PHP güvenlik açığı alarmı: Siber Güvenlik Başkanlığı ulusal tarama başlattı
İnternet sitelerinin büyük bölümünde kullanılan PHP'de bulunan ve PHP2Shell adı verilen iki kritik açık için acil güncellemeler yayımlandı. Türkiye'de Siber Güvenlik Başkanlığı ulusal ölçekte tarama başlatarak kurumları sistemlerini güncellemeye çağırdı.
Web sitelerinin, e-ticaret platformlarının ve pek çok kurumsal yazılımın arka planında çalışan PHP'de ortaya çıkan iki kritik zafiyet, dünya genelinde siber güvenlik alarmına yol açtı. PHP güvenlik açığı için geliştiriciler 21 Ekim'de acil güncellemeler yayımlarken, Türkiye'de Siber Güvenlik Başkanlığı ulusal ölçekte güvenlik taraması başlattığını duyurdu. Başkanlık; kamu kurumlarını, kritik altyapı işletmecilerini ve özel sektör kuruluşlarını sistemlerini vakit kaybetmeden gözden geçirmeye çağırdı.
PHP güvenlik açığı neden bu kadar kritik?
Uluslararası güvenlik çevrelerinde "PHP2Shell" olarak adlandırılan açıklar, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıt altına alındı. İki zafiyet de CVSS v4.0 ölçeğinde 10 üzerinden 9,2 puanla derecelendirildi. Açıklar, kötü niyetli kişilerin kullanıcı adı ya da şifreye ihtiyaç duymadan, özel hazırlanmış web istekleriyle sunucuda kod çalıştırmasına imkân tanıyabiliyor.
BleepingComputer'ın aktardığına göre her iki sorun da aynı temele dayanıyor: Bir istek olağan dışı şekilde sona erdiğinde PHP'nin belleği bozuk bir durumda kalabiliyor. PHP güvenlik ekibi, açıkların web isteklerine yanıt veren tüm kurulumları etkilediğini, PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi yapıların kapsamda olduğunu belirtti. Ekip, riskin en yüksek olduğu yapı olarak mod_php'yi gösterdi.
Sorunun boyutu, PHP'nin internetteki yaygınlığıyla doğrudan ilişkili. PHP'nin web sitelerinin yaklaşık yüzde 75 ile 80'inde kullanıldığı tahmin ediliyor. BleepingComputer'ın VirusTotal tahminlerine dayandırdığı verilere göre internette erişilebilir durumda 5,1 milyondan fazla PHP sunucusu bulunuyor. Bu tablo, güncellemeyi geciktiren her sistemin potansiyel hedef hâline gelebileceği anlamına geliyor.
Açıkların ortaya çıkarılmasında Wiz Research ile Calif araştırmacılarının çalışmaları etkili oldu. Cloudflare'in teknoloji direktörü Dane Knecht, yamalar yayımlanmadan önce açıkları hedef alan ilk saldırı girişimlerinin gözlemlendiğini doğruladı. İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) de kurumlara sistemlerini hemen güncellemeleri ya da güncelleme yapılana kadar çevrim dışı tutmaları uyarısında bulundu. Haberlere göre Almanya, Fransa, Hollanda ve Finlandiya gibi ülkelerde bazı kamu kurumları, güncellemeler tamamlanana kadar bazı web sitelerini önlem olarak geçici süreyle erişime kapattı.
Hangi sürümler güvenli, ne yapılmalı?
PHP projesi, düzeltmeleri içeren 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerini yayımladı. PHP 8.1 ve daha eski dallar artık resmi destek almadığı için bu sürümler için resmi bir paket çıkmadı; ancak PHP güvenlik ekibi, kaynak koddan derleme yapanlar için PHP 7.4, 8.0 ve 8.1'e yönelik asgari düzeltmeler paylaştı. Dağıtım paketleri kullananların kendi sağlayıcılarının güvenlik duyurularını takip etmesi gerekiyor.
Uzmanlar, güncellemenin tek kalıcı çözüm olduğunu vurguluyor. Güncellemenin ardından tüm PHP süreçlerinin yeniden başlatılması, konteyner kullanan sistemlerde imajların yeniden oluşturulması öneriliyor. WordPress, Joomla veya Drupal gibi içerik yönetim sistemleriyle çalışan site sahipleri açısından yalnızca tema ve eklentileri güncel tutmak yeterli değil; barındırma sunucusundaki PHP sürümünün de kontrol edilmesi gerekiyor. Paylaşımlı hosting kullananların, sunucu tarafındaki güncellemenin yapılıp yapılmadığını hizmet sağlayıcılarına teyit ettirmesi tavsiye ediliyor.
Teknik ayrıntılar ve güncelleme talimatları PHP'nin resmi internet sitesinde yer alıyor. Kurumların, güncelleme sürecinde sunucu kayıtlarını da inceleyerek şüpheli isteklerin izini sürmesi öneriliyor.
Görsel: BleepingComputer
