PHP sürüm güncelleme: PHP'deki güvenlik açığı nasıl kapatılır?

Dünya genelinde milyonlarca internet sitesinin altyapısında kullanılan PHP programlama dilinde, saldırganların uzaktan kod çalıştırmasına imkân verebilen iki kritik güvenlik açığı tespit edildi. PHP geliştirme ekibi, 21 Ekim 2026'da güvenlik açıklarını gidermek amacıyla dört farklı sürüm için acil güncelleme yayımladı. Uzmanlar, internet sitesi yöneticilerine ve sunucu işletmecilerine sistemlerini gecikmeden güncellemeleri çağrısında bulundu.

PHP2Shell olarak adlandırılan güvenlik açıkları, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip ediliyor. Her iki açık da Ortak Güvenlik Açığı Puanlama Sistemi (CVSS) kapsamında 10 üzerinden 9,2 puanla kritik seviyede değerlendiriliyor.

Güvenlik açıklarının belirli koşullarda kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına yol açabilmesi, özellikle internete açık PHP tabanlı sistemler açısından risk oluşturuyor.

PHP güvenlik açığı nedir?

PHP geliştirme ekibinin açıklamasına göre tespit edilen iki güvenlik açığı, programlama dilinin çekirdek bileşenlerindeki bellek yönetimi sorunlarından kaynaklanıyor.

CVE-2026-109618 kodlu açık, PHP'nin bellek sınırına ulaşması sırasında oluşabilen hatalı bellek işlemleriyle ilişkili. Belirli koşullarda sistemin düzgün başlatılmamış verileri geçerli kabul etmesi, bellek bozulmasına ve uzaktan kod çalıştırılmasına yol açabiliyor.

CVE-2026-109619 kodlu ikinci açık ise serbest bırakılmış bellek alanlarına ilişkin bilgilerin sonraki işlemlerde kullanılabilmesiyle bağlantılı. Bu durum, aynı sunucu sürecinde işlenen sonraki istekler sırasında güvenlik riski oluşturabiliyor.

Açıklar, PHP kullanan web uygulamalarını ve sunucu altyapılarını etkileyebiliyor. Ancak bir sunucunun saldırıya açık olması, sistemin mutlaka ele geçirildiği anlamına gelmiyor.

Hangi PHP sürümleri güvenlik açığından etkileniyor?

Google Cloud tarafından yayımlanan güvenlik değerlendirmesine göre PHP 5.4 sürümünden PHP 8.5.11'e kadar olan sürümler, ilgili güvenlik açıklarından etkilenebiliyor. PHP geliştirme ekibi, güvenlik sorunlarını gidermek amacıyla aşağıdaki sürümleri yayımladı:

PHP 8.1 ve daha eski sürümler için PHP projesi tarafından yeni bir resmî sürüm yayımlanmadı. Bu nedenle eski sürümleri kullanan sistemlerin desteklenen sürümlere geçirilmesi gerekiyor. Bazı işletim sistemi ve uzun süreli destek sağlayıcıları ise kendi güvenlik yamalarını sunabiliyor.

PHP 8.2 sürümünün güvenlik desteğinin 31 Aralık 2026'da sona erecek olması nedeniyle bu sürümü kullanan sistemlerin daha güncel sürümlere geçiş planı hazırlaması da öneriliyor.

PHP güvenlik açığı nasıl kapatılır?

PHP geliştirme ekibi, güvenlik açıklarına karşı tam koruma sağlayan alternatif bir geçici önlem bulunmadığını ve güvenli çözümün güncelleme olduğunu açıkladı.

İnternet sitesi yöneticilerinin öncelikle sunucularında kullanılan PHP sürümünü kontrol etmeleri gerekiyor. Komut satırı erişimi bulunan sistemlerde sürüm bilgisi php -v komutuyla öğrenilebiliyor. Bununla birlikte web sunucusunun kullandığı PHP sürümü, komut satırındaki sürümden farklı olabileceği için web ortamının da ayrıca kontrol edilmesi gerekiyor.

Güncelleme öncesinde internet sitesi dosyalarının ve veritabanlarının yedeklenmesi, kullanılan içerik yönetim sistemi, eklentiler ve diğer yazılım bileşenlerinin yeni PHP sürümüyle uyumluluğunun değerlendirilmesi önem taşıyor.

Ardından sunucunun işletim sistemine ve kurulum yöntemine uygun güvenlik güncellemesinin uygulanması gerekiyor. Güncellemenin tamamlanmasının ardından PHP-FPM veya ilgili web sunucusu hizmetlerinin yeniden başlatılması, çalışan süreçlerin yeni sürümü kullanmasını sağlıyor.

Docker ve benzeri konteyner altyapılarını kullanan sistemlerde ise yalnızca ana sunucunun güncellenmesi yeterli olmayabiliyor. PHP içeren konteyner imajlarının da güvenlik yamalarını barındıran sürümlerle yeniden oluşturulması ve dağıtılması gerekiyor.

WordPress ve diğer PHP tabanlı siteler etkileniyor mu?

PHP, WordPress başta olmak üzere çok sayıda içerik yönetim sistemi ve web uygulamasının altyapısında kullanılıyor. Bu nedenle WordPress, Joomla, Drupal ve PHP tabanlı özel yazılımları kullanan internet siteleri de sunucularında güvenlik açığından etkilenen PHP sürümlerinin bulunması hâlinde risk altında olabiliyor.

WordPress çekirdeğinin veya eklentilerinin güncel olması, sunucuda kullanılan PHP sürümündeki bu güvenlik açıklarını tek başına gidermiyor. Paylaşımlı hosting hizmeti kullanan site sahiplerinin ise PHP sürümünü yönetim panelinden kontrol etmeleri veya hosting sağlayıcılarından güncellemenin uygulanıp uygulanmadığına ilişkin bilgi almaları gerekiyor.

Bazı kamu siteleri geçici olarak erişime kapatıldı

Reuters'ın 21 Ekim tarihli haberine göre güvenlik açıklarının ortaya çıkmasının ardından Avrupa'da ve dünyanın farklı bölgelerinde bazı kamu internet siteleri önlem amacıyla geçici olarak erişime kapatıldı.

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) de PHP'deki kritik güvenlik sorununa ilişkin uyarı yayımlayarak saldırganların sunucularda komut çalıştırabilmesine yol açabilecek risklere dikkat çekti.

Güvenlik uzmanları, yamaların uygulanmasının ardından sistemlerin olağan dışı faaliyetler açısından incelenmesini ve olası saldırı girişimlerine ilişkin kayıtların kontrol edilmesini öneriyor. PHP geliştirme ekibi ise güvenlik güncellemelerinin gecikmeden uygulanması gerektiğini vurguluyor.