PHP güvenlik açığı nedir, hangi siteler risk altında? Osman Demircan Atlas360’a anlattı

Siber Güvenlik Başkanlığı, iki kritik PHP açığı için Türkiye genelinde tarama başlatırken site yöneticilerine güncelleme çağrısı yaptı.

Başkanlığın açıklamasına göre çalışma, savunmasız sistemleri belirlemeyi ve muhtemel zararları sınırlamayı amaçlıyor; ilgili kuruluşlara acil bildirimler de gönderildi. Türkiye’deki tarama, belirli bir kurumda veri hırsızlığının saptandığını göstermiyor; kamu kuruluşları, kritik altyapıları işletenler ve şirketlerden sistemlerini kontrol etmeleri isteniyor.

PHP açığı uygulamanın altında bulunuyor

PHP güvenlik ekibinin duyurusuna göre, PHP2Shell olarak adlandırılan açıkların düzeltmeleri 21 Ekim’de kullanıma sunuldu. Belirli koşullar sağlandığında saldırganlar, kimlik doğrulaması yapmadan hedef sunucuda kod çalıştırabiliyor; bunun olası sonuçları arasında bilgi sızıntısı, sayfaların değiştirilmesi ve hizmetlerin durması bulunuyor.

Teknik kayıtlarda CVE-2026-109618 ve CVE-2026-109619 tanımlayıcılarıyla yer alan açıklar, 10 puanlık ölçekte 9,2 ile kritik kategoride değerlendiriliyor. PHP’nin resmi açıklaması, internetten gelen talepleri karşılayan kurulumları riskli kabul ediyor; kullanılabilecek saldırı yöntemi ise yazılım sürümüne ve sunucunun ayarlarına bağlı.

PHP, ziyaretçinin tarayıcısından ziyade sitenin sunucusunda çalışan bir dil; veritabanındaki bilgilerin işlenmesine ve gösterilecek sayfanın hazırlanmasına yardımcı oluyor. WordPress, Drupal, Joomla ve Wikipedia’nın altyapısındaki MediaWiki bu dili kullandığından, risk tek bir site yönetim ürününün sınırlarında kalmıyor.

Teknik değerlendirmede sorun, bellek kullanımına ve işlemler hata nedeniyle durduğunda yaşananlara bağlanıyor. Sonlanan bir işlemin ardından artık kullanılmaması gereken bellek bölgesine yeniden erişilebilmesi, uygulama kodunda hata bulunmasa bile alttaki PHP kurulumu üzerinden saldırı ihtimali yaratıyor.

Araştırmacılar WordPress, Drupal ve Joomla için açığın kullanılabildiğini gösteren örnekler hazırladı. Bunlar teknik uygulanabilirliği ortaya koyuyor; söz konusu platformlardaki her sitenin ele geçirildiğine ya da her kurulumun aynı saldırı yoluna açık olduğuna kanıt oluşturmuyor.

Barındırma hizmeti korumanın kapsamını belirliyor

Automattic, WordPress.com, WordPress VIP, WP Cloud, Pressable ve Tumblr üzerinde barındırılan sitelerin korunduğunu açıkladı. Şirketin güvencesi kendi hizmetleriyle sınırlı; farklı sağlayıcılardan yararlanan veya sunucusunu kendisi işleten WordPress kullanıcıları aynı açıklamaya dayanarak sistemlerini güvenli kabul edemiyor.

ABD Ulusal Güvenlik Ajansı, yamayı hemen yükleyemeyen kuruluşlara, risk giderilinceye kadar sistemlerini internet erişiminden çıkarmalarını önerdi. Birleşik Krallık Ulusal Siber Güvenlik Merkezi de güncellemenin geciktiği durumlarda geçici kapatmanın değerlendirilmesini istedi; böyle bir önlem, tek başına saldırının başarılı olduğunu göstermiyor.

PHP Vakfı’nın teknik değerlendirmesi, açıklardan birine kaynaklık eden bellek hatasının belirtilerini 2024’e kadar götürüyor. Vakıf, o tarihte uygulanabilir bir uzaktan saldırının gösterilememesini, olası düzeltmelerin yan etkilerini ve personel kapasitesindeki sınırlılığı gecikmenin etkenleri olarak sıralıyor.

Calif ve Wiz araştırmacıları, kod incelemesinde ve saldırı yöntemlerini geliştirmede yapay zekâ araçları kullandı. Wiz, bu araçların karmaşık yöntemleri bulmak için gereken zamanı kısalttığını belirtiyor; PHP Vakfı ise 2026 araştırmalarının tehlikeyi somutlaştırarak düzeltme sürecine hız kazandırdığını aktarıyor.

Yama kontrolü PHP altyapısını kapsamalı

PHP güvenlik ekibinin yayımladığı düzeltmeleri içeren sürümler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak listeleniyor. Bununla birlikte, işletim sistemi sağlayıcıları yamaları kendi paketlerine taşıyabildiğinden, kontrol sırasında görünen sürüm numarasının yanı sıra paketin güvenlik durumunun da doğrulanması gerekiyor.

WordPress çekirdeğine, tema dosyalarına veya eklentilere güncelleme yapmak, alttaki PHP sorununu tek başına çözmüyor. Barındırma hizmeti kullananların sağlayıcıdan teyit alması gerekiyor; güvenlik duvarı gibi önlemler belirli yöntemleri engellese de düzeltmenin yerine geçmiyor.

Avrupa Birliği siber güvenlik kurumlarının ortak uyarısı, internetten erişilebilen sistemlerin önce ele alınmasını ve hizmet sağlayıcılarla eşgüdüm kurulmasını öneriyor. Güncelleme gecikir ve geçici kapatma seçilirse, kuruluşlar teknik riski sınırlandırırken kullanıcılarına sundukları hizmetin sürekliliğinden ödün vermek durumunda kalabilir.

Son kullanıcıların telefonlarına ya da kişisel bilgisayarlarına PHP düzeltmesi kurması gerekmiyor; müdahale siteyi işletenlerin sorumluluğunda. UNSW Sydney araştırmacısı Salil Kanhere, kullanılan hizmetlerin güvenlik duyurularının izlenmesini öneriyor; parola yenileme bildirimleri değerlendirilirken sahte bağlantılara karşı dikkatli olunması gerekiyor.