İnternet sitelerinin altyapısında yaygın olarak kullanılan PHP programlama dilindeki iki kritik güvenlik açığı, dünya genelinde siber güvenlik alarmına neden oldu. PHP2Shell olarak adlandırılan güvenlik açıklarının, saldırganlara kullanıcı adı veya parola gerektirmeden etkilenen sunucularda uzaktan kod çalıştırma imkânı sağlayabileceği belirtildi.
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan güvenlik açıklarının her biri, CVSS v4.0 değerlendirme sisteminde 10 üzerinden 9,2 önem derecesine sahip. PHP geliştiricileri, 21 Ekim'de açıkları gideren güvenlik güncellemelerini yayımlayarak kullanıcılara sistemlerini derhal güncellemeleri çağrısında bulundu.
Gelişme üzerine Türkiye'de Cumhurbaşkanlığı Siber Güvenlik Başkanlığı da harekete geçti. Başkanlık, internet siteleri ve kurumsal uygulamalarda yaygın olarak kullanılan PHP yazılım altyapısındaki kritik güvenlik zafiyetlerine karşı ulusal düzeyde önleyici güvenlik çalışmalarını devreye aldı.
PHP2Shell, PHP programlama dilinin çekirdek yazılımında tespit edilen iki kritik güvenlik açığı için kullanılan isim.
PHP'nin bellek yönetimi ve istek işleme süreçlerindeki hatalarla bağlantılı olan açıklar, belirli koşullarda saldırganların uzaktan kod çalıştırmasına (RCE) olanak tanıyabiliyor.
Bu durum, saldırganların etkilenen sistemlerde yetkisiz işlemler gerçekleştirmesine, erişim yetkileri kapsamında hassas verilere ulaşmasına veya internet sitelerinin çalışmasını aksatmasına neden olabilir.
Ancak güvenlik açığının bulunması, PHP kullanan bütün internet sitelerinin saldırıya uğradığı veya kullanıcı bilgilerinin ele geçirildiği anlamına gelmiyor. Risk, kullanılan PHP sürümüne ve sistemin yapılandırmasına göre değerlendiriliyor.
PHP (PHP: Hypertext Preprocessor), özellikle internet siteleri ve web uygulamaları geliştirmek için kullanılan, açık kaynaklı ve sunucu tarafında çalışan bir programlama dilidir.
PHP'nin temel özelliklerinden biri, internet sitelerinin ziyaretçilere gösterdiği içeriklerin arka planda dinamik olarak oluşturulmasına olanak tanımasıdır.
Bir kullanıcı PHP ile geliştirilmiş bir internet sitesini ziyaret ettiğinde PHP kodları sunucuda çalıştırılır. İşlemlerin sonucunda oluşturulan içerik ise kullanıcının internet tarayıcısına gönderilir.
Bu yönüyle PHP, internet sitelerinin yalnızca sabit sayfalardan oluşması yerine kullanıcılarla etkileşime girebilen işlevler sunmasını sağlar.
PHP, internet sitelerinin arka planında çok sayıda işlemin gerçekleştirilmesi için kullanılır.
Örneğin bir internet sitesinde kullanıcı hesabıyla oturum açılması, form üzerinden gönderilen bilgilerin işlenmesi, veritabanındaki içeriklerin görüntülenmesi ve dinamik sayfaların oluşturulması PHP ile gerçekleştirilebilir.
PHP'nin başlıca kullanım alanları arasında içerik yönetim sistemleri, internet mağazaları, kullanıcı panelleri ve veritabanıyla çalışan web uygulamaları bulunuyor.
WordPress, Joomla ve Drupal gibi içerik yönetim sistemleri de PHP teknolojisinden yararlanıyor. Bu nedenle PHP'de ortaya çıkan kritik güvenlik sorunları, yalnızca yazılım geliştiricilerini değil, bu altyapıları kullanan internet sitesi sahiplerini de ilgilendiriyor.
PHP, internetin işleyişinde önemli rol oynayan teknolojilerden biri. Dünyanın dört bir yanındaki haber siteleri, e-ticaret platformları, kurumsal internet siteleri ve içerik yönetim sistemleri PHP'den yararlanıyor. Özellikle WordPress gibi yaygın sistemlerin temelinde yer alması, PHP'yi internet altyapısının önemli parçalarından biri haline getiriyor.
Bu nedenle PHP'de ortaya çıkan kritik güvenlik açıkları yalnızca yazılım geliştiricilerini değil, internet sitesi sahiplerini, şirketleri ve kamu kurumlarını da yakından ilgilendiriyor. Ancak güvenlik açığından etkilenme durumu, kullanılan PHP sürümüne ve sunucu yapılandırmasına bağlı olarak değişiyor.
Güvenlik açıkları, PHP'nin etkilenen sürümlerini kullanan internet sunucuları ve web uygulamaları açısından risk oluşturuyor.
PHP geliştiricilerinin resmi açıklamasına göre PHP-FPM, Apache üzerinde mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi PHP çalıştırma ortamları risk kapsamında bulunuyor.
PHP güvenlik ekibi, en yüksek riskin Apache mod_php kullanılan sistemlerde olduğunu belirtiyor. Bu ortamda kullanıcı kimlik doğrulaması yapılmadan gönderilen bir isteğin, uygulama kodları çalıştırılmadan önce güvenlik açığını tetikleyebildiği gösterildi.
WordPress, Joomla veya Drupal kullanılması tek başına bir internet sitesinin ele geçirildiği anlamına gelmiyor. Ancak bu sistemleri çalıştıran sunucularda güvenlik açığından etkilenen PHP sürümleri varsa risk ortaya çıkabiliyor.
PHP'de tespit edilen CVE-2026-109618 ve CVE-2026-109619 numaralı güvenlik açıkları, saldırganların belirli koşullarda kullanıcı adı veya parola gerekmeksizin etkilenen sunucularda uzaktan kod çalıştırmasına olanak tanıyabiliyor. Bu durum, saldırganların sunucuda yetkisiz işlemler gerçekleştirmesine, hassas bilgilere erişmesine veya internet sitelerinin işleyişini bozmasına neden olabilir.
Ayrıca güvenlik açıkları, PHP işlemlerinin belleğinde bulunan hassas bilgilerin açığa çıkması riskini de beraberinde getiriyor. Ancak bu sonuçların gerçekleşmesi, güvenlik açıklarının başarıyla istismar edilmesine ve etkilenen sistemin yapılandırmasına bağlı.
PHP'de bulunan iki kritik güvenlik açığının ardından Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, internet siteleri ve kurumsal uygulamalarda yaygın olarak kullanılan PHP yazılım altyapısındaki kritik güvenlik zafiyetlerine karşı ulusal düzeyde önleyici güvenlik çalışmalarını devreye aldı.
Anadolu Ajansının aktardığına göre Başkanlık, kamu kurumları başta olmak üzere Türkiye genelindeki sistemlerde güvenlik taramaları başlatılırken, ilgili kurumlara acil tedbirlerin alınması yönünde bildirimler iletildiğini duyurdu.
Başkanlıktan yapılan açıklamada, "PHP2Shell" olarak adlandırılan güvenlik zafiyetlerinin yüksek risk taşıdığı belirtildi.
Kamu kurumları ve özel sektör kuruluşları başta olmak üzere tüm sistem yöneticilerine, internete açık bilişim altyapılarını gözden geçirmeleri ve yayımlanan güvenlik güncellemelerini ivedilikle uygulamaları çağrısında bulunuldu.
Dünya genelinde de hükümetlere ait internet siteleri dahil çok sayıda site, güvenlik riskini azaltmak amacıyla geçici olarak kısmen veya tamamen erişime kapatıldı.
PHP geliştiricileri, tespit edilen iki kritik güvenlik açığını gidermek amacıyla 21 Ekim 2026 tarihinde dört güvenlik güncellemesi yayımladı.
Resmi açıklamaya göre açıkların giderildiği sürümler şöyle:
| PHP sürüm ailesi | Güvenlik düzeltmesi içeren sürüm |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP güvenlik ekibi, etkilenen sistemlerin ilgili güvenlik düzeltmesini içeren sürümlere mümkün olan en kısa sürede yükseltilmesini istiyor.
PHP 8.1 ve daha eski sürümler, PHP projesinden artık düzenli güvenlik güncellemesi almıyor. Bununla birlikte bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları, eski sürümler için kendi güvenlik yamalarını sunabiliyor.
Bu nedenle eski bir PHP sürümü kullananların hizmet sağlayıcılarının sunduğu güvenlik düzeltmelerini kontrol etmesi veya desteklenen bir sürüme geçmesi gerekiyor.
PHP ekibine göre geçici güvenlik önlemleri bazı saldırı yöntemlerinin riskini azaltabilse de açıkları tamamen gidermiyor. Güvenlik düzeltmelerinin uygulanması, sorunun tamamen giderilmesi için gerekli.
WordPress gibi PHP tabanlı içerik yönetim sistemlerini kullanan internet sitesi sahiplerinin, sunucularında çalışan PHP sürümünü kontrol etmesi önem taşıyor.
WordPress'in veya eklentilerin güncel olması, sunucudaki PHP yazılımının da söz konusu güvenlik düzeltmelerini içerdiği anlamına gelmiyor.
PHP sürümü barındırma hizmeti sağlayıcısı tarafından yönetiliyorsa site sahipleri, gerekli güvenlik güncellemesinin uygulanıp uygulanmadığını hizmet sağlayıcılarından öğrenebilir.
Güncellemelerin ardından sunucuda gerçekten düzeltilmiş PHP sürümünün çalıştığının doğrulanması da gerekiyor.
PHP2Shell açıklarının temel hedefi, etkilenen PHP sürümlerini çalıştıran sunucular.
Bu nedenle söz konusu güvenlik açıkları, bir internet sitesini ziyaret eden herkesin telefonunun veya bilgisayarının doğrudan ele geçirildiği anlamına gelmiyor.
Ancak bir internet sitesinin sunucusu güvenlik açığı kullanılarak ele geçirilirse, sunucunun erişebildiği veriler ve o siteyi kullanan kişiler açısından dolaylı güvenlik riskleri ortaya çıkabilir.
Bu nedenle internet sitelerinin ve barındırma hizmeti sağlayıcılarının gerekli güvenlik güncellemelerini uygulaması önem taşıyor.
PHP, internet siteleri ve web uygulamalarında kullanılan, sunucu tarafında çalışan bir programlama dilidir. Dinamik sayfaların hazırlanması, form bilgilerinin işlenmesi ve veritabanı işlemleri gibi görevlerde kullanılabilir.
PHP2Shell, PHP'nin çekirdek yazılımında tespit edilen ve belirli koşullarda kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına imkân tanıyabilen iki kritik güvenlik açığının ortak adıdır.
PHP geliştiricileri, iki kritik güvenlik açığını gideren 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. Etkilenen sistemlerin ilgili düzeltmeleri içeren sürümlere güncellenmesi gerekiyor.
WordPress PHP kullandığı için, WordPress sitelerinin çalıştığı sunucularda etkilenen PHP sürümlerinin bulunması risk oluşturabiliyor. Ancak bu durum bütün WordPress sitelerinin saldırıya uğradığı anlamına gelmiyor.
markasıdır.
Haber Gönder
Okuyucu Yorumları 0 yorum