Sıcak Gündem: PHP krizi nedir, PHP krizi neden çıktı?

Kriz, “PHP2Shell” adı verilen ve saldırganların kullanıcı adı ya da şifreye ihtiyaç duymadan savunmasız sistemlerde uzaktan kod çalıştırmasına imkân tanıyabilen iki kritik güvenlik açığından kaynaklanıyor. PHP geliştiricileri açıkları kapatan güncellemeleri yayımlarken, Türkiye’de Siber Güvenlik Başkanlığı ulusal ölçekte güvenlik taraması başlattı. İşte PHP krizine dair bilinmesi gerekenler.

PHP, internet sitelerinin sunucu tarafında çalışmasını sağlayan, açık kaynaklı bir programlama dili. İlk olarak 1990’lı yıllarda geliştirilen PHP, bugün dünyadaki internet sitelerinin yaklaşık yüzde 70’inde kullanılıyor. Kullanıcı girişi, form işlemleri ve veri tabanıyla iletişim gibi pek çok işlem, ziyaretçinin fark etmediği şekilde arka planda PHP aracılığıyla gerçekleşiyor. E-ticaret, bankacılık ve kamu hizmetleri gibi birçok çevrim içi uygulama da bu altyapıdan yararlanıyor.

PHP krizi, bu programlama dilinde tespit edilen ve “PHP2Shell” olarak adlandırılan iki kritik güvenlik açığının yarattığı küresel güvenlik alarmı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıt altına alınan açıklar, belirli koşullarda kötü niyetli kişilerin kimlik doğrulaması yapmadan savunmasız sistemlere müdahale edebilmesine ve internet sitelerinin kontrolünü ele geçirebilmesine yol açabiliyor.

Gelişmenin Perde Arkası ve Detaylar

Açıklar, Google’ın çatı şirketi Alphabet bünyesindeki siber güvenlik şirketi Wiz tarafından tespit edildi. Wiz’e göre söz konusu zafiyetler, PHP’nin kaynak kodunda 10 yılı aşkın süredir bulunuyordu. Şirket, bulguların PHP’de bugüne kadar keşfedilen en ciddi açıklar arasında yer aldığını, hatta yazılım tarihinin en ciddi güvenlik açıklarından bazıları olarak değerlendirilebileceğini açıkladı. Sorunun doğrudan PHP’nin çalışma ortamıyla ilgili olması, yalnızca tek bir siteyi değil, etkilenen PHP sürümlerini kullanan tüm site ve uygulamaları risk altına sokuyor.

PHP geliştiricileri, başlangıçta 22 Ekim’de yayımlanması planlanan güvenlik güncellemelerini, açıklara ilişkin ayrıntıların önceden sızması üzerine bir gün erken, 21 Ekim 2026’da kullanıma sundu. PHP ekibi, güncelleme dışında tam koruma sağlayan geçici bir çözüm bulunmadığını vurguladı. Ayrıca PHP 8.1 ve daha eski sürümlerin artık resmi olarak desteklenmediği hatırlatıldı.

İnternet tarama şirketi Censys’in verilerine göre PHP tespit edilen sunucu sayısı 6 milyonu, web varlığı sayısı ise 115 milyonu aşıyor. Ancak uzmanlar, PHP kullanan her sitenin saldırıya uğradığı anlamına gelmediğini, riskin güncellenmemiş sistemlerde bulunduğunu vurguluyor. Bir kuruluş kendi yazılımında PHP kullanmasa bile, kullandığı bir ürün veya hizmetin içinde savunmasız bir PHP bileşeni bulunabileceği de belirtiliyor.

Resmi Açıklamalar ve Süreçteki Son Durum

Krizin en dikkat çekici yansımaları Avrupa’da görüldü. Avrupa Birliği’nin siber güvenlik müdahale ekibi CERT-EU, güncellemeleri uygulayamayan kuruluşları etkilenen siteleri geçici olarak kapatmaları konusunda uyardı. Belçika’da Siber Güvenlik Merkezi’nin uyarısının ardından Dışişleri, Maliye ve Çalışma bakanlıklarının internet siteleri ile bazı medya ve eğitim platformları tedbir amacıyla geçici olarak erişime kapatıldı. ABD Ulusal Güvenlik Ajansı da güvenlik yamalarını hemen uygulayamayan kuruluşlara sistemlerini geçici olarak internetten ayırmalarını tavsiye etti. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı ise etkilenen kurulumların güncellenmesi gerektiğine yönelik uyarılar yayımladı.

Türkiye’de Siber Güvenlik Başkanlığı, PHP altyapısındaki kritik açıklara karşı ulusal ölçekte güvenlik taramaları başlattığını ve kamu kurumları, kritik altyapı işletmecileri ile özel sektör kuruluşlarına acil güvenlik uyarısı gönderdiğini açıkladı. Başkanlık, önleyici çalışmaların sürdüğünü ve e-Devlet Kapısı başta olmak üzere kamu dijital hizmetlerinin kesintisiz şekilde sunulmaya devam ettiğini duyurdu.

Uzmanlar, PHP kullanan site ve uygulama yöneticilerinin vakit kaybetmeden güvenlik güncellemelerini uygulamasını öneriyor. Barındırma hizmeti kullananların, yalnızca sürüm numarasını değil, hizmet sağlayıcılarının ilgili güvenlik düzeltmesini uygulayıp uygulamadığını da kontrol etmesi gerekiyor. Yönetim panellerine ve kritik servislere erişimin yalnızca güvenilir bağlantılarla sınırlandırılması da alınabilecek önlemler arasında gösteriliyor.