“Bu Bir Tatbikat Değil”: Kritik PHP Güvenlik Açıkları İnterneti Ateşe Veriyor!

İnternet güvenliği ve web yönetim ekipleri şu sıralar dünya çapında olası bir felaketi önlemek için zamanla yarışıyor. SosyalKafa okurları, eğer bir web siteniz varsa (özellikle WordPress, Drupal veya Magento altyapılı), arkanıza yaslanıp okumayı bırakın ve hemen sunucularınızı kontrol edin. Çünkü çok kullanılan programlama dili PHP’nin geliştiricileri, saldırganların kurban sistemlerin uzaktan kontrolünü ele geçirmesine olanak tanıyan acil güvenlik güncellemeleri yayınladı.

Uzmanların uyarısı çok net: “Bu bir tatbikat değil!”

CVSS 9.2: Milyonlarca Siteyi Etkileyen İki Kritik Açık

PHP Foundation, Temmuz 2004’te yayınlanan PHP 5 sürümüne kadar uzanan ve “web isteklerine hizmet veren tüm PHP kurulumlarını” etkileyen iki kritik güvenlik açığını detaylandırdı: CVE-2026-109618 ve CVE-2026-109619. Her iki açık da 10 üzerinden 9.2 gibi son derece “kritik” bir Common Vulnerability Scoring System (CVSS) puanına sahip.

Kötü haber şu ki; sadece PHP 8.2 ve daha yeni sürümler resmi olarak destekleniyor ve yama alacak. Eski PHP sürümlerini kullanan devasa bir internet altyapısı kaderine terk edilmiş olabilir. PHP Vakfı, durumu şu net sözlerle açıklıyor: “Tam bir hafifletme yöntemi (mitigation) yok, güncelleme yapmak tek güvenli seçenek.”

İnternetin Kilitsiz Ön Kapısı

King’s College London’da misafir kıdemli araştırma görevlisi olan bağımsız güvenlik danışmanı Lukasz Olejnik, PHP’nin kritik altyapı statüsüne dikkat çekerek durumun ciddiyetini vurguluyor:

“Etkisi muazzam… Özellikle saldırganlar bu açıkları hızla istismar etmeye yönelirse. En kötü senaryo, internetin büyük bir bölümünü etkileyen solucan (wormable) özellikli bir kötü amaçlı yazılımdır. Yapay zeka, bu tür güvenlik açıklarının istismar edilmesini anlık bir mesele haline getiriyor. Yani, gerçekten de bir dakika veya daha kısa bir sürede…”

Uzun süredir güvenlik ve uyumluluk danışmanlığı yapan Davi Ottenheimer ise durumu daha da basit ve korkutucu bir şekilde özetliyor: “Web’in büyük bir kısmı PHP üzerinde çalışıyor ve bu hata, kilidi olmayan bir ön kapı gibi duran bir dosya yükleme arayüzünde bulunuyor. Bir saldırganın hangi siteye vurduğunu veya çalıştırdığı yazılımı bilmesine bile gerek yok. Bulabildikleri herhangi bir sunucuya özel olarak hazırlanmış tek bir dosya yüklemesi gönderiyorlar ve saldırı tamamlanıyor.”

Yapay Zeka Hem Buldu Hem Uyardı: “php2shell”

Saldırganların yamalar uygulanmadan önce harekete geçeceği korkusu ne yazık ki yersiz değil. İnternet altyapı devi Cloudflare, PHP Vakfı güvenlik açıklarını detaylandırıp düzeltmeleri yayınlamadan önce bile “erken saldırıların ortaya çıkmaya başladığını” raporladı.

Google’ın sahibi olduğu güvenlik şirketi Wiz, araştırmacılarının PHP’deki bu açıkları kısmen yapay zeka (AI) araçlarını kullanarak keşfettiklerini, bu süreçte OpenAI ve güvenlik firması Calif ile işbirliği yaptıklarını duyurdu. Geliştirdikleri istismar demosu php2shell ile bu açıkların “oldukça kolay” bir şekilde kullanılabileceğini kanıtladılar.

Wiz araştırmacıları yayınladıkları raporda şu kritik uyarıya yer verdi: “Bu açıklar, kimlik doğrulaması olmayan saldırganların etkilenen sunucularda kod çalıştırmasına veya hassas işlem belleğini okumasına olanak tanıyabilir. Bu bellek; şifreler, kimlik doğrulama token’ları, API anahtarları ve diğer isteklere veya sunucunun kendisine ait sertifikaları içerebilir.”

Devlet Siteleri Fişi Çekti!

Güncellenmiş PHP sürümleri kullanıma sunulmadan önce bazı kurumlar önlem olarak doğrudan web sitelerini çevrimdışı bıraktı. Reuters’ın raporlarına göre; Finlandiya hükümetine ait Ulusal Arazi Anketi (National Land Survey) dâhil olmak üzere birçok site, Fransız hükümeti web siteleri ve Rotterdam Limanı’nın resmi web sitesi tedbir amacıyla yayından kaldırıldı.

Dünya çapındaki siber güvenlik ajansları da benzer alarm durumunda:

• İngiltere Ulusal Siber Güvenlik Merkezi (NCSC): Kuruluşların sistemlerini acil olarak güncellemeye hazırlanmalarını, anında çözümün mümkün olmadığı durumlarda sistemlerin tamamen hafifletilene kadar çevrimdışı bırakılmasını önerdi.
• AB Bilgisayar Acil Durum Müdahale Ekibi (EU-CERT) & Avustralya Siber Güvenlik Ajansı: IT ekiplerinin düzeltmeler uygulanırken sitelerin çevrimdışı kalabileceği ihtimaline karşı hazırlıklı olmalarını istedi.
• FBI: FBI Siber Yardımcı Direktörü Brett Leatherman, ihlal belirtileri tespit eden kurumların sistemlerini izole edip sunucu loglarını koruyarak anında FBI’a bildirmeleri gerektiğini belirtti.

Peki Siz Ne Yapmalısınız?

Eğer bir web sunucusu yönetiyorsanız, WordPress, Drupal veya e-ticaret siteniz varsa:

1. Hemen PHP sürümünüzü kontrol edin. PHP 8.2 ve üzeri bir sürüme geçiş yapın ve son güvenlik yamasını uygulayın.
2. Sunucunuzda şüpheli dosya yükleme (file upload) aktivitelerini loglarınızdan tarayın.
3. Eğer anında güncelleme şansınız yoksa ve sisteminiz internete açıksa, geçici olarak çevrimdışı (offline) mod veya katı Firewall kuralları (WAF – Web Application Firewall) uygulamayı düşünün.