Dünya genelinde çok sayıda internet sitesi ve kurumsal uygulamanın altyapısında kullanılan PHP yazılımında ortaya çıkan iki kritik güvenlik açığı, siber güvenlik gündeminin önemli başlıklarından biri haline geldi.
CyberArts Siber Güvenlik ve Danışmanlık A.Ş. Kurucusu ve CEO’su Erdem Eriş, Ekonomim'e yaptığı açıklamada, “PHP2Shell” adı verilen güvenlik açıklarının teknik özelliklerini, oluşturduğu riskleri ve kurumların alması gereken önlemleri değerlendirdi.
Eriş, PHP2Shell'in PHP'nin bellek yönetimi ve hata işleme mekanizmalarında bulunan iki kritik güvenlik açığına verilen ortak ad olduğunu belirtti.
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kaydedilen açıkların her birinin 10 üzerinden 9,2 önem derecesine sahip olduğunu ifade eden Eriş, açıkların çalışma biçimine ilişkin şu bilgileri verdi:
“Birinde bellek tükendiğinde eksik oluşturulmuş verilerin kullanılması, diğerinde önceki işlemlerden kalan geçersiz bellek bilgilerinin yeniden kullanılması söz konusu. Uygun koşullarda saldırganlar, oturum açmadan sunucuda kod çalıştırabiliyor veya hassas verilere erişebiliyor.”
Sorunun doğrudan PHP yazılımında bulunmasının riskin kapsamını genişlettiğine dikkat çeken Eriş, aynı altyapıyı kullanan farklı internet siteleri ve kurumsal uygulamaların etkilenebileceğini söyledi.
Söz konusu açıkların kimlik doğrulaması yapılmadan sistemlere müdahale edilmesine olanak tanıyabilmesinin kritik bir risk oluşturduğunu vurgulayan Eriş, saldırganların bazı koşullarda bir kullanıcı hesabını ele geçirmeden de sisteme erişebileceğini belirtti.
Eriş, “Saldırganın önce bir hesabı ele geçirmesine veya bir çalışanı bağlantıya tıklamaya ikna etmesine gerek kalmayabiliyor. Başarılı istismarda saldırgan, web hizmetinin çalıştığı hesabın yetkileriyle kod çalıştırabiliyor” dedi.
Saldırının etkisinin web hizmetinin sahip olduğu yetkilere göre değişebileceğini anlatan Eriş, veri sızıntısı, internet sitesi içeriğinin değiştirilmesi ve hizmet kesintisi gibi sonuçlarla karşılaşılabileceğini ifade etti.
Güçlü parola ve çok faktörlü doğrulama kullanımının bu güvenlik açıklarına yönelik yazılım güncellemesinin yerine geçmediğini belirten Eriş, internete açık ve güncellenmemiş sistemlerin öncelikli olarak ele alınması gerektiğini söyledi.
Eriş, açıkların istismar edilmesinin sistemlerin kurulum ve çalışma koşullarına bağlı olduğunun da altını çizdi.
Siber Güvenlik Başkanlığı'nın e-Devlet Kapısı'nda yapılan kontrollerde hizmetlerin güvenliğini ve sürekliliğini olumsuz etkileyen herhangi bir bulguya rastlanmadığı yönündeki açıklamasını değerlendiren Eriş, bu sonucu olumlu karşıladığını belirtti.
Ancak teknik incelemelerin sonuçlarının, gerçekleştirildikleri kapsam ve zaman çerçevesinde değerlendirilmesi gerektiğini ifade etti.
Eriş, “Güvenin devamı için yeni istismar yöntemlerinin takibi, bileşen kontrolleri ve sürekli izleme sürdürülmeli” dedi.
e-Devlet'e ilişkin kontrol sonuçlarının diğer kurumların sistemleri için geçerli kabul edilemeyeceğine dikkat çeken Eriş, PHP kullanan her kurumun kendi altyapısındaki etkilenme durumunu ve güvenlik güncellemelerini ayrıca doğrulaması gerektiğini söyledi.
Dünya genelinde bazı kurumların internet sitelerini tedbir amacıyla geçici olarak erişime kapatmasına da değinen Eriş, bu kararların güvenlik güncellemeleri uygulanana kadar oluşabilecek riskleri azaltmayı amaçladığını ifade etti.
İngiltere Ulusal Siber Güvenlik Merkezi'nin de güncellemelerin veya geçici önlemlerin zamanında uygulanamadığı durumlarda sistemlerin geçici olarak kapatılmasının değerlendirilmesini önerdiğini aktardı.
Eriş, “Tedbir amaçlı kapatma, o kurumda veri ihlali yaşandığının kanıtı sayılmaz” diyerek, etkilenen hizmetlerin erişiminin sınırlandırılması ve gerekli düzeltmeler doğrulandıktan sonra yeniden kullanıma açılması gerektiğini belirtti.
Türkiye'de başlatılan ulusal güvenlik taramaları ve teknik takip çalışmalarına ilişkin değerlendirmelerde bulunan Eriş, bu çalışmaların internete açık ve risk taşıyan sistemlerin hızla belirlenmesi açısından önemli olduğunu söyledi.
Ulusal taramalar sayesinde ilgili kurumların bilgilendirilebildiğini ve müdahalelerin önceliklendirilebildiğini belirten Eriş, Siber Olaylara Müdahale Ekipleri arasındaki koordinasyonun da saldırı belirtileri ve güvenlik önlemleri hakkındaki bilgi paylaşımını hızlandırdığını ifade etti.
Bununla birlikte dışarıdan gerçekleştirilen taramaların bütün PHP kurulumlarını veya sistemlerin güncelleme durumunu kesin biçimde ortaya koyamayacağını belirten Eriş, kurumların kendi yazılım envanterlerini kontrol etmesi gerektiğini vurguladı.
Eriş, “Başarıyı, bildirilen kritik açıkların gerçekten giderildiğini ve düzeltmelerin devreye girdiğini doğrulayarak ölçmeliyiz” dedi.
Güvenlik açıklarından etkilenme ihtimali bulunan kurumların öncelikle internete açık uygulamalarını, barındırma hizmetlerini ve konteynerler dahil çalışan PHP kurulumlarını tespit etmesi gerektiğini belirten Eriş, kullanılacak güvenli sürümleri de sıraladı.
Eriş'in verdiği bilgiye göre, kullanılan sürüm koluna bağlı olarak PHP 8.5.12, 8.4.27, 8.3.36 veya 8.2.35 sürümlerine geçilmesi ya da yazılım tedarikçisinin ilgili açıkları giderdiğini doğruladığı güvenlik paketlerinin uygulanması gerekiyor.
Destek dışı sürümleri kullanan kurumların geçiş planlarını hızlandırması gerektiğini ifade eden Eriş, yalnızca internet sitesi yönetim sistemlerinin güncellenmesinin yeterli olmayacağına dikkat çekti.
“Yalnızca WordPress'i veya eklentileri güncellemek yeterli değil; PHP'nin kendisi güncellenmeli” diyen Eriş, güncellemenin ardından PHP süreçlerinin yeniden başlatılması ve sistemde gerçekten hangi sürümün çalıştığının doğrulanması gerektiğini söyledi.
Güncelleme tamamlanana kadar erişim kısıtlamaları ve web uygulama güvenlik duvarı kurallarının ek koruma sağlayabileceğini belirten Eriş, bu önlemlerin kalıcı çözüm olmadığını vurguladı.
Kurumların yalnızca güvenlik güncellemelerine odaklanmaması gerektiğini belirten Eriş, sistem kayıtlarında olası saldırı izlerinin de araştırılmasını istedi.
Şüpheli isteklerin, olağan dışı süreçlerin ve sonradan eklenmiş dosyaların kontrol edilmesi gerektiğini söyleyen Eriş, herhangi bir ihlal belirtisi bulunması halinde olay müdahale sürecinin başlatılması gerektiğini ifade etti.
Eriş, “Yama, saldırganın önceden bıraktığı erişimi kendiliğinden temizlemez” uyarısında bulundu.
Güvenlik açıklarının yapay zekâ desteğiyle tespit edilmesinin siber tehditlerin geleceği açısından önemine de değinen Eriş, yapay zekânın yazılımlarda uzun süredir bulunan karmaşık hataların keşfedilmesini hızlandırdığını belirtti.
Yapay zekânın tespit edilen hataların saldırıda kullanılabilir hale getirilmesi sürecini de hızlandırabildiğini ifade eden Eriş, Wiz araştırmasının çalışan istismar yöntemlerinin farklı uygulamalara saatler içinde uyarlanabildiğini bildirdiğini aktardı.
Eriş, “Benim buradan çıkardığım sonuç, kurumların açık duyurusu ile saldırıya maruz kalma arasındaki sürenin kısalmasına hazırlanması gerektiği” dedi.
Savunma ekiplerinin de yapay zekâdan yararlanması gerektiğini belirten Eriş, bu teknolojinin kod incelemelerinde ve güvenlik düzeltmelerinin doğrulanmasında kullanılabileceğini söyledi.
Ancak insan denetiminin, koordineli güvenlik açığı bildirimlerinin ve hızlı güncelleme süreçlerinin önemini koruduğunu vurgulayan Eriş, yapay zekâ tarafından üretilen güvenlik bulgularının doğruluğunun ayrıca sınanması gerektiğini ifade etti.
Bu içerik genel bilgilendirme amaçlıdır; kişisel yatırım tavsiyesi değildir.