İnternetin Temel Taşlarından Php'de Kritik Açık: Acil Yama Geliyor

İnternetin temel taşlarından PHP'de iki kritik güvenlik açığı tespit edildi. Sunucularda uzaktan kod çalıştırılmasına imkan tanıyabileceği belirtilen açıklar için acil yamalar hazırlanıyor.

İnternetin altyapısında kullanılan yazılımlarda ortaya çıkan güvenlik açıkları tek bir web sitesinin çok ötesinde sonuçlar doğurabiliyor. Özellikle milyonlarca internet sitesinin kullandığı teknolojileri etkileyen açıklar, saldırganlara sunuculara erişim imkanı tanıması halinde geniş çaplı bir güvenlik sorununa dönüşebiliyor. Şimdi de internetin en yaygın programlama dillerinden PHP için kritik bir güvenlik alarmı verilmiş durumda.

PHP geliştirme ekibi, iki ciddi güvenlik açığı için acil güncelleme hazırlıyor. Güvenlik araştırmacıları, açıkların uzaktan kod yürütülmesine imkan tanıyabileceğini belirtirken sistem yöneticilerine yamalar yayımlanmadan önce hazırlıklarını tamamlamaları çağrısı yapılıyor. Açıkların teknik ayrıntılarının planlanan açıklama tarihinden önce sızdırıldığına ilişkin iddialar da endişeleri artırıyor.

PHP güvenlik ekibi, 20 Ekim'de yayımladığı duyuruda iki güvenlik açığını giderecek güncellemelerin 21 Ekim 2026 Çarşamba günü saat 14.00 UTC'de, Türkiye saatiyle 17.00'de yayımlanmasının planlandığını açıkladı. Her iki açık da CVSS v4.0 güvenlik değerlendirme sisteminde 10 üzerinden 9,2 puan aldı.

Geliştiriciler, açıkların teknik ayrıntılarını ve hangi PHP sürümlerinin etkilendiğini henüz açıklamadı. Güncellemeler yayımlandığında etkilenen sürümlerin ve düzeltmelerin kapsamının da duyurulması bekleniyor.

PHP ekibi, açıkların ayrıntılarının kamuoyuna sızması veya aktif saldırılarda kullanıldıklarına ilişkin kanıtların ortaya çıkması halinde yamaları planlanan tarihten önce yayımlayabileceğini belirtti. Bu nedenle yöneticilerden duyuruları takip etmeleri ve güncellemeleri mümkün olan en kısa sürede yüklemeye hazır olmaları istendi.

Güvenlik araştırmacılarının açıklamalarına göre, CVE-2026-109618 ve CVE-2026-109619 kimlikleriyle takip edilen açıkların uzaktan kod yürütme (RCE) saldırılarına imkan tanıyabileceği öne sürülüyor. Bu tür açıklar, saldırganların hedef sistemde uzaktan komut veya kod çalıştırmasına yol açabiliyor.

Güvenlik şirketi watchTowr, söz konusu açıkların gerçek olduğunu doğruladığını ve en az birini yeniden üretmeyi başardığını bildirdi. Şirketin açıklamalarına göre açıkların PHP 5, 6, 7 ve 8 sürümlerini etkilediği düşünülüyor. Ancak bu bilgiler henüz PHP ekibi tarafından doğrulanmış değil.

İddiaların gündeme gelmesinde PHP2Shell adı verilen bir istismar aracını gösterdiği öne sürülen video da etkili oldu. Videoda, PHP tabanlı farklı web uygulamalarını çalıştıran sunucularda kod yürütülebildiği iddia ediliyor. Örnekler arasında WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0 ve 8.83.29, Symfony 8.1.9, Drupal 11.4.10 ve WHMCS 9.0.9 bulunuyor.

PHP açıklarına ilişkin teknik bilgilerin başlangıçta planlanan açıklama tarihinden önce sızdırıldığı bildiriliyor. watchTowr, güvenlik açıklarının ayrıntılarının kamuoyuna yayılmasının ardından yaptığı açıklamada açıkların gerçek olduğunu doğrularken teknik ayrıntıları yamalar yayımlanana kadar paylaşmayacağını belirtti.

Şirket, açıkların aktif saldırılarda kullanıldığına ilişkin bir bulguya henüz rastlamadığını da açıkladı. Dolayısıyla şu aşamada saldırıların başladığına ilişkin doğrulanmış bir bilgi bulunmuyor.

Diğer yandan güvenlik şirketi Sansec, yamaların yayımlanmasının ardından kitlesel saldırıların 15 dakika içinde başlayabileceğini öngörüyor. Webfence ve Huntress da sistem yöneticilerine hazırlık yapmaları yönünde uyarılarda bulundu.

Güvenlik araştırmacılarının açıklamaları ile PHP ekibinin resmi duyurusu arasında önemli bir puanlama farkı da bulunuyor. watchTowr, açıkların CVSS ölçeğinde 10 üzerinden 10 şiddetinde olduğunu iddia ediyor. PHP ekibinin resmi değerlendirmesi ise her iki açık için 9,2 puan.

PHP ekibi henüz ayrıntıları paylaşmamış olsa da güvenlik uzmanları, kuruluşların güncelleme öncesinde hazırlıklarını tamamlamasını öneriyor. İlk olarak kurumlarda PHP altyapısından sorumlu ekiplerin belirlenmesi ve PHP ile geliştirilmiş tüm uygulamaların envanterinin çıkarılması gerekiyor. Bazı güvenlik uzmanları, yamalar yüklenene kadar zorunlu olmayan sistemlerin ağ bağlantısının kesilmesini de öneriyor. Bu yaklaşım, özellikle kritik iş yüklerini barındıran ve dışarıdan erişilebilen sunucularda riskin azaltılmasına yardımcı olabilir.

Bununla birlikte PHP, dinamik internet siteleri ve web uygulamaları geliştirmek için kullanılan açık kaynaklı bir programlama dili. WordPress gibi içerik yönetim sistemlerinin yanı sıra e-ticaret platformlarında, kurumsal uygulamalarda ve özel olarak geliştirilen web hizmetlerinde de yaygın biçimde kullanılıyor. Bir güvenlik araştırmacısı, yaklaşık 1,3 milyon internete bağlı sunucunun bu açıklardan etkilenme ihtimali bulunduğunu öne sürdü.

Yorum Yaz Paylaş Tweetle