacıları, WordPress, Drupal ve Joomla kurulumlarında giriş yapılmadan uzaktan kod çalıştırılabildiğini gösteren denemeler gerçekleştirdi. Bu sonuçlar, söz konusu sistemleri kullanan bütün sitelerin saldırıya uğradığını göstermiyor.
Güvenlik açıkları neye yol açabiliyor?
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla izlenen açıklar, PHP’nin bellek yönetimi ve hata işleme süreçleriyle ilişkili.
Belirli hata koşullarında artık kullanılmaması gereken bellek alanlarına yeniden erişilmesi, saldırganların sistemin davranışını değiştirmesine imkân tanıyabiliyor. Araştırmacılar, uzaktan kod çalıştırmanın yanında işlem belleğindeki parola, erişim belirteci ve API anahtarı gibi hassas bilgilere ulaşılabildiğini de bildirdi.
Hangi siteler risk altında?
PHP’nin resmî uyarısı; PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil, web isteklerini işleyen PHP kurulumlarını kapsıyor.
Riskin özellikle Apache’nin mod_php yapılandırmasında yüksek olduğu belirtiliyor. Bu yapılandırmada, uygulamanın kendi kodu çalışmadan önce saldırının tetiklenebildiği bir örnek gösterildi.
Dolayısıyla yalnızca sitenin yazılımının güncel olması yeterli olmayabiliyor. Kullanılan PHP paketinin güvenlik düzeltmesini içerip içermediğinin de kontrol edilmesi gerekiyor.
Güncellenmesi gereken sürümler açıklandı
Açıkları gideren sürümler şöyle:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
İşletim sistemi ve uzun süreli destek sağlayıcıları, düzeltmeleri kendi paketlerine aktarabildiği için kontrolün yalnızca sürüm numarasına bakılarak yapılmaması gerekiyor. Sunucu yöneticilerinin kullandıkları sağlayıcının güvenlik duyurusunu ve güncel paketlerini incelemesi önem taşıyor.
WordPress güncellemesi tek başına yeterli değil
Sorun PHP’nin kendisinde bulunduğundan, yalnızca WordPress’i, temaları veya eklentileri güncellemek altyapıdaki açığı gidermiyor. Barındırma hizmeti kullanan site sahiplerinin, PHP güvenlik güncellemesinin uygulandığını hizmet sağlayıcılarından teyit etmesi gerekiyor.
Automattic, WordPress.com, WordPress VIP, WP Cloud, Pressable ve Tumblr üzerinde barındırılan sitelerin korunduğunu açıkladı. Bu açıklama, farklı şirketlerden hizmet alan veya kendi sunucusunda çalışan bütün WordPress sitelerini kapsamıyor.
Kullanıcıların telefonlarına yama yüklemesi gerekmiyor
Bu açıklara karşı temel teknik müdahale, site ve sunucu yöneticilerinin sorumluluğunda bulunuyor. İnternet kullanıcılarının yalnızca bu haber nedeniyle telefonlarına veya bilgisayarlarına PHP güncellemesi yüklemesi gerekmiyor.
Kullanıcıların yararlandıkları hizmetlerden gelen güvenlik bildirimlerini takip etmesi; parola yenileme gibi talepleri ise mesajdaki bağlantıya doğrudan tıklamak yerine ilgili hizmetin resmî sitesi veya uygulaması üzerinden kontrol etmesi öneriliyor.
Kaynak: Gazete Oksijen; PHP projesi, PHP Vakfı, Wiz ve Automattic açıklamaları; Anadolu Ajansı