İnternet altyapısında kullanılan temel yazılımlardan PHP'de iki ciddi güvenlik açığı tespit edildi. Güvenlik açıklarının 10 üzerinden 9,2 puan alması, sistemlerin risk düzeyinin yüksek olduğunu ortaya koydu. Avrupa Birliği Bilgisayar Acil Durum Müdahale Ekibi (CERT-EU), açıkların saldırganların sisteme önceden erişim sağlamadan uzaktan kod çalıştırmasına imkân tanıyabilecek nitelikte olduğunu bildirdi. Bu tür bir saldırı, hedef alınan sunucudaki verilerin ve hizmetlerin güvenliğini tehlikeye atabilir.
CERT-EU, güvenlik yamalarını gecikmeden uygulayamayan kuruluşların etkilenen internet sitelerini geçici olarak çevrimdışı bırakmayı değerlendirmesi gerektiğini belirtti. PHP'nin geliştirici ekibi, açıkları gidermeye yönelik güvenlik yamalarının 21 Ekim 2026'da Türkiye saatiyle 17.00'de yayımlanacağını duyurdu. Etkilenen sürümlerin ve teknik ayrıntıların da güncellemelerle birlikte açıklanması bekleniyor.
WORDPRESS, DRUPAL VE JOOMLA SİTELERİ DE ETKİLENEBİLİR
PHP, yalnızca doğrudan yazılım geliştirmek için kullanılmıyor; çok sayıda internet sitesinin ve içerik yönetim sisteminin altyapısında da yer alıyor. WordPress, Drupal ve Joomla gibi platformların yanı sıra Magento tabanlı e-ticaret sistemleri ve çeşitli barındırma hizmetleri de PHP kullanan altyapılar arasında bulunuyor. Siber güvenlik şirketi Huntress, PHP'nin internet ekosistemindeki yaygınlığına dikkat çekerek şu açıklamayı yaptı:
"PHP her yerde. WordPress, Drupal, Joomla ve Magento sitelerine, paylaşımlı barındırma platformlarına, kontrol panellerine ve perde arkasında PHP kullandığını belirtmeyen birçok yazılıma sessizce güç veriyor."
Bu yaygınlık, güvenlik açığının etkilerinin yalnızca PHP ile doğrudan çalışan yazılımlarla sınırlı kalmayabileceğini gösteriyor. Bununla birlikte, PHP kullanan her internet sitesinin mutlaka saldırıya uğradığı ya da aynı ölçüde etkilendiği anlamına gelmiyor. Risk, kullanılan PHP sürümüne, sunucu yapılandırmasına ve ilgili açığın söz konusu sistemde bulunup bulunmadığına bağlı olarak değişebilir.
WORDPRESS SİTE SAHİPLERİNE GÜNCELLEME ÇAĞRISI
WordPress sitelerine yönelik güvenlik hizmetleri sunan Wordfence, bütün WordPress sitelerinin PHP kurulu sunucularda çalıştığını hatırlattı. Şirket, standart otomatik güncellemelerin sunucudaki PHP sürümünü güncellemeyi kapsamayabileceği uyarısında bulundu.
Bu nedenle internet sitesi sahiplerinin yalnızca WordPress çekirdeğini veya eklentilerini güncellemesi yeterli olmayabilir. Sunucuda kullanılan PHP sürümünün kontrol edilmesi ve güncellemeden hangi hizmet sağlayıcının sorumlu olduğunun öğrenilmesi gerekiyor. Paylaşımlı barındırma hizmeti kullanan sitelerde PHP güncellemesi çoğunlukla barındırma sağlayıcısının sorumluluğunda olabilir. Kendi sunucusunu yöneten kuruluşların ise güncelleme sürecini kendilerinin takip etmesi gerekebilir.
GÜVENLİK ŞİRKETLERİNDEN FARKLI AÇIKLAMALAR
İnternet ve bulut güvenliği şirketi Cloudflare'in Teknolojiden Sorumlu Başkanı Dane Knecht, bazı ilk saldırıların görülmeye başladığını açıkladı. Knecht, X üzerinden yaptığı paylaşımda güvenlik duvarı kurallarının geçici önlem olarak güncellendiğini belirterek, "Bu yalnız geçici bir çözümdür. PHP güncellemeyi yayımlar yayımlamaz yamanızı yapın" dedi.
Avustralya Siber Güvenlik Merkezi (ACSC) ise kurumlara sistemlerinde kullanılan PHP sürümlerini belirleme ve şüpheli faaliyetleri takip etme çağrısında bulundu. Kurum, açıklamasında söz konusu açıkları hedef alan aktif bir saldırının henüz tespit edilmediğini bildirdi.
İki farklı açıklama arasındaki ayrım, saldırı faaliyetlerinin kapsamı ve tespit durumuyla ilgili. Cloudflare tarafından bazı ilk saldırıların görüldüğü belirtilirken ACSC, kendi izleme ve değerlendirmesi kapsamında aktif saldırı tespit etmediğini açıkladı.
PHP 5 VE SONRAKİ SÜRÜMLER İÇİN RİSK UYARISI
CERT-EU ve ACSC, PHP 5 ve sonraki sürümlerin risk altında olabileceğine ilişkin uyarıda bulundu. Ancak hangi sürümlerin doğrudan etkilendiğinin kesin olarak belirlenmesi için geliştirici ekibinin yayımlayacağı teknik ayrıntıların ve güvenlik yamalarının incelenmesi gerekiyor.
PHP, sunucu tarafında çalışan ve dinamik internet sayfaları oluşturmak için kullanılan açık kaynaklı bir programlama dilidir. Bir internet sitesi ziyaret edildiğinde sunucuda çalışan PHP kodu, veri tabanından bilgi çekilmesi, kullanıcı oturumlarının yönetilmesi veya sayfa içeriğinin hazırlanması gibi görevleri yerine getirebilir. Bu nedenle PHP'deki güvenlik sorunları, kullanılan sürüme ve sistem yapılandırmasına bağlı olarak internet sitelerinin güvenliğini doğrudan etkileyebilir.
KURUMLARIN VE SİTE YÖNETİCİLERİNİN NE YAPMASI GEREKİYOR?
Güvenlik açığına karşı ilk adım, sunucularda hangi PHP sürümlerinin kullanıldığını belirlemek ve ilgili güvenlik duyurularını takip etmek. Etkilenen sürümler için yama yayımlandığında güncellemenin gecikmeden uygulanması önem taşıyor.
Güncellemenin hemen yapılamadığı durumlarda kuruluşların risk değerlendirmesi yapması, erişimi sınırlandırabilecek geçici güvenlik önlemlerini devreye alması ve gerektiğinde etkilenen hizmetleri geçici olarak çevrimdışı bırakması öneriliyor. Güvenlik duvarı kuralları ek bir koruma sağlayabilse de yazılım güncellemesinin yerini tutmuyor.
