İnternet siteleri ve kurumsal uygulamalarda yaygın olarak kullanılan PHP programlama dilinde tespit edilen iki kritik güvenlik açığı dünya genelinde siber güvenlik alarmına yol açtı. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen açıkların, bazı yapılandırmalarda saldırganların herhangi bir kullanıcı adı veya şifreye ihtiyaç duymadan sunucularda uzaktan kod çalıştırmasına olanak sağlayabildiği bildirildi. PHP güvenlik ekibi, açıkların CVSS 4.0 ölçeğinde 9,2 puanla kritik seviyede olduğunu açıkladı.
22,6 MİLYONDAN FAZLA SİSTEM POTANSİYEL RİSK ALTINDA
Palo Alto Networks Unit 42 tarafından yayımlanan değerlendirmede, internete açık 22,6 milyondan fazla sistemin söz konusu açıklardan potansiyel olarak etkilenebileceği belirtildi. Güvenlik şirketi, açıkların gerçek ortamda istismar edildiğine ilişkin gözlemler bulunduğunu ve en az bir Avrupa hükümetinin tedbir amacıyla internet sitesini geçici olarak çevrimdışı bıraktığını bildirdi.
ŞİFRE OLMADAN SUNUCUDA KOD ÇALIŞTIRILABİLİYOR
Açıkların en önemli özelliği, saldırının uygulama seviyesinden önce PHP’nin kendi çekirdeğinde gerçekleşebilmesi. Başarılı bir saldırıda kötü niyetli kişiler, etkilenen sunucuda PHP uygulamasının sahip olduğu yetkiler kapsamında kod çalıştırabiliyor. Bu durum veri tabanlarına erişim, hassas bilgilerin ele geçirilmesi, sistemlere zararlı yazılım yüklenmesi veya hizmetlerin devre dışı bırakılması gibi ciddi risklere yol açabiliyor.
PHP'DEN ACİL GÜNCELLEME ÇAĞRISI
PHP ekibi, güvenlik açıklarını gidermek amacıyla PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı. Yetkililer, açıklar için tam kapsamlı bir geçici çözüm bulunmadığını, sistemlerin güvenli sürümlere yükseltilmesinin en güvenli yöntem olduğunu vurguladı. PHP 8.1 ve daha eski sürümlerin ise PHP projesi tarafından artık resmi olarak desteklenmediği belirtildi.
TÜRKİYE'DE SİBER GÜVENLİK BAŞKANLIĞI HAREKETE GEÇTİ
Türkiye Cumhuriyeti Siber Güvenlik Başkanlığı da PHP açıklarıyla ilgili resmi güvenlik bildirimi yayımladı. Başkanlık, kurum ve kuruluşlardan PHP tabanlı sistemlerini kontrol etmelerini, üreticinin yayımladığı güvenlik güncellemelerini gecikmeden uygulamalarını ve kritik servislere dış erişimi sınırlandırmalarını istedi. Yurt dışından erişime ihtiyacı bulunmayan sistemlerin uluslararası trafiğe kapatılması da önerilen tedbirler arasında yer aldı.
E-DEVLET'TE SORUN TESPİT EDİLMEDİ
PHP açıklarının duyulmasının ardından e-Devlet Kapısı’nda da güvenlik kontrolleri gerçekleştirildi. Siber Güvenlik Başkanlığı, 69 milyonu aşkın kullanıcıya hizmet veren e-Devlet Kapısı’nda yapılan incelemelerde hizmetlerin güvenliğini ve sürekliliğini olumsuz etkileyecek herhangi bir sorun tespit edilmediğini açıkladı. Başkanlık, sistemlerin 7 gün 24 saat izlendiğini ve kamu kurumlarıyla bağlantıların çok katmanlı güvenlik tedbirleriyle korunduğunu bildirdi.
ŞİFRE DEĞİŞTİRMEK TEK BAŞINA ÇÖZÜM DEĞİL
Uzmanlara göre söz konusu güvenlik açığı doğrudan vatandaşların telefon veya bilgisayarlarında değil, PHP kullanan sunucularda bulunuyor. Bu nedenle kullanıcıların toplu şekilde şifre değiştirmesi güvenlik açığını ortadan kaldırmıyor. Asıl çözüm, internet sitesi ve sunucu yöneticilerinin sistemlerini güvenli PHP sürümlerine yükseltmesi. Bununla birlikte bir kurum tarafından veri ihlali açıklanması halinde kullanıcıların ilgili hesaplarındaki şifreleri değiştirmesi ve iki aşamalı doğrulamayı etkinleştirmesi önem taşıyor.
HANGİ SİSTEMLER DAHA FAZLA RİSK ALTINDA?
PHP'nin resmi güvenlik duyurusuna göre PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ve LiteSpeed üzerinden web isteklerini işleyen PHP sistemleri risk kapsamında bulunuyor. PHP ekibi, özellikle Apache mod_php kullanılan yapılarda riskin daha yüksek olduğunu belirtti. İnternete açık, güncellenmemiş PHP sistemlerinin güvenli sürümlere geçirilmesi ve sunucuların güvenlik kayıtlarının kontrol edilmesi öneriliyor.
