PHP'de Kritik Güvenlik Açığı: WordPress veya PHP Tabanlı Siten Varsa Hemen Ne Yapmalısın?

Önce sakin olalım: Kimler etkileniyor?

PHP, WordPress, Drupal, Joomla ve Magento gibi popüler sistemlerin temelinde çalışan bir programlama dili. Açığı bulan güvenlik şirketlerinden Wiz'e göre dünya genelinde web sitelerinin yaklaşık yüzde 70'i PHP kullanıyor. Ama bu, internetin yüzde 70'inin ele geçirildiği anlamına gelmiyor. Açıklar, güncellenmemiş PHP sürümleriyle çalışan sunucuları tehdit ediyor; yamayı uygulayan siteler korunuyor.

İki önemli ayrım:

• Sıradan bir internet kullanıcısıysan ve yalnızca siteleri ziyaret ediyorsan, senin yapman gereken bir şey yok. Bu açıklar ziyaretçilerin bilgisayarlarını değil, siteleri barındıran sunucuları hedef alıyor.
• Bir web sitesinin sahibiysen ya da yöneticisiysen, sitenin hangi PHP sürümüyle çalıştığını bugün kontrol etmelisin.

Ne oldu?

PHP güvenlik ekibi, 21 Ekim'de iki kritik açığı kapatan acil güncellemeler yayımladı ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla takip edilen bu açıkların her ikisini de CVSS 4.0 sistemine göre 10 üzerinden 9,2 puanla "kritik" seviyede derecelendirdi.

Açıkların en tehlikeli yanı, saldırganın sitede bir hesabı olmasına ya da giriş yapmasına gerek kalmadan, uzaktan sunucuda kod çalıştırabilmesi. Araştırmacılar bunu WordPress, Drupal ve Joomla'nın güncel sürümlerinde gösterdi. Wiz'e göre açıklar, basit bir "Merhaba Dünya" uygulamasında bile kullanılabiliyor; ayrıca sunucu belleğinin okunmasına da izin verebiliyor. Bu bellekte şifreler, erişim anahtarları ve benzeri hassas bilgiler bulunabiliyor.

PHP ekibine göre risk en çok, Apache web sunucusunun "mod_php" yöntemiyle çalışan sistemlerde yüksek; burada saldırı, sitenin kendi kodu çalışmadan önce tetiklenebiliyor. Ama PHP-FPM, LiteSpeed ve diğer yaygın kurulumlar da güncellenmeli.

Açıkları Calif, Wiz ve OpenAI'daki güvenlik araştırmacıları buldu; Wiz, keşifte yapay zekâ modellerinden yararlanıldığını belirtiyor. Bulgular yaz aylarında PHP ekibine bildirilmişti; ama 20 Ekim'de, yama yayımlanmadan önce bazı bilgiler sızdı. PHP Foundation'ın açıklamasına göre önce açıkların kodları, hatalı bir risk puanı ve yayın takvimi ortaya çıktı, ardından bir araştırma videosu yanlışlıkla yayımlandı; kapsamlı teknik ayrıntılar başlangıçta sızmamıştı. Cloudflare ise yamanın yayımlanmasından saatler önce bu açıkları hedef alan saldırı trafiği gözlemlediğini açıkladı. Gözlemlenen her girişimin başarılı bir saldırı anlamına gelmediğini de belirtelim. Önlem olarak bazı kurumlar hizmetlerini geçici olarak kapattı; örneğin Wikimedia'nın kullandığı bir geliştirme aracı yamadan önce devre dışı bırakıldı. ABD'nin siber güvenlik ajansı CISA da kurumlara hemen güncelleme yapma çağrısında bulundu.

Güvenli sürümler hangileri?

PHP ekibinin yayımladığı yamalı sürümler şunlar:

Peki daha eski sürümler? Açıklar PHP'nin çok eski sürümlerinden bu yana var. PHP 8.1 ve daha eski sürümler artık standart güvenlik güncellemelerini almıyor. Ancak bu olayın ciddiyeti nedeniyle PHP ekibi, 7.4, 8.0 ve 8.1 sürümleri için kaynak kod düzeyinde özel düzeltmeler yayımladı; bazı Linux dağıtımları da eski sürümlere güvenlik yamaları sağlayabiliyor. Buna rağmen uzun vadede en güvenli tercih, desteklenen bir PHP sürümüne geçmek. PHP 8.2'nin 31 Aralık 2026'da destek dışı kalacağını da hatırlatalım. Siten PHP 8.2 kullanıyorsa öncelikle hemen 8.2.35'e güncelle; ardından uyumluluğu kontrol ederek PHP 8.3 ya da daha yeni bir sürüme geçişini planla.

Site sahibiysen: Adım adım ne yapmalısın?

Önce bir ayrım: WordPress.com üzerinden barındırılan siteler için durum farklı. WordPress'in arkasındaki Automattic, WordPress.com, WordPress VIP, WP Cloud ve Pressable altyapılarındaki sitelerin korunduğunu açıkladı. Kendi hosting hizmetini kullanarak WordPress kuranların ise PHP güncellemesini ayrıca doğrulaması gerekiyor. Ve önemli bir not: WordPress'i ya da eklentilerini güncellemek, PHP'deki bu açığı tek başına kapatmıyor.

1. Sitenin PHP sürümünü öğren.

• WordPress kullanıyorsan: Yönetim panelinde "Araçlar > Site Sağlığı > Bilgi" sayfasını aç ve "Sunucu" bölümüne bak. PHP sürümü burada yazıyor.
• Paylaşımlı hosting kullanıyorsan: cPanel ya da Plesk panelinde genellikle "PHP Sürümü Seç" ya da "MultiPHP Yöneticisi" gibi bir bölüm bulunuyor.

2. Sürümü tabloyla karşılaştır. Örneğin siten PHP 8.3 ile çalışıyorsa, sürüm numarasının en az 8.3.36 olması gerekiyor. 8.3.30 gibi daha düşük bir numara görüyorsan, sitenin henüz güncellenmemiş olma ihtimali yüksek.

3. Emin değilsen hosting firmana yaz. Paylaşımlı hosting kullanan çoğu site sahibi, PHP'yi kendisi güncelleyemez; bu iş hosting firmasının sorumluluğunda. Firmana kısaca şunu sorabilirsin: "PHP2Shell olarak bilinen CVE-2026-109618 ve CVE-2026-109619 açıkları için sunucularınızdaki PHP sürümleri güncellendi mi?" Bir not: Bazı Linux dağıtımları ve hosting firmaları yamaları kendi paketlerine farklı sürüm numaralarıyla ekleyebiliyor. Bu yüzden numara tabloyla birebir eşleşmese bile, firmandan net bir "evet, yamalı" cevabı almak en güvenilir yol.

4. Kendi sunucunu yönetiyorsan, hemen güncelle. Kullandığın dağıtımın güncel paketlerini kontrol et. Bazı üçüncü taraf paket depolarına yamanın daha geç gelebildiği bildiriliyor. Güncellemeden sonra PHP ile ilgili servisleri (örneğin PHP-FPM ya da Apache) yeniden başlatmayı unutma ve sitenin gerçekten yamalı sürümü kullandığını doğrula.

5. Hemen güncelleyemiyorsan, geçici bir koruma ekle. Cloudflare, ücretsiz paketleri de kapsayan güvenlik duvarı (WAF) korumalarını bu açıklara karşı güncelledi. Siten Cloudflare arkasındaysa bu korumalar ek bir katman sağlayabilir. Ama PHP ekibinin de vurguladığı gibi, bu korumalar güncellemenin yerine geçmiyor.

6. Şüpheli faaliyetleri kontrol et. Siten güncelleme öncesinde saldırıya açık kaldıysa, hosting firmanla birlikte sunucu kayıtlarını incele. WordPress'te tanımadığın yönetici hesapları, beklenmedik eklentiler ya da şüpheli dosyalar bulunup bulunmadığını kontrol et. Yetkisiz erişim şüphesi varsa, sistemi güvenli hâle getirdikten sonra veritabanı şifrelerini, yönetici hesaplarını ve API anahtarlarını değiştir; gerekiyorsa açık oturumları sonlandır. Güncel ve temiz bir yedeğinin bulunduğundan da emin ol.

Neden bu kadar önemli?

PHP2Shell'i özel kılan, belirli bir eklentideki ya da belirli bir uygulamadaki bir hata olmaması; doğrudan sitelerin üzerinde çalıştığı dilin kendisinde olması. Bu açıklar açısından sitenin hangi temayı ya da eklentiyi kullandığı belirleyici değil: WordPress ve eklentilerin güncel olsa bile, sunucundaki PHP sürümü bu açıkları içeriyorsa siten risk altında olabilir.

Hikâyenin bir de ilginç tarafı var: Açıklar, yapay zekâ modellerinden yararlanan araştırmacılar tarafından bulundu. Yıllardır milyonlarca sitenin temelinde duran bir kodda gizli kalan hataları ortaya çıkaran araçların, aynı şekilde saldırganların da elinde olabileceği gerçeği, güncellemeleri ertelemenin artık eskisinden çok daha riskli olduğunu gösteriyor. Bir web sitesi sahibi için bu haftanın en önemli işi belki de çok basit: PHP sürümünü kontrol etmek.