Siber Güvenlik Başkanlığı, kritik PHP açıkları için alarm verdi

PHP’de tespit edilen iki kritik güvenlik açığı, küresel web altyapısında panik yarattı. Hükümetler ve medya kuruluşları, riskten kaçınmak için sitelerini geçici olarak kapatırken, FBI hızlı bir güncelleme yayınladı.

• CVE‑2026‑109618 ve CVE‑2026‑109619, PHP’de uzaktan kod çalıştırma yeteneği veriyor.
• Finlandiya, Hollanda ve İngiltere gibi ülkelerde kamu kurumları, sitelerini geçici olarak kapattı.
• FBI, güncelleme yapılamayan kuruluşlara sistemleri çevrimdışı tutmalarını öneriyor.

PHP, internetin 80 %’inden fazlasını besleyen bir dil olarak bilinirken, son araştırmalar iki kritik açığı ortaya çıkardı. CVE‑2026‑109618 ve CVE‑2026‑109619, saldırganların PHP çekirdeğinde uzaktan kod çalıştırmasına izin vererek hassas veri sızdırma riskini artırıyor.

Özellikle kamu kurumları ve medya kuruluşları, bu açıkların potansiyel etkisi nedeniyle sitelerini geçici olarak devre dışı bıraktı. Finlandiya’nın e‑hizmetleri, Hollanda’nın Ulusal Halk Sağlığı Enstitüsü ve parlamentonun alt kanadı, Edinburgh Belediyesi’nin web sitesi gibi örnekler, bu panik sürecinin küresel ölçekte yayıldığını gösteriyor.

FBI’nin siber bölümü, kuruluşlara iki yol gösterdi: (1) Acilen güncellenemeyen sistemleri çerçeve dışı tutmak, (2) PHP kurulumlarını yeni güvenlik yamalarıyla hemen güncellemek. Aynı zamanda, şüpheli faaliyetleri izlemek için süreç izleme araçları kullanılması önerildi.

Şu anki bilgiler, PHP’nin resmi duyurusu, CERT‑EU ve CISA’nın Exploited Vulnerabilities kataloğu üzerinden takip edilebilir. Bu olay, web altyapısının karmaşıklığının ve kritik yazılımların güncelleme süreçlerinin ne kadar hassas olduğunu bir kez daha gözler önüne serdi.

Kaynak: ShiftDelete Haberin tam sayfası →

İnternet sitelerinin yüzde 70'ine güç veren PHP programlama dilinde iki kritik güvenlik açığı belirlendi. Uzmanlar uzaktan kod yürütülmesine zemin hazırlayan bu riskin resmi CVSS puanını 9,2 olarak açıkladı. Geliştirici ekip sistem yöneticilerini hızla güncelleme yapmaya çağırdı.

• Resmi ölçekte 9,2, watchTowr analizinde ise 10 tam puanlık tehlike belirlendi.
• Açıkları bulup doğrulama aşamasında GPT-5.6 Sol ve Wiz yapay zekaları kullanıldı.
• WordPress, Laravel ve Drupal gibi yaygın platformları hedef alan istismar araçları görüldü.

Web dünyasının en yaygın altyapılarından biri olan PHP programlama dilinde keşfedilen iki kritik güvenlik zafiyeti küresel çapta geniş çaplı bir hareketlilik başlattı. İnternet üzerindeki aktif sitelerin yaklaşık yüzde 70'inde sunucu tarafı operasyonları yürüten yazılım için resmi geliştirme ekibi 20 Ekim tarihinde güvenlik yamalarını kullanıma sundu. Yapılan duyuruda açıkların kapatılması amacıyla yöneticilerin ivedilikle sistemlerini güncellemesi istendi.

Tespit edilen açıklar resmi CVSS v4.0 derecelendirmesinde 10 üzerinden 9,2 puan alırken siber güvenlik kuruluşu watchTowr tehlike seviyesini doğrudan 10 tam puan olarak bildirdi. Zafiyetlerin kesin teknik detayları ve tam sürüm aralıkları henüz kamuoyuyla paylaşılmadı. Buna karşın açığın laboratuvar testlerinde doğrulanması ve sunucu üzerinde doğrudan komut çalıştırma yetkisi tanıması tehdidin boyutunu katladı.

Söz konusu güvenlik açıklarının gün yüzüne çıkarılmasında gelişmiş yapay zeka modelleri kilit rol üstlendi. Calif bünyesindeki araştırmacıların OpenAI tarafından geliştirilen GPT-5.6 Sol modelini kullanarak keşfettiği zafiyetler, Google çatısı altındaki Wiz güvenlik şirketi tarafından da doğrulandı. Yapay zeka teknolojileri normalde aylar sürebilecek karmaşık mantık hatası senaryolarını dakikalar seviyesine indirerek saldırı araçlarının hızlıca üretilmesine yol açtı.

Siber korsanların hedefinde CVE-2026-109618 ve CVE-2026-109619 kodlu açıklardan yararlanan PHP2Shell isimli bir istismar aracının bulunduğu belirtiliyor. Bu aracın WordPress 7.1.3, MediaWiki 1.46.2, Laravel 13.36.0, Magento 2.4.9 ve Drupal 11.4.10 gibi dev platformlarda yetkisiz kod işlettiği öne sürülüyor. Güvenlik şirketi Sansec ise ilk kitlesel saldırı dalgalarının yamaların çıkışından 15 dakika sonra başlayabileceği uyarısında bulundu.

Kaynak: Webtekno Haberin tam sayfası →

CVSS ölçeğinde 10 üzerinden 9.2 puan alan iki kritik açık nedeniyle PHP güvenliği için alarm verildi. Sızıntıların ardından güvenlik ekibi yamayı 21 Ekim 2026 tarihinde yayınlayacağını duyurdu.

• CVSS 4.0 ölçeğinde 9.2 puan alan iki RCE açığı PHP sistemlerini tehdit ediyor.
• Güvenlik yamasının yayın tarihi sızıntılar sebebiyle 21 Ekim 2026 saat 17:00'ye çekildi.
• Sansec ve Beazley Security uyarılarına göre PHP 5'ten sonraki tüm sürümler etkilenebilir.

PHP güvenlik ekibi, sunucularda uzaktan kod çalıştırmaya izin veren ve oldukça yüksek risk barındıran iki kritik açığı kapatmak üzere harekete geçti. CVSS v4.0 skalasında 10 üzerinden 9.2 puan alan CVE-2026-109618 ve CVE-2026-109619 kodlu zafiyetler, planlanan tarihten önce internete sızdırıldı. WordPress, Drupal ve Magento gibi milyonlarca web sitesine altyapı sağlayan dilin bu derece büyük açıklarla karşılaşması sektörde endişe yarattı.

Daha önce 22 Ekim Perşembe günü yapılacağı söylenen duyuru, gizlilik ambargosunun delinmesi ve güvenlik şirketi watchTowr ile CERT-EU gibi kurumların uyarıları sonrasında bir gün öne alındı. PHP güvenlik ekibi tarafından php.announce listesinde paylaşılan bilgilere göre, güncellemenin 21 Ekim 2026 Çarşamba günü Türkiye saatiyle 17:00 civarında paylaşılması planlanıyor. İstismar girişimlerinin artması durumunda bu saatin daha da öne çekilebileceği ifade ediliyor.

Güvenlik uzmanlarının yaptığı ilk analizler, sorunun tarayıcıların dosya gönderirken kullandığı çoklu parçalı yüklemeler üzerinden yayıldığını gösteriyor. Özellikle session eklentisinin upload_progress özelliğinin bu süreçte tetikleyici rol oynadığı düşünülüyor. Pentestit yazarları ilgili açığın PHP 8.3.6 sürümünde çalıştığını doğrulamış durumda, ancak resmi listede henüz hangi bileşenlerin etkilendiği net olarak paylaşılmadı.

Milyonlarca web sitesini koruyan Hollandalı şirket Sansec, yamalar yayınlandıktan hemen sonra kitlesel saldırı dalgalarının başlayabileceği konusunda uyarıda bulundu. En büyük sorun ise PHP 8.1 ve daha eski sürümlerin artık resmi destek almaması nedeniyle bu sistemler için doğrudan bir yama sunulmayacak olması. Bu durumdaki eski altyapıları kullanan yöneticilerin ya desteklenen sürümlere geçmesi ya da manuel düzenlemeler yapması gerekecek.

Kaynak: Pasquale Pillitteri Haberin tam sayfası →

Yapay zeka destekli keşfedilen PHP güvenlik açıkları, hükümet, hastane ve medya sitelerinin geçici kapatılmasına yol açtı. Uzmanlar, kritik yama sürümü gelecek hafta yayınlanacak diye uyardı.

• PHP’deki kritik güvenlik açıkları, otomatik olarak zararlı kod eklenmesine izin veriyor.
• ABD, AB, UK ve Avustralya gibi ülkeler, sistemleri geçici olarak kapatma kararına geldi.
• Yama yayımlanana kadar kritik kurumların web servisleri çevrimdışı tutuldu.

Dün akşam, yapay zeka destekli bir tarama ile keşfedilen PHP güvenlik açıkları, internetin yarısından fazlasında kullanılan bu dilleri temel alan sistemlere büyük bir tehdit oluşturdu. Açık, giriş yapılmadan zararlı kodların çalıştırılmasına imkan veriyordu; bu da sunucu dosya sistemlerine veya veritabanlarına doğrudan erişim seviyesinde bir risk barındırıyordu.

Hükümet yetkilileri ve siber güvenlik kuruluşları, kısa sürede tüm dünya için alarm durumu ilan etti. Almanya, Fransa ve Hollanda gibi ülkeler, valilik ve kamu sitelerini geçici olarak kapattı.

Finlandiya, Çek Cumhuriyeti ve Türkiye de benzer önlemleri aldı. Wikipedia’yı yöneten Wikimedia Foundation, bazı PHP tabanlı sistemleri yama süresince kapattı. BBC, Edinburgh Belediye Meclisi gibi büyük platformlar da erişim kısıtlaması yaşadı.

Güvenlik ekibi, yama sürümüyle ilgili net bir tarih vermedi, ancak bir hafta içinde kullanılabilir olması bekleniyor. Sistem yöneticileri, yama geldiğinde hemen güncellemeyi uygulamaları çağrısında bulunuyor. Bu olay, PHP’nin güncel sürümlerinin bile hâlâ güvenlik açıkları barındırabileceğini bir kez daha ortaya koydu.

Kaynak: Webtekno Haberin tam sayfası →