İnternetin altyapısında kullanılan PHP yazılım dilinde tespit edilen iki kritik güvenlik açığı, dünya genelinde siber güvenlik gündemine girdi. PHP2Shell adıyla anılan güvenlik zafiyetlerinin, belirli koşullarda saldırganların bazı sunucularda kullanıcı adı ve şifreye ihtiyaç duymadan kod çalıştırmasına imkân verebildiği bildirildi.
PHP’nin çok sayıda internet sitesi ve çevrim içi uygulamada kullanılması, güvenlik açıklarının olası etkilerine ilişkin endişeleri artırdı. Savunmasız sunucuların ele geçirilmesi halinde veri ihlalleri yaşanabileceği, sistemlerdeki bilgilerin tehlikeye girebileceği ve çevrim içi hizmetlerin kesintiye uğrayabileceği belirtildi.
PHP2Shell nedir, neden tehlikeli?
PHP, internet sitelerinin ve çevrim içi uygulamaların çalışmasını sağlayan yaygın bir yazılım dili olarak biliniyor. WordPress gibi içerik yönetim sistemleri başta olmak üzere çok sayıda dijital hizmette PHP altyapısından yararlanılıyor.
PHP2Shell adıyla gündeme gelen iki güvenlik açığı, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayda geçirildi. Güvenlik zafiyetlerinin, belirli koşullarda saldırganlara uzaktan kod çalıştırma olanağı verebildiği bildirildi. Her iki açığın da CVSS 4.0 değerlendirme sisteminde 10 üzerinden 9,2 puanla kritik seviyede sınıflandırıldığı belirtildi.
Söz konusu açıkların istismar edilmesi halinde saldırganların savunmasız sunucularda yetkisiz işlemler gerçekleştirebileceği ve sistemin erişim yetkilerine bağlı olarak hassas verilere ulaşabileceği kaydedildi. Riskin boyutunun, kullanılan PHP sürümüne ve sunucu yapılandırmasına göre değiştiği ifade edildi.
Güvenlik açıklarının ortaya çıkmasının ardından sistem yöneticilerine yazılımlarını güncelleme ve sunucularını güvenlik taramasından geçirme çağrısı yapıldı. Yetkililer, güvenlik açıklarının tespit edilmesinin bütün internet sitelerinin etkilendiği veya internet genelinde kesinti yaşanacağı anlamına gelmediğini belirtti.
Türkiye’yi etkileyebilir mi?
PHP altyapısını etkileyen güvenlik açıkları Türkiye’de de gündeme geldi. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı tarafından 21 Ekim 2026 tarihinde yayımlanan duyuruda, söz konusu güvenlik zafiyetlerine ilişkin uyarılarda bulunulduğu ve ulusal ölçekte önleyici çalışmalar yürütüldüğü bildirildi.
PHP kullanan kamu kurumlarının, özel sektör kuruluşlarının ve internet hizmeti sağlayıcılarının sistemlerini kontrol etmesi gerektiğine dikkat çekildi. Özellikle güncel olmayan yazılım sürümleriyle çalışan ve doğrudan internete açık sunucuların güvenlik açısından incelenmesi istendi.
Türkiye’de hangi sistemlerin güvenlik açıklarından etkilendiği, kaç sunucunun savunmasız olduğu veya herhangi bir veri ihlali yaşanıp yaşanmadığı konusunda doğrulanmış kapsamlı bir veri açıklanmadı. Bu nedenle ülke genelinde bir siber saldırı gerçekleştiğine ya da Türkiye’deki bütün internet sitelerinin etkilendiğine ilişkin bir tespit bulunmadığı belirtildi.
PHP ekibi tarafından yayımlanan güvenlik güncellemelerinde 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinin ilgili düzeltmeleri içerdiği bildirildi. Sistem yöneticilerine kullandıkları PHP sürümünü kontrol etmeleri, gerekli güncellemeleri uygulamaları ve güvenlik denetimlerini gerçekleştirmeleri önerildi.
Bireysel internet kullanıcıları açısından da güvenlik açığının doğrudan bütün cihazları etkilediği veya genel bir internet kesintisine yol açacağı yönünde bir açıklama yapılmadı. Bununla birlikte, kullanıcıların hizmet aldığı internet sitelerinin ya da çevrim içi platformların ele geçirilmesi halinde kişisel verilerin açığa çıkabileceği ve hizmetlerin geçici olarak kesintiye uğrayabileceği belirtildi.