Siber Güvenlik Başkanlığı, PHP altyapısındaki iki kritik güvenlik açığı nedeniyle ulusal çapta tarama başlatırken, açıkların belirli koşullarda sunucularda uzaktan kod çalıştırılmasına imkân verebildiği bildirildi. PHP ekibi güvenlik güncellemelerini yayımlarken, kurumlara sistemlerini güncelleme ve erişimleri sınırlandırma, kullanıcılara ise sahte güncelleme mesajlarına karşı dikkatli olma çağrısı yapılıyor.
Siber Güvenlik Başkanlığı, PHP programlama dilini etkileyen iki kritik güvenlik açığına ilişkin ulusal ölçekte güvenlik taramaları başlattı.
Başkanlığın 21 Ekim 2026 tarihli bildiriminde, açıkların başarılı biçimde istismar edilmesi durumunda PHP tabanlı uygulamaların çalıştığı sistemlerde yetkisiz kod çalıştırılabileceği ve uygulamanın sahip olduğu yetkiler ölçüsünde sistem kaynaklarına erişilebileceği belirtildi.
Başkanlık, ilgili kurum ve kuruluşlara acil güvenlik bildirimlerinin iletildiğini duyurarak kamu kurumlarının, kritik altyapı işletmecilerinin ve özel sektör kuruluşlarının sistemlerini gözden geçirmelerini istedi. Bildirimde, üreticinin resmî güvenlik güncellemesinin yayımlanmasının ardından etkilenen sistemlerin belirlenerek güvenli sürümlere yükseltilmesi gerektiği vurgulandı.
Başkanlığın duyurusunda ayrıca yönetim arayüzleri ile kritik PHP servislerine yönelik dış erişimlerin güvenlik duvarı kurallarıyla yalnızca güvenilir ve yetkili IP adresleriyle sınırlandırılması, yurt dışından erişim ihtiyacı bulunmayan sistemlerin ise uluslararası trafiğe kapatılması önerildi.
PHP’nin internet sitelerinde ve web uygulamalarında yaygın kullanılması, bu tür bir güvenlik açığının farklı sektörlerdeki kurumları ilgilendirmesine neden oluyor. Açıkların uzaktan kod çalıştırılmasına imkân verebilmesi ve güncel uyarılarda aktif istismar raporlarının yer alması, düzeltmelerin gecikmeden uygulanmasını önemli hâle getiriyor.
OpenAI’ın "son zamanların en etkili güvenlik sorunlarından biri" olarak nitelendirdiği, siber güvenlik firması Wiz’in yapay zeka tarafından şimdiye kadar tespit edilen "en ciddi" kusurlar olarak tanımladığı söz konusu açığa ilişkin detaylar ve alınabilecek önlemlerden bazıları şöyle:
PHP açığı ne anlama geliyor?
PHP, çok sayıda internet sitesinin ve web uygulamasının sunucu tarafında çalışan yazılım dilidir. Kullanıcıların bir sitede form doldurması, hesaplarına giriş yapması, arama yapması veya bir işlem gerçekleştirmesi sırasında arka planda yürütülen işlemlerin bir bölümü PHP tarafından yönetilebilir.
Bu nedenle PHP’de bulunan kritik bir güvenlik açığı, yalnızca tek bir internet sitesini değil, aynı yazılım altyapısını kullanan farklı kurum ve hizmetleri de ilgilendirebilir.
PHP ekibinin 21 Ekim’de yayımladığı güvenlik duyurusuna göre açıklar, belirli koşullarda kimlik doğrulaması yapılmadan uzaktan kod çalıştırılmasına yol açabiliyor.
Uzaktan kod çalıştırma, saldırganın hedef sunucuya fiziksel olarak erişmeden ve bazı durumlarda geçerli bir kullanıcı hesabına sahip olmadan, özel olarak hazırlanmış ağ istekleri aracılığıyla sistemde kod çalıştırabilmesi anlamına geliyor.
Böyle bir saldırının başarılı olması hâlinde sonuçlar, etkilenen uygulamanın yetkilerine ve sistemin yapılandırmasına bağlı olarak değişebilir. Uygulama verileri okunabilir veya değiştirilebilir, sunucudaki hizmetlerin çalışması etkilenebilir ve sistemin diğer bileşenlerine erişmek için saldırı girişimleri gerçekleştirilebilir. Ancak bu ihtimaller, her etkilenen sistemde bütün bu sonuçların mutlaka yaşanacağı anlamına gelmiyor.
İki açığın teknik farkı ne?
PHP ekibinin açıklamasında iki ayrı bellek yönetimi sorunu tarif ediliyor.
İlk açık, sistemin bellek yetersizliği durumunu ele alması sırasında ortaya çıkabiliyor. Bir istek işlenirken gerekli bellek tahsisi tamamlanamazsa bazı iç veriler kısmen hazırlanmış durumda kalabiliyor. Sonraki temizlik işlemlerinin bu verileri geçerli kabul etmesi, bellekte bozulmaya ve belirli koşullarda kod çalıştırılmasına yol açabiliyor.
İkinci açıkta ise bir isteğe ait bazı iç durum bilgilerinin, bunların tutulduğu bellek alanı serbest bırakıldıktan sonra kullanılabilmesi söz konusu. Bu durum, aynı çalışan süreç tarafından sonraki istekler işlenirken güvenlik sorununa neden olabiliyor.
Hangi sistemler etkilenebilir?
PHP ekibinin açıklamasına göre risk, web isteklerini işleyen PHP kurulumlarını kapsıyor. Bunlar arasında PHP-FPM, Apache üzerinde mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi farklı çalışma biçimleri bulunuyor.
PHP ekibi, riskin özellikle Apache üzerinde mod_php kullanılan sistemlerde daha yüksek olduğuna dikkat çekti. Bu yapılandırmada, uygulama kodu çalışmaya başlamadan önce istismar girişiminin mümkün olabildiği bir senaryo gösterildi.
PHP, ayrı sunucularda, konteynerlerde, yönetim panellerinde veya üçüncü taraf yazılımların içinde çalışıyor olabilir. Bu nedenle teknik ekiplerin tüm PHP kurulumlarını belirlemesi gerekiyor. Etki, kullanılan sürüm ve çalışma biçiminin yanı sıra yapılandırmaya ve sistemin dışarıdan erişilebilir olmasına da bağlı.
PHP ekibi güvenlik güncellemelerini yayımladı
Siber Güvenlik Başkanlığının ilk bildiriminde, üreticinin resmî güvenlik güncellemesini yayımlamasının ardından etkilenen sistemlerin güvenli sürümlere yükseltilmesi istendi. PHP ekibi 21 Ekim 2026’da açıkları gideren sürümleri yayımladı.
Resmî duyuruda belirtilen düzeltilmiş sürümler şöyle:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
Bu sürümlerin önceki sürümlerini kullanan sistemlerin güncellenmesi gerekiyor. PHP 8.1 ve daha eski sürümler içinse önemli bir ayrıntı var: PHP projesi bu sürümlere yönelik standart güvenlik desteğini sonlandırdığı için kurumların desteklenen bir sürüme geçişi değerlendirmesi gerekiyor. Bazı işletim sistemi dağıtımları veya ticari sağlayıcılar eski sürümler için ayrı güvenlik yamaları sunabilir; bu nedenle kullanılan ürünün resmî duyurusu da kontrol edilmeli.
PHP ekibi, eksiksiz koruma sağlayan bir geçici çözüm bulunmadığını ve güncellemenin tek güvenli seçenek olduğunu belirtiyor. Bu nedenle yalnızca güvenlik duvarı kuralı eklemek veya dış erişimi sınırlamak, güncellemenin yerine geçmiyor.
Kurumlar hangi önlemleri almalı?
Kurumların ilk olarak PHP kullanan tüm sistemlerini belirlemesi, kullanılan sürümleri doğrulaması ve internete açık sunuculara öncelik vermesi gerekiyor. Ardından uygun güvenlik güncellemesi uygulanmalı; güncelleme sonrasında çalışan hizmetlerin gerçekten düzeltilmiş sürümü kullandığı kontrol edilmeli.
Güncellemenin hemen yapılamadığı durumlarda dış erişimlerin sınırlandırılması veya etkilenen sistemlerin geçici olarak izole edilmesi değerlendirilebilir. Ancak bu önlemler, güvenlik açığını ortadan kaldırmaz. PHP ekibinin tavsiyesi doğrultusunda kalıcı çözüm, düzeltilmiş sürüme geçiştir.
Bir diğer önemli adım, olası saldırıların araştırılması. Güvenlik güncellemesinin uygulanması, sistemin daha önce istismar edilmediğini kanıtlamaz. Bu nedenle kurumların web sunucusu ve uygulama kayıtlarını incelemesi; beklenmedik işlemleri, şüpheli dosyaları, yetkisiz hesapları ve olağan dışı bağlantıları araştırması gerekiyor. İhlal belirtisi bulunması hâlinde kurumun olay müdahale prosedürleri devreye alınmalı.
Başkanlığın özellikle belirttiği erişim kısıtlamaları da bu sürecin bir parçası. Yönetim arayüzleri ve kritik servisler, yalnızca yetkili kullanıcıların ve güvenilir IP adreslerinin erişimine açık tutulmalı. Uluslararası erişim ihtiyacı bulunmayan sistemlerde dış trafik sınırlandırılmalı.
Peki, sıradan internet kullanıcıları ne yapmalı?
Bu güvenlik açığının doğrudan hedefi, PHP çalıştıran sunucular ve web uygulamaları. Bir internet kullanıcısının PHP kullanan bir siteyi ziyaret etmesi, kendi bilgisayarının bu açık nedeniyle otomatik olarak risk altında olduğu anlamına gelmiyor. Açık, esas olarak sunucu tarafındaki yazılımı ilgilendiriyor.
Ancak uzmanlar, kullanıcıların sahte güncelleme mesajlarına ve şüpheli bağlantılara karşı dikkatli olmasını öneriyor. Cihaz ve uygulamaların güncel tutulması, olağan dışı hesap hareketlerinin kontrol edilmesi de alınabilecek önlemler arasında.
İnternet sitesi işletenlerin ise kullandıkları PHP sürümünü ve güvenlik güncellemelerinin uygulanıp uygulanmadığını hosting sağlayıcılarından öğrenmesi mümkün.
