PHP Güvenlik Açığı Alarmı: Milyonlarca Site Riskte, Uzman Uyardı; Şifre Değiştirmek Çözüm Değil
PHP yazılım dilinde tespit edilen iki kritik güvenlik açığı, dünya genelinde milyonlarca internet sitesinin güvenliğini yeniden gündeme taşıdı. ABD Federal Soruşturma Bürosu'nun (FBI) uyarısının ardından Türkiye'de de Siber Güvenlik Başkanlığı harekete geçerken, uzmanlar güncel olmayan sunucuların ciddi risk altında olduğunu belirtiyor.
Siber Güvenlik Uzmanı Onur Oktay, PHP'nin çekirdeğinde bulunan ve kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına imkân veren açıkların sıradan güvenlik zafiyetlerinden farklı olduğuna dikkat çekti. Oktay'a göre saldırganların hedefinde yalnızca internet siteleri değil, bu sistemler üzerinden ulaşılabilecek kişisel veriler, hesaplar ve kurumların iç ağları da bulunuyor.
22,6 Milyon Sistem İçin Potansiyel Risk
PHP'nin yaygın kullanımı, açığın oluşturduğu tehdidin kapsamını büyütüyor. Onur Oktay, sunucu tarafında PHP kullanan internet sitelerinin yaklaşık yüzde 70'inin bu altyapıya dayandığını belirterek Palo Alto Networks Unit 42 ekibinin internette 22,6 milyon potansiyel olarak savunmasız sistem tespit ettiğini aktardı.
Söz konusu açıklar "PHP2Shell" adıyla anılan CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanıyor. Oktay'ın aktardığı bilgilere göre saldırganların sisteme erişmek için kullanıcı adı, şifre veya başka bir yetkiye ihtiyacı bulunmuyor. Tek bir HTTP isteğiyle sunucuda kod çalıştırılabilmesi, açığın en kritik özelliklerinden biri olarak öne çıkıyor.
Uzmanın dikkat çektiği bir başka nokta ise açığın uygulamaların kendisinde değil, PHP'nin çekirdeğinde bulunması. Bu nedenle internet sitesinin WordPress, Magento veya kurum tarafından geliştirilen özel bir yazılım kullanması tek başına koruma sağlamıyor. Açık, uygulama kodu devreye girmeden gelen istek işlenirken tetiklenebiliyor.
Açık Yaklaşık 14 Yıldır Kodda Bulunuyor
Güvenlik açığının bir diğer dikkat çekici yönü ise uzun süredir mevcut olması. Oktay, hatanın yaklaşık 14 yıldır, PHP 5.4 sürümünden bu yana kodda bulunduğunu belirtti.
Siber güvenlik uzmanına göre yapay zekâ destekli çalışan iki ayrı araştırma ekibi, açığı birbirinden bağımsız şekilde birkaç hafta arayla tespit etti. Bu durum, yapay zekânın siber güvenlikte hem saldırı hem de savunma tarafındaki etkisinin giderek arttığını gösteriyor.
Oktay, yapay zekânın yamaları tersine analiz ederek saldırı kodlarının daha kısa sürede hazırlanmasına yardımcı olabildiğini belirtti. Bu nedenle kurumların yama yönetimini aylık rutin bakım süreci olarak değil, olay müdahalesi refleksiyle yürütmesi gerektiğini vurguladı.
Hangi Sistemler Daha Fazla Risk Altında?
Siber Güvenlik Uzmanı Onur Oktay, internete açık olan, PHP ile web isteği işleyen ve güncellenmemiş her sunucunun risk altında olduğunu belirtti. Özellikle destek süresi sona ermiş PHP sürümleriyle çalışan sistemler için daha yüksek risk bulunduğunu ifade etti.
Oktay'ın sıralamasına göre risk açısından öne çıkan sistemler şöyle:
PHP 8.1 ve öncesi gibi destek süresi dolmuş sürümleri kullanan sistemler.
WordPress, Joomla, Drupal, Magento ve OpenCart gibi içerik yönetimi ve e-ticaret altyapıları.
Aynı sunucuda çok sayıda internet sitesinin barındırıldığı paylaşımlı hosting ortamları.
Apache mod_php ile çalışan kurulumlar.
Eski kurumsal portallar, test ve kampanya siteleri, hosting kontrol panelleri ile PHP tabanlı yönetim arayüzlerine sahip ağ ve depolama cihazları.
Uzman, kurumlar açısından önemli bir başka sorunun da envanterde bulunmayan sistemler olduğunu belirtiyor. Özellikle unutulmuş veya artık aktif olarak takip edilmeyen dijital sistemlerin saldırganlar açısından giriş noktası oluşturabileceği uyarısında bulunuyor.
Saldırganlar Hangi Verilere Ulaşabilir?
PHP güvenlik açığının uzaktan kod çalıştırma özelliği, saldırganlara sunucu üzerinde web uygulamasının yetkileriyle komut çalıştırma imkânı verebiliyor. Bu durum yalnızca internet sitesinin kontrolünün kaybedilmesi anlamına gelmiyor.
Olası saldırı zincirinde kişisel verilerin çalınması, kullanıcı hesaplarının ele geçirilmesi, sisteme kalıcı erişim sağlanması, kurumların iç ağlarına geçiş ve hizmetlerin devre dışı bırakılması gibi farklı sonuçlar ortaya çıkabiliyor.
Oktay'ın verdiği örneklere göre yapılandırma dosyalarında bulunan veri tabanı şifreleri ve API anahtarları ele geçirilerek müşteri kayıtları, kimlik ve iletişim bilgileri ile sipariş geçmişlerine ulaşılabilir. Oturum çerezlerinin çalınması ise kullanıcı hesaplarının şifre sorulmadan ele geçirilmesine yol açabilir.
Saldırganların siteye "web shell" adı verilen gizli bir kontrol paneli yerleştirmesi de mümkün olan senaryolar arasında gösteriliyor. Böyle bir durumda ödeme sayfalarına kart bilgilerini çalan kod eklenmesi, internet sitesinin oltalama veya zararlı yazılım dağıtımı amacıyla kullanılması söz konusu olabiliyor.
Daha ileri bir saldırı zincirinde web sunucusunun kurumun iç ağına geçiş noktası haline gelmesi mümkün. Oktay, fidye yazılımı saldırılarının bu şekilde başlayabileceğine dikkat çekti.
İkinci açık olan CVE-2026-109619 için de bellek sızdırma etkisinin doğrulandığı aktarıldı. Buna göre aynı sunucuya gelen diğer kullanıcıların isteklerinden veri sızması mümkün olabiliyor. Kaynakta, yurt dışında kaynak kodunun çalındığını, çerez verileri ve hukuki belgelerin sızdırıldığını açıklayan şirketlerin basına yansıdığı da belirtiliyor.
FBI'dan Savunmasız Siteler İçin Çevrimdışı Kalma Önerisi
PHP güvenlik açıklarının gündeme gelmesinin ardından FBI'ın savunmasız internet sitelerinin güncelleme yapılana kadar çevrimdışı bırakılması yönündeki tavsiyesi de dikkat çekti. Onur Oktay, bu yaklaşımın aktif şekilde istismar edilen güvenlik açıklarında sistemlerin güncellenene kadar açık bırakılmasının taşıdığı riski gösterdiğini belirtti.
Oktay, özellikle güncellemenin hemen uygulanamadığı veya kullanılan PHP sürümünün destek dışı olduğu durumlarda sitelerin geçici olarak kapatılmasını öneriyor. Kişisel veri, ödeme bilgisi veya kullanıcı girişi işleyen siteler ile iç ağlara, veri tabanlarına veya başka kritik sistemlere bağlı sunucuların da öncelikli olarak değerlendirilmesi gerektiğini söylüyor. Loglarda şüpheli izlerin bulunması da sistemi geçici olarak kapatmayı gerektirebilecek durumlardan biri olarak sıralanıyor.
Ancak geçici olarak kapatma, internet sitesinin tamamen erişilemez hale getirilmesi anlamına gelmek zorunda değil. Statik bir bakım sayfası kullanılması, erişimin yalnızca VPN veya belirli IP adresleriyle sınırlandırılması ya da ihtiyaç bulunmuyorsa yurt dışı trafiğinin kesilmesi gibi ara çözümler uygulanabiliyor. WAF kuralları da geçici bir kalkan sağlayabiliyor ancak bunların güncellemenin yerine geçmediği özellikle vurgulanıyor.
Türkiye'de Siber Güvenlik Başkanlığı Harekete Geçti
Güvenlik açığı Türkiye'de de yakından takip ediliyor. Siber Güvenlik Başkanlığı, PHP güvenlik açıklarına ilişkin ulusal ölçekte uyarı yayımladı ve tarama başlattı. Başkanlığın açıklamasına göre e-Devlet Kapısı'ndaki güvenlik kontrolleri tamamlandı ve hizmetlerin kesintisiz sürdüğü bildirildi.
Onur Oktay, ulusal ölçekte uyarı yayımlanmasının ve tarama başlatılmasının açığın Türkiye açısından da somut ve acil bir risk olarak değerlendirildiğini gösterdiğini ifade etti. Özellikle kamu kurumları, belediyeler, bankalar, e-ticaret şirketleri, hosting ve veri merkezi firmaları ile sağlık, eğitim ve medya kuruluşlarının sistemlerini gözden geçirmesi gerektiğine dikkat çekti.
Oktay'a göre bankaların ana bankacılık sistemleri genellikle PHP ile çalışmıyor. Buna karşın kampanya siteleri, kurumsal internet siteleri ve tedarikçi portalları PHP kullanabiliyor. Bu nedenle kurumların yalnızca ana sistemlerine değil, çevrede bulunan internet varlıklarına da bakması gerekiyor.
Binlerce Site Aynı Anda Hedef Alınabilir
Uzman, PHP güvenlik açığının otomatik araçlarla çok sayıda internet sitesinin aynı anda taranmasına imkân verebilecek bir risk oluşturduğunu belirtti. Türkiye'de eski sürümlerde çalışan çok sayıda kurumsal ve kamu internet sitesinin bulunmasının, geniş çaplı veri sızıntısı ihtimalini gündeme getirdiğini söyledi.
Enerji, sağlık ve ulaşım gibi kritik hizmetlerin doğrudan PHP ile çalışmadığı belirtilirken, bu kurumların web portalları, randevu ve fatura sistemleri, tedarikçi uygulamaları ve uzaktan erişim panellerinin PHP kullanabileceğine dikkat çekildi.
Bu nedenle asıl riskin web sunucusundan kurumun iç ağına uzanan bir saldırı zinciri oluşturulması olduğu belirtiliyor. Ağ ayrımı zayıf olan bir kurumda ilk erişimin daha kritik sistemlere taşınması, fidye yazılımı saldırısı sonucunda vatandaşların doğrudan hissedebileceği hizmet kesintilerine yol açabilecek senaryolar arasında gösteriliyor.
PHP Güvenlik Açığı Nasıl Kontrol Edilecek?
Kurumların ilk olarak internete açık tüm sistemlerinin envanterini çıkarması ve sunucularda kullanılan PHP sürümlerini kontrol etmesi gerekiyor. Uzmanın verdiği bilgilere göre güvenli sürümler 8.2.35, 8.3.36, 8.4.27, 8.5.12 ve üzeri olarak sıralanıyor.
Red Hat, Debian ve Ubuntu gibi Linux dağıtımlarında yama, sürüm numarası değiştirilmeden uygulanabiliyor. Bu nedenle bu sistemlerde yalnızca sürüm numarasına bakmak yerine dağıtımın güvenlik bildirimlerinin kontrol edilmesi gerekiyor. Container imajları, hazır uygulama paketleri, hosting kontrol panelleri ve cihazların içine gömülü PHP de kontrol kapsamına alınmalı.
Zafiyet tarama araçlarının imzalarının güncellenmesi ve hem dışarıdan hem de kimlik doğrulamalı iç tarama yapılması da önerilen adımlar arasında yer alıyor.
17 Ekim'den İtibaren Loglar İncelenmeli
Uzman, olası bir sızıntının yalnızca internet sitesinin çalışıp çalışmadığına bakılarak anlaşılamayacağını belirtti. Saldırı gerçekleşmiş olsa bile sitenin çalışmaya devam edebileceğine dikkat çeken Oktay, özellikle 17 Ekim'den itibaren sistem kayıtlarının incelenmesini önerdi.
Kontroller sırasında olağandışı büyüklükte form ve POST istekleri, istek başlangıcında bellek tükenmesi hataları, PHP veya web sunucusu süreçlerinin komut satırı ya da dosya indirme araçlarını çalıştırması, dosya yükleme ve önbellek dizinlerinde yeni veya değiştirilmiş .php dosyaları ile web sunucusundan dışarıya doğru beklenmedik bağlantılar aranmalı.
Güncelleme Yetmiyor: Geçmiş İhlal de Kontrol Edilmeli
Kurumların yalnızca PHP'yi güncellemesi yeterli görülmüyor. Güncelleme yapıldıktan sonra tüm PHP süreçlerinin yeniden başlatılması gerekiyor; aksi halde yama devreye girmiyor.
Güncellemenin hemen yapılamadığı sistemlerin yayından alınması veya erişimin VPN ve IP kısıtlamasıyla sınırlandırılması öneriliyor. Destek dışı PHP 8.1 ve öncesi sürümlerin de acilen güncel bir sürüme taşınması gerekiyor.
Ancak yama, daha önce gerçekleşmiş bir ihlali ortadan kaldırmıyor. 17 Ekim sonrasına ait şüpheli izler bulunması halinde sistemin izole edilmesi, logların ve disk imajının delil olarak korunması, veri tabanı şifreleri, API anahtarları ve oturum anahtarlarının yenilenmesi gerekiyor.
Uzun vadede ise web uygulamalarının en düşük yetkiyle çalıştırılması, web sunucularının iç ağdan ayrılması, sunuculara uç nokta koruması (EDR) kurulması ve logların 7/24 izlenen merkezi bir güvenlik operasyon merkezine (SOC) aktarılması öneriliyor.
Vatandaşların Telefonu Ve Bilgisayarı Doğrudan Riskte Değil
PHP güvenlik açığının ardından vatandaşların telefonlarında veya bilgisayarlarında ayrıca bir işlem yapması gerekip gerekmediği de merak ediliyor. Onur Oktay, açığın vatandaşın cihazlarında değil, kurumların sunucu tarafındaki sistemlerinde bulunduğunu belirtti.
Oktay, e-Devlet, bankalar ve büyük e-posta sağlayıcıları gibi iyi yönetilen platformların bu tür durumlarda hızlı aksiyon aldığını ve çok katmanlı korumaya sahip olduğunu ifade etti. Kaynakta bu platformlara yönelik şu an için kamuya açık bir ihlal bilgisi bulunmadığı belirtiliyor.
Buna karşılık vatandaşların üye olduğu küçük e-ticaret siteleri, forumlar ve yerel hizmet portalları daha kırılgan alanlar arasında gösteriliyor.
Bu nedenle toplu şekilde şifre değiştirmek PHP güvenlik açığını kapatmıyor. Ancak aynı şifrenin birden fazla internet sitesinde kullanılması, üye olunan bir kurumun ihlal bildirmesi veya e-posta hesabının yeterince güçlü ve benzersiz bir şifreyle korunmaması durumlarında şifre değişikliği önem taşıyor.
Uzman ayrıca iki adımlı doğrulamanın açılmasını ve şifre yöneticisi kullanılmasını öneriyor. Önümüzdeki günlerde "PHP açığı nedeniyle hesabınızı doğrulayın" temalı sahte e-posta ve SMS'lerin gönderilebileceği uyarısında bulunan Oktay, e-Devlet, banka veya kargo firması adına gelen bağlantılara tıklanmamasını, ilgili adreslerin doğrudan yazılarak giriş yapılmasını tavsiye ediyor.
Oktay'ın özellikle vurguladığı noktalardan biri de hiçbir kurumun şifre veya SMS ile gönderilen doğrulama kodunu istemeyeceği yönündeki uyarı oldu.
Bundan Sonraki Süreçte Ne Olacak?
PHP güvenlik açığıyla ilgili süreçte kurumların önceliği, internete açık sistemlerin belirlenmesi, kullanılan PHP sürümlerinin kontrol edilmesi ve gerekli güncellemelerin uygulanması olacak. Güncelleme yapılamayan veya destek dışı sürümleri kullanan sistemlerde ise erişimin sınırlandırılması ya da geçici olarak yayından alınması gündeme gelebilecek.
Bunun yanında kurumların yalnızca açıkların kapatılmasına değil, daha önce saldırı gerçekleşip gerçekleşmediğinin belirlenmesine de odaklanması gerekiyor. Log incelemeleri, sistem izolasyonu ve olası veri sızıntısının tespiti bu sürecin önemli parçaları arasında bulunuyor.
Vatandaşlar açısından ise doğrudan telefon veya bilgisayar güncellemesi gerektiren bir durum olmadığı belirtiliyor. Buna karşın aynı şifrenin farklı platformlarda kullanılmaması, iki adımlı doğrulamanın etkinleştirilmesi ve şüpheli bağlantılara karşı dikkatli olunması önem taşıyor.
