PHP programlama dilindeki iki kritik güvenlik açığı, birçok ülkede kamu kurumlarını internet sitelerini kapatmaya yöneltti. Kurumlar, güncellemeleri uygulamak ve saldırı riskini azaltmak için 21 Ekim’de bazı sitelere erişimi durdurdu. Türkiye’de ise Siber Güvenlik Başkanlığı, kamu kurumları başta olmak üzere ülke genelindeki sistemlerde güvenlik taraması başlattı.
“PHP2Shell” adıyla anılan açıklar, saldırganların etkilenen sunucularda parola veya kullanıcı hesabı olmadan komut çalıştırmasına imkân verebiliyor. Bu durum, veri hırsızlığına, sitelerin kontrolünü kaybetmesine ve hizmet kesintilerine yol açabiliyor.
ABD Ulusal Güvenlik Ajansı (NSA), PHP kullanan kuruluşlara güvenlik güncellemelerini uygulama çağrısı yaptı. Ajans, güncelleme yapamayan kuruluşlara ilgili siteleri güncellemeye kadar kapatmalarını tavsiye etti.
Devlet kurumları sitelerini önlem için kapattı
Almanya’da Federal Dijital Dönüşüm ve Devlet Modernizasyonu Bakanlığı bazı sitelerini kapattığını duyurdu. Fransa İçişleri Bakanlığı da yerel idari birimlerin resmî sitelerine erişimi durdurdu.
Belçika, Hollanda, Finlandiya ve Çekya’daki yetkililer de güvenlik önlemleri kapsamında bazı siteleri devre dışı bıraktı. Hollanda’da bu karar, vatandaşların kamu hizmetleri için kullandığı DigiD ve MijnOverheid sitelerini de kapsadı. Japonya Başbakanı Sanae Takaiçi ise PHP kullanan sitelerin yöneticilerini güncelleme yapmaya çağırdı.
Kurumlar bu kararları saldırı riskine karşı aldı. Bir sitenin önlem için kapanması, saldırganların o siteyi ele geçirdiği anlamına gelmiyor.
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially compromising sensitive data and networks. The FBI urges organizations to take the following steps now: ➡️ If an immediate update is not feasible it is recommended that organizations take the system offline until it can be fully mitigated. ➡️ Immediately update affected PHP installations following the guidance on https://t.co/rDrPSxB3zX. Inventory where PHP runs in your environment, prioritizing internet-facing systems and vendor products that bundle PHP. ➡️ Monitor web servers for suspicious activity, including PHP processes unexpectedly launching command shells or downloading files. Ensure appropriate process-monitoring capabilities are in place to help identify potential exploitation. ➡️ If you find signs of compromise, isolate affected systems, preserve your web server and PHP logs, and report it to your local FBI field office or https://t.co/iqgVZIbCru. Those reports help us identify the actors involved and warn other organizations before they become victims. For the latest information, follow PHP’s announcement on https://t.co/rDrPSxB3zX, CERT-EU Security Advisory 2026-018, and CISA’s Known Exploited Vulnerabilities catalog.
— FBI Cyber Division (@FBICyberDiv) October 21, 2026
Araştırmacılar açıkları yapay zeka yardımıyla buldu
Calif adlı güvenlik şirketinin araştırmacıları, OpenAI’ın Patch the Planet çalışması kapsamında GPT-5.6 Sol modelinden yararlandı. Calif, 11 Ağustos’ta PHP ekibine bir açık bildirdi. OpenAI da aynı gün aynı temel sorunla ilgili bağımsız bir bildirim yaptı. Wiz ise kendi araştırmasında bulduğu açıkları ve saldırı yollarını 24 Ağustos’ta PHP ekibine iletti.
Bu nedenle keşif süreci, Calif’in ilk açığı, Wiz’in de yalnızca ikinci açığı bulduğu bir sıradan oluşmuyor. Ekipler, birbiriyle bağlantılı sorunları bağımsız çalışmalarla ortaya çıkardı.
Sorunların temelinde PHP’nin belleği kullanma ve temizleme biçimindeki hatalar bulunuyor. Saldırganlar bu hatalardan yararlanarak sunucunun belleğindeki verilere ulaşabiliyor veya sunucuda kendi komutlarını çalıştırabiliyor.
Wiz’e göre bazı kusurların geçmişi on yılı aşıyor. Şirket, yapay zekâ araçlarının farklı saldırı yollarını denemeyi ve karmaşık adımlar arasındaki bağlantıları bulmayı kolaylaştırdığını belirtiyor.
OpenAI da kendi bilgileri çerçevesinde, araştırmacıların yapay zekâ yardımıyla bu açıkları saldırganlardan önce bulduğunu söylüyor. Bu açıklama, bütün sistemlerin saldırılardan korunduğunu veya hiçbir saldırganın açıkları kullanmadığını kanıtlamıyor.
PHP ekibi düzeltmeleri yayınladı
PHP ekibi, iki açığı kapatan güncellemeleri 21 Ekim’de yayınladı. Düzeltmeler PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde yer alıyor.
Ekip, PHP kullanan sistemlerin yöneticilerine uygun güncellemeyi uygulama çağrısı yapıyor. Geçici koruma önlemleri bazı saldırı yollarını sınırlayabiliyor ancak güncellemenin yerini tutmuyor. Eski PHP sürümlerini kullanan kuruluşların da hizmet sağlayıcılarından düzeltme desteği alması veya destek alan bir sürüme geçmesi gerekiyor.
PHP Vakfı, yapay zekânın hem güvenlik ekiplerinin hem de saldırganların yazılım hatalarını bulmasını kolaylaştırdığına dikkat çekiyor. Vakıf, benzer sorunlara karşı yazılım geliştiricileri, hizmet sağlayıcıları ve teknoloji şirketleri arasında ortak çalışma çağrısı yapıyor.
OpenAI, iki aylık süreçte araştırmacılar ve güvenlik sağlayıcıları arasında koordinasyona katkı sunduğunu açıkladı. PHP’nin bakımını üstlenen ekip ise düzeltmeleri hazırlama ve yayımlama sürecini yönetti.
OpenAI ayrıca güvenlik kaynakları sınırlı kuruluşlara yönelik Daybreak programı için daha önce duyurduğu 1 milyar dolarlık destek taahhüdünü hatırlattı. Bu taahhüt, indirimli erişim, eğitim ve teknik destek gibi kalemleri kapsıyor.
Türkiye’de kurumlara acil güvenlik duyurusu gitti
Siber Güvenlik Başkanlığı, PHP açıklarına karşı kamu kurumlarını ve özel sektör kuruluşlarını uyardı. Başkanlık, ülke genelindeki taramalarla risk taşıyan sistemleri bulmayı ve olası zararları sınırlamayı amaçlıyor.
Başkanlık, Siber Olaylara Müdahale Ekipleri (SOME) İletişim Platformu üzerinden kurumlara ve kritik altyapı işletmecilerine acil güvenlik duyurusu gönderdi. Duyuru, kurumların uygulaması gereken teknik ve idari önlemleri içeriyor.
Başkanlık, sistem yöneticilerinden internete açık altyapılarını incelemelerini, güvenlik güncellemelerini uygulamalarını ve gereksiz dış erişimleri kapatmalarını istedi. Kurumlara, ihtiyaç duyan hizmetlerde ek koruma önlemleri alma çağrısı da yaptı.
Güvenlik ekiplerinin güncellemenin yanında geçmişteki şüpheli erişimleri de incelemesi önem taşıyor. Güncelleme açığı kapatıyor; ancak önceki bir saldırının bıraktığı izleri veya etkileri ortadan kaldırmayabiliyor.
PHP açığı için yurt dışı erişimi uyarısı: Hangi sistemler trafiğe kapanmalı?Güncel
PHP ne işe yarıyor?
PHP, internet sitelerinin arka planındaki işlemleri yürüten bir programlama dili. Sunucu, PHP kodlarını çalıştırarak kullanıcı girişlerini, içerikleri ve veri tabanıyla iletişimi yönetiyor. Ardından sonucu ziyaretçinin tarayıcısına gönderiyor.
WordPress gibi içerik yönetim sistemleri de PHP kullanıyor. Haber siteleri, alışveriş siteleri ve kamu hizmetleri bu dilden yararlanabiliyor.
W3Techs’in ekim ayı verilerine göre, sunucuda hangi programlama dilini kullandığını belirleyebildiği sitelerin yaklaşık yüzde 70’i PHP kullanıyor. Bu oran bütün internet sitelerini kapsamıyor. PHP kullanımı da tek başına bir sitenin saldırıya uğradığını göstermiyor; kullanılan sürüm ve güvenlik önlemleri riski belirliyor.