Php Açıkları Türkiye'yi De Vurdu: Yüzbinlerce Hizmet Eski Sürümde

Censys verilerine göre dünya genelinde 33,5 milyon PHP hizmeti etkilenen sürümlerde çalışıyor. Türkiye'de ise sürümünü açıklayan hizmetlerin yüzde 92,9'u riskli kategoride yer alıyor.

Siber güvenlik şirketi Censys, PHP2Shell olarak anılan güvenlik açıklarının dünya genelindeki etkisini ve yama sürecini takip eden canlı bir kontrol paneli yayımladı. Paneldeki verilere göre 21 Ekim'de başlayan takip sürecinden bu yana etkilenen PHPsürümlerini kullandığı tespit edilen hizmetlerin sayısı 41 milyon 433 bin 822'ye ulaştı. Son taramalarda ise 33 milyon 500 bin 304 hizmetin halen etkilenen bir PHP sürümü kullandığı görülüyor.

Şirket, 21 Ekim'den bu yana 7 milyon 943 bin 892 hizmetin düzeltilmiş bir sürüme geçtiğini tespit etti. Bunların 7 milyon 241 bin 171'i son 24 saat içinde yamalı sürümle görüntülendi. Ancak bu rakamlar, doğrudan etkilenen sunucu veya kurum sayısını göstermiyor. Bir sunucu birden fazla web sitesini barındırabildiği için her hizmet ayrı bir kayıt olarak değerlendiriliyor.

Sürüm bilgisini açıklayan ve son dokuz günde taranan 41,9 milyon PHP hizmetinin yaklaşık yüzde 79,8'i etkilenen sürümler kategorisinde bulunuyor. Bunların 8,5 milyonu düzeltilmiş sürüme geçmiş durumda. Yaklaşık 10 milyon hizmet, yaması yayımlanmış ancak henüz güncellenmemiş sürümleri kullanırken 23 milyon hizmet ise PHP 8.1 veya daha eski sürümlerde çalışıyor.

Bununla birlikte Censys, tespit edilen tüm PHP hizmetlerinin sürüm bilgisini açıklamadığını belirtiyor. Dolayısıyla olayın gerçek etki alanı Censys verilerinden daha fala olabilir.

Censys'in ülke bazındaki verilerine göre Türkiye'de 364 bin 237 PHP hizmeti etkilenen sürümler arasında yer alıyor. Bu sayı, sürüm bilgisini açıklayan Türkiye kaynaklı PHP hizmetlerinin yüzde 92,9'una karşılık geliyor. Türkiye, etkilenen hizmetlerin sayısı ve oranına göre yapılan ülke sıralamasında 233 ülke ve bölge arasında 19. sırada bulunuyor.

Elbette bu veriler Türkiye'deki tüm web sitelerinin veya sunucuların saldırıya açık olduğu anlamına gelmiyor. Censys'in sınıflandırması, taramalarda bildirilen PHP sürümlerini temel alıyor. Linux dağıtımları, güvenlik düzeltmelerini PHP sürüm numarasını değiştirmeden geriye dönük olarak uygulayabildiğinden bazı sistemler gerçekte güncel olmasına rağmen etkilenen sürüm olarak görünebiliyor. Bu nedenle rakamlar, doğrulanmış güvenlik açığı bulunan sistemlerin kesin sayısını değil, mevcut duruma ilişkin bir tahmini gösteriyor.

PHP2Shell adı verilen güvenlik sorunu, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen iki kritik açıktan oluşuyor. Açıklar, PHP'nin bellek yönetimindeki hatalardan kaynaklanıyor ve uygun koşullarda saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına imkan tanıyabiliyor. Bu durum, etkilenen sunuculardaki dosyalara ve veritabanlarına erişilmesi gibi ciddi güvenlik riskleri oluşturuyor. Her iki açığa da 10 üzerinden 9,2 önem derecesi verildi.

Açıklar, OpenAI'ın Patch the Planet girişimi kapsamında yürütülen çalışmalar sırasında Calif ve Wiz araştırmacılarının katkılarıyla tespit edildi. Güvenlik araştırmacıları, yapay zeka destekli araçlardan yararlanarak PHP'de uzun süredir fark edilmeyen sorunları ortaya çıkardı. Açıklar 21 Ekim 2026'da kamuoyuna duyurulurken, PHP ekibi aynı zamanda güvenlik düzeltmelerini içeren yeni sürümleri yayımladı.

Ancak açıklamanın ardından saldırı girişimleri de gündeme geldi. AWS, duyurudan dört gün önce, 17 Ekim'de bir honeypot sisteminde anonim bir IP adresinden gelen istismar girişimini tespit ettiğini bildirdi. Cloudflare tarafında da duyuru öncesinde başlayan ve açıklamanın ardından hızla artan saldırı girişimleri gözlemlendi. Bu gelişmeler, güvenlik açıklarının yayımlanmasının ardından sistem yöneticilerinin güncellemeleri geciktirmemesi gerektiğini ortaya koydu.

PHP ekibi, açıkları gidermek için PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerini yayımladı. PHP 8.1 ve daha eski dallar için resmi güvenlik güncellemesi sunulmadığından bu sürümleri kullanan sistemlerin desteklenen bir PHP sürümüne geçirilmesi gerekiyor.