İnternet sitelerinin altyapısında yaygın olarak kullanılan PHP programlama dilinde tespit edilen iki kritik açık, dünya genelinde siber güvenlik gündemine girdi. PHP2Shell adı verilen açıklar, saldırganların belirli koşullarda sunucularda uzaktan kod çalıştırmasına ve sistemdeki verilere erişmesine imkân tanıyabiliyor.

Güvenlik açığının ardından dünyada bazı kamu internet siteleri önlem amacıyla geçici olarak erişime kapatılırken PHP geliştirme ekibi de açığı gidermek için güncellemeler yayımladı. Siber Güvenlik Başkanlığı ise kurum ve kuruluşlara sistemlerini kontrol etmeleri çağrısında bulundu.

PHP2Shell, PHP programlama dilinde tespit edilen iki kritik güvenlik açığı için kullanılan ad. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan açıklar, belirli koşullarda saldırganların sunucularda yetkisiz kod çalıştırmasına yol açabiliyor.

Bu durum, saldırganların uygulamanın erişebildiği dosyalara ve verilere ulaşmasına, bilgileri değiştirmesine veya internet sitesinin çalışmasını aksatmasına neden olabilir. Açıkların önem derecesi 10 üzerinden 9,2 olarak bildirildi.

Ancak güvenlik açığının bulunması, her internet sitesinin saldırıya uğradığı veya kullanıcı bilgilerinin çalındığı anlamına gelmiyor.

PHP kullanan internet siteleri, sunucularında güvenlik açığından etkilenen sürümlerin bulunması hâlinde risk altında olabilir. WordPress, Joomla ve Drupal gibi içerik yönetim sistemleri de bu kapsama girebilir.

WordPress’in veya eklentilerin güncel olması tek başına yeterli değil. Sunucuda çalışan PHP sürümünün de kontrol edilmesi gerekiyor. Paylaşımlı hosting kullanan site sahipleri, barındırma sağlayıcılarından güvenlik güncellemesinin uygulanıp uygulanmadığını öğrenebilir.

Güvenlik açığının duyurulmasının ardından bazı ülkelerde kurumlar, olası saldırı riskini azaltmak için internet sitelerini geçici olarak erişime kapattı. Bu tedbirin amacı, güvenlik güncellemesi uygulanana kadar savunmasız sistemlerin oluşturabileceği riski sınırlandırmak.

Sitelerin erişime kapatılması, hepsinin saldırıya uğradığı anlamına gelmiyor. Kurumlar olası zararları önlemek için tedbir alabiliyor.

PHP geliştirme ekibi, açıkları gidermek amacıyla şu sürümleri yayımladı:

Site yöneticilerinin sunucularında kullanılan PHP sürümünü kontrol etmesi ve uygun güvenlik güncellemesini yüklemesi gerekiyor. PHP 8.1 ve daha eski sürümleri kullanan sistemlerde ise sağlayıcıların güvenlik yamaları kontrol edilmeli veya desteklenen sürümlere geçiş planlanmalı.

Güncelleme öncesinde site dosyalarının ve veritabanının yedeklenmesi, işlem sonrasında sunucunun güvenli sürümü kullandığının doğrulanması öneriliyor. Yönetim panelleri ve kritik servislere erişim de güvenlik duvarı kurallarıyla sınırlandırılmalı.

PHP açığı, doğrudan bütün telefonların veya bilgisayarların ele geçirildiği anlamına gelmiyor. Temel risk, savunmasız PHP sürümleriyle çalışan internet sitelerinin sunucularında ortaya çıkıyor.

Kullanıcıların işletim sistemlerini ve tarayıcılarını güncel tutması, güçlü ve benzersiz parolalar kullanması önem taşıyor. Bir internet sitesinin etkilenip etkilenmediğini öğrenmek için site yönetiminin veya hosting sağlayıcısının açıklamaları takip edilmeli.

Siber Güvenlik Başkanlığı, 21 Ekim 2026 tarihli TR-26-1372 kodlu bildiriminde ulusal çapta güvenlik taramalarının başlatıldığını duyurdu. Kamu kurumları, kritik altyapı işletmecileri ve özel sektör kuruluşlarından sistemlerini gözden geçirmeleri, etkilenen PHP sürümlerini belirlemeleri ve gerekli güncellemeleri gecikmeden uygulamaları istendi.

PHP kullanan kurumların ve internet sitesi yöneticilerinin güvenlik güncellemelerini tamamlaması, sunucu kayıtlarını incelemesi ve resmî duyuruları takip etmesi gerekiyor.

Ekonomim ↗

Bu içerik genel bilgilendirme amaçlıdır; kişisel yatırım tavsiyesi değildir.