PHP güvenlik ekibi, iki kritik açığı gidermek için 21 Ekim 2026’da acil güncellemeler yayımladı. Güncellemelerin erişime açılmasının ardından Avrupa’daki bazı kamu kurumları, yamaları kurup doğrulayıncaya kadar internet sitelerini geçici olarak kapattı. Güvenlik ekipleri saldırı girişimleri tespit edildiğini bildirirken, kurumlara PHP kurulumlarını derhal güncelleme veya güncelleme tamamlanana dek erişime kapatma çağrısı yapıldı.
PHP, içerik yönetim sistemlerinden e-ticaret hizmetlerine ve özel web uygulamalarına kadar geniş bir kullanım alanına sahip. Açıkların teknik ayrıntıları yayımlandıktan sonra saldırganların yamalanmamış sunucuları hedef alma ihtimali arttığı için, internetten erişilen PHP hizmetlerinde güncelleme ve doğrulama çalışmaları öncelik kazandı.
PHP güncellemeleri yayımlandı, siteler geçici kapatıldı
PHP ekibi, iki kritik güvenlik açığı için planlanan duyuruyu öne çekerek güncellemeleri yaklaşık 13.45 GMT’de erişime açtı. Güncellemeler, desteklenen PHP 8.2, 8.3, 8.4 ve 8.5 sürümleri için yayımlandı. Destek dışı PHP sürümlerini kullanan kurumların ise işletim sistemi veya barındırma sağlayıcılarının sunduğu paketleri denetlemesi ya da desteklenen bir sürüme geçmesi gerekiyor.
Hollanda’da kamu portalı, liman işletmesi, hastaneler ve bazı siyasi parti siteleri; Finlandiya’da kamu ağ hizmetleri; Fransa’da yerel yönetimlere ait idari sayfalar önlem amacıyla geçici olarak kapatıldı. Danimarka, Guernsey ve Man Adası’ndaki bazı kamu, eğitim ve çevrim içi hizmetlerde de benzer kesintiler yaşandı.
Kapatmalar, ilgili kurumların mutlaka saldırıya uğradığı anlamına gelmiyor. Kurumlar, güvenlik güncellemesini kurmak ve hizmetleri yeniden açmadan önce kontrolleri tamamlamak için erişimi sınırladı. Bazı yetkililer, etkilenen sitelerde ihlal bulgusuna rastlamadıklarını bildirdi.
Açıkların risk seviyesi ve teknik etkisi nedir?
PHP güvenlik ekibi, iki açığın da CVSS v4.0 değerlendirmesinde 9,2 puan aldığını açıkladı. CVSS, yazılım açıklarının önem derecesini ölçmekte kullanılan puanlama sistemidir; 9,2 puan kritik düzeyde risk anlamına geliyor.
CVE-2026-109618 ve CVE-2026-109619 olarak izlenen açıkların, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya imkân verebileceği bildirildi. Başarılı bir saldırı, saldırganın savunmasız sunucuda komut çalıştırmasına, dosya sistemine veya veritabanına erişmesine ve hassas verileri ele geçirmesine neden olabilir.
Açıkların PHP’nin bellek yönetimi ve hata işleme bileşenlerinde bulunduğu belirtildi. Söz konusu bileşenler çok sayıda web isteğinde kullanıldığı için, risk yalnızca belirli bir içerik yönetim sistemi, eklenti veya giriş sayfasıyla sınırlı değil. WordPress, Drupal, Joomla ve Magento gibi PHP tabanlı uygulamaları işleten yöneticilerin sunucu düzeyindeki PHP sürümünü kontrol etmesi gerekiyor.
Saldırı girişimleri yama öncesinde de görüldü
Güvenlik araştırmacıları, açıklara ilişkin bilgilerin başlangıçta planlanan duyurudan önce çevrim içi ortamlarda dolaşıma girdiğini bildirdi. Bu gelişme üzerine PHP ekibi, teknik ayrıntıların daha fazla yayılmasını beklemeden güncellemeyi bir gün erkene aldı.
Bir tehdit istihbaratı ekibi, 17 Ekim’de tuzak sistemine yönelik şüpheli bir istismar denemesi tespit ettiğini açıkladı. Güncellemenin yayımlandığı gün farklı aktörlerden ek denemelerin ve güvenlik duvarı kurallarını aşmaya dönük değişken saldırı yüklerinin gözlendiği de bildirildi.
Saldırı denemeleri, başarılı ihlal veya veri sızıntısı kanıtı anlamına gelmiyor. Ancak açıkların kamuya açıklanmasıyla yama farklarını inceleyerek çalışan saldırı kodu üretme süresinin kısaldığı değerlendiriliyor. Güvenlik duvarı kuralları ve ağ düzeyindeki engellemeler geçici koruma sağlayabilir; kalıcı çözüm güncellemeyi kurmak ve sistemleri denetlemek olarak görülüyor.
Yöneticiler güncelleme öncesi ne yapmalı?
Sistem yöneticileri önce kullanılan PHP sürümlerini, uygulamaların çalıştığı sunucuları ve bağımlı hizmetleri envanterde doğrulayabilir. Üretim ortamına geçmeden önce güncel PHP paketlerini test ortamında denemek, uygulama uyumsuzluklarını ve beklenmeyen hizmet kesintilerini azaltabilir.
Yedekleme, geri dönüş planı ve bakım duyurusu hazırlanması da güncelleme çalışmasının temel parçaları arasında yer alıyor. Paylaşımlı barındırma kullanan işletmelerin, güncellemenin sağlayıcı tarafından mı yoksa uygulama sahibi tarafından mı uygulanacağını öğrenmesi gerekiyor.
Güncelleme sonrasında PHP sürümünün doğrulanması, hata kayıtlarının incelenmesi ve internete açık uygulamalarda olağan dışı etkinliklerin izlenmesi öneriliyor. Yama hemen uygulanamıyorsa, etkilenen ve internete açık hizmetlerin geçici olarak kapatılması riski azaltabilir.
Eski PHP sürümleri için ek denetim gerekiyor
PHP kullanan kuruluşlar, uygulama sahipleri ile barındırma sağlayıcıları arasındaki sorumluluk paylaşımını güncelleme öncesinde netleştirebilir. Özellikle paylaşımlı barındırma ortamlarındaki site sahipleri, içerik yönetim sistemi güncellemelerinin sunucudaki PHP çalıştırma ortamını otomatik olarak güncellemediğini doğrulamalı.
Güvenlik uzmanları, internete açık her PHP örneğinin belirlenmesini, güncelleme sahipliğinin atanmasını ve yama sonrasında hizmetlerin test edilmesini öneriyor. Uzun süredir bakım görmeyen uygulamalar ile destek dışı PHP sürümleri, güncelleme sürecinde daha fazla inceleme gerektirebilir.
PHP’nin yaygın kullanımı nedeniyle, yalnızca büyük kurumların değil küçük işletmelerin, sivil toplum kuruluşlarının ve bireysel site sahiplerinin de sunucu yapılandırmalarını gözden geçirmesi gerekiyor. Güncelleme tamamlanana kadar olağan dışı PHP işlemleri, beklenmeyen komut çalıştırma denemeleri ve dosya indirme etkinlikleri yakından izlenmeli.
Sıkça Sorulanlar
PHP güvenlik güncellemeleri ne zaman yayımlandı?
PHP, iki kritik açık için güvenlik güncellemelerini 21 Ekim 2026’da yaklaşık 13.45 GMT’de yayımladı. Güncellemeler desteklenen PHP 8.2, 8.3, 8.4 ve 8.5 sürümlerini kapsıyor.
PHP açıkları hangi riski taşıyor?
CVE-2026-109618 ve CVE-2026-109619, saldırganların kimlik doğrulaması olmadan savunmasız PHP sunucularında uzaktan kod çalıştırabilmesine imkân verebilir. Başarılı saldırılar dosya sistemleri, veritabanları ve hassas veriler için risk oluşturabilir.
Avrupa’daki bazı kamu siteleri neden kapatıldı?
Bazı kamu kurumları saldırıya uğradıkları doğrulandığı için değil, PHP yamalarını kurup test ederken önlem amacıyla sitelerini geçici olarak erişime kapattı. Hizmetlerin kontroller tamamlandıktan sonra yeniden açılması planlandı.
PHP kullanan site yöneticileri ne yapmalı?
Yöneticiler PHP sürümlerini belirlemeli, yayımlanan güvenlik paketlerini gecikmeden kurmalı ve güncelleme sonrasında uygulama ile hata kayıtlarını kontrol etmelidir. Güncelleme hemen yapılamıyorsa internete açık hizmetlerin geçici olarak kapatılması değerlendirilmelidir.
Saldırı girişimleri başarılı ihlal anlamına geliyor mu?
Hayır. Bildirilen saldırı girişimleri, açıkların hedeflendiğini gösterir; tek başına başarılı sistem ihlali veya veri sızıntısı kanıtı sayılmaz. Buna rağmen yamalanmamış sistemler için risk devam ettiği için hızlı güncelleme gerekiyor.