PHP’de Kritik Açık Dünya Genelinde Alarm Yarattı: Bazı Sistemler Çevrimdışı Alındı
Dünya genelinde milyonlarca internet sitesi ve kurumsal uygulamada kullanılan PHP’de tespit edilen iki kritik güvenlik açığı, çok sayıda ülkede siber güvenlik tedbirlerinin artırılmasına neden oldu. Güncelleme yapamayan kurumlara sistemlerini geçici olarak çevrimdışı bırakmaları tavsiye edildi.
İnternet altyapısının en yaygın kullanılan teknolojilerinden biri olan PHP’de ortaya çıkarılan kritik güvenlik açıkları dünya genelinde dikkatleri üzerine çekti.
PHP güvenlik ekibi, 21 Ekim 2026 tarihinde iki kritik açığı gideren yeni sürümleri yayımladı. Açıkların, belirli koşullarda kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına imkan verebildiği bildirildi.
NSA’dan “güncelleyin ya da çevrimdışı bırakın” uyarısı
ABD Ulusal Güvenlik Ajansı (NSA), PHP kullanan kuruluşlara yönelik yayımladığı güvenlik uyarısında sistemlerin derhal güncellenmesini istedi.
NSA, güvenlik güncellemesinin hemen uygulanamadığı durumlarda risk tamamen ortadan kaldırılana kadar ilgili sistemlerin çevrimdışı bırakılmasının değerlendirilmesini tavsiye etti.
İngiltere Ulusal Siber Güvenlik Merkezi de benzer bir uyarı yayımlayarak özellikle internete açık PHP sistemlerinin öncelikli olarak tespit edilmesi ve yamaların uygulanması çağrısında bulundu.
Avrupa’dan ortak güvenlik çağrısı
Avrupa Komisyonu, ENISA, CERT-EU, Europol ve ulusal siber güvenlik ekipleri tarafından yayımlanan ortak açıklamada da iki kritik açık için acil önlem çağrısı yapıldı.
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıkların saldırganlara savunmasız sunucularda uzaktan kötü amaçlı kod çalıştırma imkanı verebileceği belirtildi.
Kurumların internet üzerinden erişilebilen PHP tabanlı sistemlere öncelik vermesi, hosting sağlayıcılarıyla iletişime geçmesi ve güvenlik güncellemelerini gecikmeden yüklemesi istendi.
PHP için güvenli sürümler yayımlandı
PHP geliştiricileri açıkların giderildiği yeni sürümleri kullanıma sundu.
Güvenlik güncellemeleri kapsamında şu sürümler yayımlandı:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
PHP güvenlik ekibi, tam kapsamlı bir geçici çözüm bulunmadığını ve güncellemenin en güvenli yöntem olduğunu bildirdi.
PHP kullanan sistemler neden risk altında?
PHP; internet siteleri, içerik yönetim sistemleri, kurumsal uygulamalar ve çeşitli web servislerinin sunucu tarafında çalışmasını sağlayan yaygın bir yazılım dili.
Açıklanan güvenlik açıklarının PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed dahil çeşitli çalışma ortamlarını etkileyebildiği belirtildi.
Özellikle internete açık ve güncellenmemiş sistemlerin daha yüksek risk taşıdığı ifade edildi.
OpenAI da güvenlik sürecinde yer aldı
OpenAI tarafından yapılan açıklamada, PHP’deki güvenlik açıklarının giderilmesi için son iki ay boyunca araştırmacılar, yazılım geliştiricileri ve güvenlik şirketlerinin dahil olduğu koordineli bir çalışma yürütüldüğü belirtildi.
Açıklamada, güvenlik araştırmacılarının açıkların tespit ve doğrulama süreçlerine katkı sunduğu, PHP geliştiricilerinin ise gerekli yamaları hazırladığı aktarıldı.
Site sahiplerine güncelleme çağrısı
PHP kullanan internet sitesi ve sunucu yöneticilerinin öncelikle mevcut PHP sürümlerini kontrol etmeleri gerekiyor.
Desteklenen güvenli sürümlere geçiş yapılması, web sunucularının güncellenmesi, log kayıtlarının olağan dışı hareketler açısından incelenmesi ve üçüncü taraf yazılımların da güncel tutulması öneriliyor.
PHP ekibi, güvenlik açıklarının kritik seviyede olması nedeniyle kullanıcıların güncellemeleri geciktirmemesi gerektiğini özellikle vurguluyor.
