İnternet siteleri ve uygulamalarında yaygın olarak kullanılan PHP’de, saldırganların etkilenen sunucularda kimlik doğrulaması olmadan uzaktan kod çalıştırmasına olanak tanıyabilecek iki kritik güvenlik açığı tespit edildi.
CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kaydedilen açıklar için PHP geliştiricileri, 21 Ekim 2026’da güvenlik güncellemeleri yayımladı. Kullanıcılara, kullandıkları sürüm dalına göre PHP 8.2.35, 8.3.36, 8.4.27 veya 8.5.12’ye geçmeleri çağrısı yapıldı.
İlk işaretler 2024’te görülmüş
PHP Vakfı’nın açıklamasına göre, açıklardan birinin temelindeki bellek yönetimi sorununun ilk işaretleri 2024’te görüldü. Ancak sorunun nasıl istismar edilebileceğinin o dönemde somutlaştırılamaması, düzeltme yöntemleri üzerindeki anlaşmazlıklar ve kaynak yetersizliği nedeniyle çözüm gecikti. Vakıf, bu gecikmeyi yapısal bir başarısızlık olarak nitelendirdi.
Güvenlik şirketi Calif’in araştırmacısı, aynı sorunun uzaktan kod çalıştırmaya olanak verdiğini 11 Ağustos 2026’da bildirdi. OpenAI ve Wiz de araştırma sürecine katkı sundu. OpenAI, Calif’in yapay zekâ destekli araçlardan yararlandığını ve şirketin son iki ay boyunca araştırmacılar, geliştiriciler ve güvenlik sağlayıcıları arasındaki koordinasyona öncülük ettiğini açıkladı.
PHP Vakfı, açıkların kimlik numaralarının 20 Ekim’de internet forumlarında ve sosyal medyada dolaşıma girdiğini belirtti. İlk aşamada teknik ayrıntılar paylaşılmadı; ancak Calif’in daha sonra yanlışlıkla yayımladığı bir gösterim videosu, açıklara ilişkin sınırlı ek bilgilerin yayılmasına yol açtı.
Bu gelişmeler üzerine, başlangıçta 22 Ekim için planlanan güvenlik güncellemelerinin yayımlanması 21 Ekim’e çekildi.
PHP nedir?
PHP, internet sitelerinin ve web uygulamalarının çalışmasını sağlayan açık kaynaklı bir programlama dili. Haber sitelerinden çevrimiçi mağazalara kadar pek çok alanda kullanılıyor; WordPress gibi içerik yönetim sistemlerinin de temelini oluşturuyor.
Ücretsiz ve açık kaynaklı bir programlama dili olan PHP, zamanla web sitesi geliştirmede Microsoft’un ASP ve daha sonra ASP.NET teknolojilerine yaygın bir alternatif haline geldi. Kaynak kodunun açık olması, geliştiricilerin yazılımı incelemesine, değiştirmesine ve geliştirilmesine katkıda bulunmasına olanak tanıyor.
PHP kodları, ziyaretçinin tarayıcısında değil, sitenin barındırıldığı sunucuda çalışıyor. Örneğin bir haberin veritabanından alınarak sayfada gösterilmesini veya bir kullanıcının giriş bilgilerinin kontrol edilmesini sağlıyor.
Bu nedenle PHP’deki bir güvenlik açığının giderilmesi, ziyaretçinin telefonunu ya da tarayıcısını güncellemesiyle mümkün olmuyor. Gerekli güncellemeyi sitenin teknik ekibinin veya barındırma hizmetini sağlayan kuruluşun sunucuda yapması gerekiyor.
“Güncelleme yapılamıyorsa çevrim dışı tutun”
ABD Ulusal Güvenlik Ajansı (NSA), açıkların saldırganların etkilenen sunuculara erişmesine, hassas verileri çalmasına, hizmetleri kesintiye uğratmasına veya ağ içindeki başka sistemlere ilerlemesine olanak tanıyabileceğini bildirdi.
Kurum, PHP kullanan sistemlerin belirlenmesini ve ilgili güncellemelerin uygulanmasını istedi. Güncellemenin hemen yapılamadığı durumlarda ise etkilenen sistemlerin güvenli hale getirilene kadar çevrim dışı tutulmasını önerdi. Bu tavsiye, bütün internet sitelerini değil, güvenlik açıklarından etkilenen sistemleri kapsıyor.
Associated Press’in haberine göre, ABD Federal Soruşturma Bürosu’nun (FBI) siber birimi de benzer bir uyarı yayımlayarak açıkların hassas verileri ve ağ güvenliğini tehlikeye atabileceğini belirtti.
Çeşitli ülkelerde önlem alındı
Danimarka, Norveç ve Finlandiya’nın siber güvenlik kurumları da PHP kullanan sistemler için uyarılar yayımladı. Norveç Ulusal Güvenlik Kurumu, açıkların kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına olanak tanıyabileceğini belirterek güvenlik güncellemelerinin hızla uygulanmasını istedi.
Hollanda’da vatandaşların kamu hizmetlerine erişmek için kullandığı DigiD ve MijnOverheid siteleri geçici olarak erişime kapatıldı. Finlandiya’da da bazı kamu ve araştırma kuruluşları, PHP kullanan hizmetlerini önlem amacıyla durdurduklarını duyurdu. Bu kapanmalar, tek başına sistemlerin saldırıya uğradığı veya verilerin ele geçirildiği anlamına gelmiyor.
Avustralya Sinyal Direktörlüğü’ne bağlı Avustralya Siber Güvenlik Merkezi de güvenlik açıklarına ilişkin uyarı yayımlayarak kuruluşları güncellemelere hazırlıklı olmaya çağırdı.
Yüzde 70 oranı neyi ifade ediyor?
PHP’nin kullanım yaygınlığına ilişkin haberlerde yer alan “yüzde 70” oranı, bütün internet sitelerini değil, sunucu tarafında kullanılan programlama dili tespit edilebilen siteleri ifade ediyor. Bu kullanım oranı, aynı orandaki sitenin saldırıya uğradığı anlamına gelmiyor.
PHP geliştiricileri, web isteklerini işleyen ve etkilenen sürümleri kullanan kurulumların risk altında olduğunu belirtiyor. Geçici önlemler bazı saldırı yollarını sınırlayabilse de açıkların tamamen giderilmesi için güvenlik güncellemelerinin uygulanması gerekiyor.
(Mİ)
