PHP geliştiricileri acil yama yayımladı: Milyonlarca sunucu alarmda

PHP geliştiricileri, sunucularda uzaktan kod yürütülmesine zemin hazırlayan PHP2Shell güvenlik açıklarını kapatmak için acil güncellemeler sundu. İnternet genelinde yaygın kullanılan yazılımdaki açıkların ciddiyet seviyesi 10 üzerinden 9,2 olarak belirlendi. Web yöneticilerinin sunucu taraflı paketleri gecikmeden güncellemesi gerekiyor.

• Bellek yönetimi hatasından kaynaklanan PHP2Shell açıklarının tehlike skoru 9,2 olarak açıklandı.
• Web sitelerinin yüzde 69,3'ünde kullanılan PHP altyapısında PHP 5.4'e kadar risk var.

İnternet sitelerinin büyük bölümüne güç veren PHP programlama dilinde iki adet kritik güvenlik zafiyeti saptandı. Güvenlik uzmanları, saldırganların sisteme giriş yapmadan WordPress, Drupal ve Joomla gibi platformlarda uzaktan yetkisiz kod işletebildiğini kanıtladı. Sitelerin uygulama kodunda ek bir hata bulunmasa dahi çekirdek yazılımdaki bu sorun doğrudan sunucuyu tehlikeye atıyor.

W3Techs tarafından paylaşılan 21 Ekim tarihli verilere göre sunucu dili belirlenebilen internet sitelerinin yüzde 69,3'ü PHP kullanıyor. Yaşanan krizin temelinde ise PHP'nin bellek yönetimi mimarisindeki aksaklıklar yer alıyor. Yetersiz bellek hataları sırasında yarım kalan işlemler, sistemin geçersiz kalmış verileri çağırmasına yol açıyor. Kötü niyetli aktörler bu durumu lehlerine çevirerek sunucu şifrelerini, oturum kayıtlarını ve API anahtarlarını ele geçirebiliyor.

PHP Vakfı cephesinden yapılan bilgilendirmede, bellek sorununa dair ilk emarelerin aslında 2024 yılında kayıtlara girdiği itiraf edildi. O dönemde pratik bir istismar yolu bulunamaması ve kaynak yetersizliği nedeniyle yamanın geciktiği, bu tablonun kurumsal bir aksaklık yarattığı kaydedildi. Güvenlik firması Wiz ise saldırı yöntemlerinin doğrulanmasında ve açıkların test edilmesinde yapay zeka modellerinin etkin biçimde rol oynadığını bildirdi.

Tehdidin yayılma riski üzerine planlanan takvim öne çekilerek 21 Ekim'de güvenlik yamaları servis edildi. Ancak uzmanlar yalnızca WordPress eklentilerini veya harici güvenlik duvarlarını güncellemenin tam koruma sağlamayacağını, sunucudaki ana PHP yazılımının acilen yükseltilmesi gerektiğini hatırlatıyor.

Kaynak: Tamindir Haberin tam sayfası →

CVSS ölçeğinde 10 üzerinden 9.2 puan alan iki kritik açık nedeniyle PHP güvenliği için alarm verildi. Sızıntıların ardından güvenlik ekibi yamayı 21 Ekim 2026 tarihinde yayınlayacağını duyurdu.

• CVSS 4.0 ölçeğinde 9.2 puan alan iki RCE açığı PHP sistemlerini tehdit ediyor.
• Güvenlik yamasının yayın tarihi sızıntılar sebebiyle 21 Ekim 2026 saat 17:00'ye çekildi.
• Sansec ve Beazley Security uyarılarına göre PHP 5'ten sonraki tüm sürümler etkilenebilir.

PHP güvenlik ekibi, sunucularda uzaktan kod çalıştırmaya izin veren ve oldukça yüksek risk barındıran iki kritik açığı kapatmak üzere harekete geçti. CVSS v4.0 skalasında 10 üzerinden 9.2 puan alan CVE-2026-109618 ve CVE-2026-109619 kodlu zafiyetler, planlanan tarihten önce internete sızdırıldı. WordPress, Drupal ve Magento gibi milyonlarca web sitesine altyapı sağlayan dilin bu derece büyük açıklarla karşılaşması sektörde endişe yarattı.

Daha önce 22 Ekim Perşembe günü yapılacağı söylenen duyuru, gizlilik ambargosunun delinmesi ve güvenlik şirketi watchTowr ile CERT-EU gibi kurumların uyarıları sonrasında bir gün öne alındı. PHP güvenlik ekibi tarafından php.announce listesinde paylaşılan bilgilere göre, güncellemenin 21 Ekim 2026 Çarşamba günü Türkiye saatiyle 17:00 civarında paylaşılması planlanıyor. İstismar girişimlerinin artması durumunda bu saatin daha da öne çekilebileceği ifade ediliyor.

Güvenlik uzmanlarının yaptığı ilk analizler, sorunun tarayıcıların dosya gönderirken kullandığı çoklu parçalı yüklemeler üzerinden yayıldığını gösteriyor. Özellikle session eklentisinin upload_progress özelliğinin bu süreçte tetikleyici rol oynadığı düşünülüyor. Pentestit yazarları ilgili açığın PHP 8.3.6 sürümünde çalıştığını doğrulamış durumda, ancak resmi listede henüz hangi bileşenlerin etkilendiği net olarak paylaşılmadı.

Milyonlarca web sitesini koruyan Hollandalı şirket Sansec, yamalar yayınlandıktan hemen sonra kitlesel saldırı dalgalarının başlayabileceği konusunda uyarıda bulundu. En büyük sorun ise PHP 8.1 ve daha eski sürümlerin artık resmi destek almaması nedeniyle bu sistemler için doğrudan bir yama sunulmayacak olması. Bu durumdaki eski altyapıları kullanan yöneticilerin ya desteklenen sürümlere geçmesi ya da manuel düzenlemeler yapması gerekecek.

Kaynak: Pasquale Pillitteri Haberin tam sayfası →

Siber Güvenlik Başkanlığı, yaygın olarak kullanılan PHP yazılım dilinde tespit edilen iki kritik güvenlik açığı sebebiyle ulusal uyarı yayımladı. Altyapıların zarar görmemesi amacıyla geniş çaplı tarama başlatılırken, kurumlara acil bildirimler iletildi.

• PHP yazılım altyapısında keşfedilen 2 kritik açık için resmi uyarı yayımlandı.
• Türkiye genelinde risklerin sınırlandırılması amacıyla kapsamlı güvenlik taramaları başlatıldı.
• Kamu kurumları, kritik altyapı işletmecileri ve şirketler sistemlerini gözden geçirmeye çağrıldı.

İnternet ağının temel yapı taşlarından biri konumunda bulunan ve dünya genelinde geniş bir kullanım alanına sahip olan PHP programlama dilinde saptanan zafiyetler, resmi makamları harekete geçirdi. Söz konusu altyapıda tespit edilen iki kritik güvenlik açığının ardından Siber Güvenlik Başkanlığı tarafından resmi bir açıklama yapılarak ülke genelinde alarm durumuna geçildiği duyuruldu.

Yürütülen çalışmalar kapsamında potansiyel tehlikelerin erkenden fark edilmesi ve olası zararların minimumda tutulması hedefleniyor. Bu doğrultuda tüm Türkiye sınırları içinde kapsamlı güvenlik taramaları devreye sokulurken, eş zamanlı olarak ilgili tüm resmi kurumlara ve özel sektör paydaşlarına acil kodlu bildirimler doğrudan ulaştırıldı.

Küresel çapta yankı uyandıran bu dijital krizin yerli sistemleri de tehdit etmesi üzerine kurum yetkilileri işletmelere çağrıda bulundu. Kritik altyapı işletmecileri ve kamu kuruluşları başta olmak üzere tüm ilgili yapılar, dijital sistemlerini vakit kaybetmeksizin gözden geçirme ve güncellemeleri hızla uygulama konusunda uyarıldı.

Üretici tarafların sağlayacağı güvenlik yamalarının gecikmeden sisteme entegre edilmesi, sunulan hizmetlerin aksamaması ve veri bütünlüğünün korunması bakımından öncelikli tutuluyor. Başkanlık, PHP tabanlı yazılımları kullanan her yapının güvenlik seviyesini artırması için izlemesi gereken üç temel adımı da kamuoyuyla paylaştı.

Ulusal düzeydeki denetim mekanizmalarının ve önleyici koordinasyon adımlarının kesintisiz bir biçimde sürdürüleceği bilgisi paylaşıldı. Yetkililer, dijital varlıklarını korumak isteyen tüm kurumların kendi iç denetimlerini düzenli aralıklarla tekrarlamasının zorunlu olduğunu vurguladı.

Kaynak: Webtekno Haberin tam sayfası →

Yapay zeka destekli araştırma ile tespit edilen iki kritik PHP açığı, Finlandiya hükümeti, Hollanda ve BBC gibi büyük kurumların web sitelerini geçici olarak kapatmasına yol açtı. Dünyanın dört bir yanındaki hizmetler kısa süreli erişim sorunları yaşadı.

• OpenAI destekli 'Patch the Planet' projesi, PHP’de iki ciddi güvenlik açığı tespit etti.
• Finlandiya, Hollanda ve İngiltere’deki kamu kurumları, BBC ve Wikipedia gibi büyük siteler geçici erişime kapatıldı.
• Güncellemeler yayımlandı ancak zamanında uygulanamayan kuruluşlar sistemlerini devre dışı bıraktı.

Yapay zeka ile yürütülen bir araştırma, PHP programlama dilinde iki kritik güvenlik açığı buldu. Açıklar, web sunucularının yetkisiz erişim ve veri sızıntısı riskini artırırken, hızlı bir çözüm sunmak için dünya çapında alarm oluşturdu.

Finlandiya hükümeti, Hollanda’nın ulusal siber güvenlik kurumu ve BBC'nin bazı sayfaları, savunmasız kalmamak adına internet sitelerini geçici olarak erişime kapattı. Edinburgh Belediyesi’nin web sitesi de aynı gün kapanarak vatandaşların hizmetlere ulaşmasını engelledi.

Güvenlik araştırmacıları tarafından geliştirilen bir düzeltme çarşamba günü yayımlandı. Ancak, güncellemeyi zamanında uygulayamayan kuruluşlar, sistemlerini güvenli hale getirene kadar erişimi kesti. Wikipedia’nın bazı bölümleri ve DeviantArt gibi dijital platformlar da bu önlemler kapsamında kapatıldı.

Açıkları tespit eden araştırmacılar, OpenAI’ın 'Patch the Planet' programına katılarak yapay zeka araçlarını kullanarak PHP kodlarını analiz etti. OpenAI, bu buluşu dönemin en önemli güvenlik sorunlarından biri olarak nitelendirdi ve benzer bir keşfin kendi araştırmacıları tarafından da aynı dönemde yapıldığını belirtti.

Kaynak: DonanımHaber Haberin tam sayfası →