İnternet altyapısının omurgasını oluşturan programlama dili PHP’de ortaya çıkan iki kritik güvenlik açığı, dünya genelinde milyonlarca sunucuyu ve web uygulamasını doğrudan hedef haline getirdi. PHP geliştirici ekibi tarafından acil koduyla yayımlanan güvenlik güncellemeleri, saldırganların herhangi bir kullanıcı hesabı veya yönetici girişi olmaksızın uzaktan kod çalıştırabilmesine (RCE) imkan tanıyan derin zafiyetleri gidermeyi amaçlıyor. Singapur Siber Güvenlik Ajansı, tehlikenin boyutuna dikkat çekerek açıkları en yüksek risk kategorisinde sınıflandırdı ve tüm kurumlara sistemlerini derhal güncelleme çağrısı yaptı.
Mevcut web sitelerinin ve dijital platformların ezici bir çoğunluğunun PHP altyapısını kullanması riskin küresel ölçeğini gözler önüne seriyor. Ancak uzmanlar, PHP kullanan her platformun otomatik olarak ele geçirilemeyeceğini; fiili tehlikenin kullanılan sürüme, yamaların uygulanma durumuna ve sunucunun yapılandırma ayarlarına göre değişkenlik gösterdiğini vurguluyor.
PHP2Shell tehlikesi: Bellek yönetimi hatasından doğan kriz
“PHP2Shell” olarak adlandırılan ve CVE-2026-109618 ile CVE-2026-109619 kodlarıyla kayıt altına alınan açıklar, web geliştiricilerinin yazdığı kodlardan değil, doğrudan PHP çalıştırma ortamının (runtime) çekirdek mimarisinden kaynaklanıyor. Her iki zafiyet de Ortak Zafiyet Puanlama Sistemi (CVSSv4) kapsamında 10 üzerinden 9.2 gibi kritik bir puan aldı.
İlk zafiyet olan CVE-2026-109618, sistemin bellek yetersizliği durumlarını işleme mekanizmasındaki bir kusurdan besleniyor. Belleğin tükendiği anlarda işlem yarım kaldığında bazı dahili veriler tam başlatılamıyor; ardından devreye giren temizlik rutinleri bu eksik verileri geçerli saydığında kötü amaçlı kodların çalıştırılmasına zemin hazırlanıyor. İkinci zafiyet CVE-2026-109619 ise siber güvenlikte “kullanım sonrası serbest bırakma” (Use-After-Free) olarak bilinen bellek hatasından kaynaklanıyor. Sistemde boşaltılmış bir bellek alanına işaret eden referansların varlığı, arka planda zararlı komutların sunucuya enjekte edilmesini mümkün kılıyor.
Giriş panelleri korumuyor: Uygulama kodundan önce çalışıyor
Siber saldırganlar, söz konusu bellek kusurlarını tetikleyecek şekilde tasarlanmış özel web istekleri göndererek çalıştırma sürecini manipüle edebiliyor. Bu aşamada başarı sağlandığında, web sunucusu sürecinin sahip olduğu yetkiler dahilinde uzaktan kod yürütme gerçekleştirilebiliyor.
Güvenlik analiz şirketi Datadog tarafından paylaşılan teknik raporda çarpıcı bir detaya dikkat çekildi: Zararlı isteklerin bir kısmı PHP çekirdeği tarafından henüz web sitesinin ana yazılım koduna veya oturum açma mantığına ulaşmadan işleniyor. Dolayısıyla sitelerde bulunan parola korumaları veya iki faktörlü kimlik doğrulama adımları saldırıyı engellemeye yetmiyor. Yetki elde eden saldırganlar hassas veri tabanlarına erişebiliyor, sisteme kalıcı arka kapılar yerleştirebiliyor ve yerel ağdaki diğer sunuculara sıçrayabiliyor.
Yapay zeka hem kalkan hem silah oluyor
Siber güvenlik analizleri, bu kritik açıkların keşfinde yapay zekanın üstlendiği belirleyici rolü de gün yüzüne çıkardı. Güvenlik şirketi Elastic’in paylaştığı verilere göre, Wiz araştırmacıları gelişmiş yapay zeka modellerini kullanarak PHP kaynak kodlarındaki karmaşık hata kalıplarını taradı ve bu tarihi açıkları tespit ederek PHP çekirdek ekibine iletti.
Ancak uzmanlar aynı yapay zeka araçlarının saldırganlar tarafından da açık aramak ve etkili istismar (exploit) kodları geliştirmek amacıyla kullanıldığına dikkat çekiyor. Singapur Siber Güvenlik Ajansı, açığı hedef alan kitlesel tarama ve deneme girişimlerinin şimdiden küresel çapta tespit edildiğini duyurdu.
Web yöneticileri için acil koruma adımları
PHP geliştirici ekibi, risk altındaki sistemlerin ivedilikle yamalanmış sürümlere yükseltilmesini tavsiye ediyor. Güvenlik açıklarını kapatan sürümler şunlar:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Resmi desteği sona ermiş eski sürümleri kullanan sunucu sahiplerinin, dağıtımcılar tarafından sağlanan geriye dönük güvenlik yamalarını kontrol etmesi veya desteklenen sürümlere geçmesi gerekiyor.
Sistem yöneticilerinin internete açık sunuculara öncelik vermesi, yalnızca WordPress gibi içerik yönetim sistemlerini güncellemekle yetinmeyip sunucu düzeyindeki PHP paketlerini yenilemesi ve erişim loglarında web servisleri tarafından tetiklenen şüpheli süreçleri incelemesi kritik önem taşıyor. Öte yandan PHP ekibi, dosya yükleme takibiyle bağlantılı ortaya çıkan CVE-2026-115560 kodlu ek bir risk nedeniyle geçici bir önlem olarak dosya yükleme ilerleme takibi özelliğinin kapatılmasını öneriyor.
