Güvenlik Açığı Alarmı: Türkiye'de Hangi Siteler Risk Altında?

Dünya genelinde çok sayıda internet sitesinin altyapısında kullanılan PHP programlama dilinde iki kritik güvenlik açığı tespit edildi. PHP2Shell olarak adlandırılan açıkların, belirli koşullarda saldırganların kullanıcı adı veya parola gerektirmeden etkilenen sunucularda uzaktan kod çalıştırmasına imkân tanıyabileceği belirtildi. Gelişmenin ardından Türkiye’de de kamu kurumları ve sistem yöneticilerine yönelik güvenlik önlemleri gündeme geldi.

CVE-2026-109618 ve CVE-2026-109619 kodlarıyla tanımlanan açıkların her biri, CVSS v4.0 değerlendirmesinde 10 üzerinden 9,2 puan aldı. PHP geliştiricileri, 21 Ekim 2026’da güvenlik güncellemelerini yayımlayarak etkilenen sistemlerin güncellenmesi çağrısında bulundu.

PHP güvenlik açığı nedir?

PHP2Shell, PHP yazılımında tespit edilen iki kritik güvenlik açığını tanımlamak için kullanılan isim. Açıkların, belirli koşullarda saldırganların etkilenen sunucularda uzaktan kod çalıştırmasına neden olabileceği bildirildi.

Söz konusu açıklar kötüye kullanıldığında sunucularda yetkisiz işlemler gerçekleştirilebilir, sistemin erişebildiği hassas verilere ulaşılabilir veya internet sitelerinin çalışması aksatılabilir. Bununla birlikte güvenlik açığının tespit edilmesi, PHP kullanan bütün internet sitelerinin saldırıya uğradığı ya da kullanıcı bilgilerinin ele geçirildiği anlamına gelmiyor.

PHP nedir, ne işe yarar?

PHP, özellikle internet siteleri ve web uygulamaları geliştirmek için kullanılan, açık kaynaklı ve sunucu tarafında çalışan bir programlama dili. İnternet sitelerinin arka planında işlemler gerçekleştirilmesini ve kullanıcıya gösterilen içeriğin dinamik olarak oluşturulmasını sağlıyor.

Kullanıcı hesaplarıyla oturum açılması, formlardan gelen bilgilerin işlenmesi, veritabanındaki içeriklerin görüntülenmesi ve dinamik sayfaların hazırlanması PHP'nin kullanım alanları arasında yer alıyor.

WordPress, Joomla ve Drupal gibi içerik yönetim sistemleri de PHP teknolojisinden yararlanıyor. Bu nedenle PHP'deki güvenlik açıkları, yalnızca yazılım geliştiricilerini değil, söz konusu altyapıları kullanan internet sitesi sahiplerini ve kurumları da ilgilendiriyor.

Hangi internet siteleri risk altında?

Güvenlik açığından etkilenme durumu, sunucuda kullanılan PHP sürümüne ve yapılandırmaya bağlı olarak değişiyor. PHP geliştiricilerinin açıklamasına göre PHP-FPM, Apache üzerinde mod_php, php-cgi, FrankenPHP ve LiteSpeed gibi PHP çalıştırma ortamları risk kapsamında bulunuyor.

Apache mod_php kullanılan sistemlerde riskin daha yüksek olabileceği belirtiliyor. Bu nedenle WordPress, Joomla veya Drupal kullanan bir internet sitesinin yalnızca bu platformları kullanması, tek başına güvenlik açığından etkilendiği anlamına gelmiyor. Asıl belirleyici unsurlar arasında sunucuda çalışan PHP sürümü ve yapılandırması bulunuyor.

Türkiye’de güvenlik önlemleri devreye alındı

PHP'deki kritik güvenlik açıklarının ardından Cumhurbaşkanlığı Siber Güvenlik Başkanlığı da önleyici güvenlik çalışmalarını devreye aldı. Anadolu Ajansının aktardığı bilgilere göre kamu kurumları başta olmak üzere sistemlerde güvenlik taramaları başlatıldı ve ilgili kurumlara gerekli önlemlerin alınması yönünde bildirimler iletildi.

Başkanlık, kamu kurumları ve özel sektör kuruluşları başta olmak üzere sistem yöneticilerine internete açık bilişim altyapılarını gözden geçirmeleri ve yayımlanan güvenlik güncellemelerini gecikmeden uygulamaları çağrısında bulundu.

PHP güvenlik açığı nasıl kapatılır?

PHP geliştiricileri, 21 Ekim 2026 tarihinde güvenlik açıklarını gidermeye yönelik güncellemeler yayımladı. Paylaşılan bilgilere göre güvenlik düzeltmesi içeren sürümler şöyle:

Etkilenen sistemlerin, kullandıkları sürüm ailesine uygun güvenlik güncellemesini içeren sürüme yükseltilmesi gerekiyor. PHP 8.1 ve daha eski sürümler artık PHP projesinden düzenli güvenlik güncellemesi almıyor. Bazı Linux dağıtımları ve uzun süreli destek sağlayıcıları ise eski sürümler için ayrıca güvenlik yamaları sunabiliyor.

Geçici önlemler bazı saldırı yöntemlerinin riskini azaltabilse de güvenlik açığını tamamen gidermek için gerekli düzeltmenin uygulanması önem taşıyor.

WordPress kullananlar ne yapmalı?

WordPress kullanan internet sitesi sahiplerinin öncelikle sunucularında hangi PHP sürümünün çalıştığını kontrol etmesi gerekiyor. WordPress yazılımının ve eklentilerin güncel olması, sunucudaki PHP sürümünün de güvenlik düzeltmesini içerdiği anlamına gelmiyor.

PHP sürümü barındırma hizmeti sağlayıcısı tarafından yönetiliyorsa site sahipleri, gerekli güncellemenin uygulanıp uygulanmadığını hizmet sağlayıcılarından öğrenebilir. Güncelleme sonrasında düzeltilmiş sürümün gerçekten çalıştığının doğrulanması da önem taşıyor.

İnternet kullanıcıları doğrudan etkileniyor mu?

PHP2Shell açıklarının temel hedefi, etkilenen PHP sürümlerini çalıştıran sunucular. Dolayısıyla söz konusu güvenlik açığı, bir internet sitesini ziyaret eden herkesin telefonunun veya bilgisayarının doğrudan ele geçirildiği anlamına gelmiyor.

Ancak bir internet sitesinin sunucusu saldırı sonucunda ele geçirilirse, sunucunun erişebildiği veriler ve siteyi kullanan kişiler açısından dolaylı güvenlik riskleri oluşabilir. Bu nedenle internet sitesi sahiplerinin ve barındırma hizmeti sağlayıcılarının gerekli güncellemeleri uygulaması önem taşıyor.