Web sitesi yöneticileri dikkat! İnternetin temel taşlarından biri olan PHP programlama dili için yakın zamanda yayınlanması beklenen iki kritik güvenlik açığı yaması, milyonlarca web sitesini tehdit eden olası ciddi güvenlik açıklarını kapatmayı hedefliyor.
PHP geliştiricileri tarafından yapılan açıklamaya göre, şiddet dereceleri 10 üzerinden 9.2 olarak belirlenen iki güvenlik açığı için yamaların birkaç saat içinde yayınlanması planlanıyor.
'PHP2Shell' Tehdidi ve Hazırlıklar
“Tüm PHP kullanıcıları, yama yayınlandığı anda güncelleme yapabilmek için şimdiden hazırlık yapmaya teşvik ediliyor. Herhangi bir güvenlik açığının detayları kamuoyuna açıklanırsa veya aktif sömürü kanıtı ortaya çıkarsa, yamaları daha erken yayınlama hakkımız saklıdır.” ifadesi kullanıldı.
Bu uyarı, henüz doğrulanmamış olsa da olası güvenlik açığına dair detayların sızmasının ardından geldi. Sızan bilgilerde, özellikle PHP'yi kullanan popüler platformlarda kod yürütülmesine olanak tanıyan 'PHP2Shell' adlı bir araç videosunun yer aldığı iddia ediliyor. Bu durum, WordPress, Joomla, Laravel gibi yaygın olarak kullanılan birçok web sitesi ve uygulama için risk oluşturuyor.
Yapılan araştırmalar, bu güvenlik açıklarının PHP'nin 2004'te çıkan PHP 5 sürümünden itibaren tüm PHP sürümlerini etkileyebileceğini gösteriyor. Güvenlik firmaları tarafından yapılan teyitlere göre, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen bu açıkların gerçek olduğu belirtiliyor.
Sektördeki güvenlik araştırmacıları, yamalar yayınlandıktan kısa bir süre sonra toplu saldırıların başlayabileceği yönünde uyarıda bulunuyor. Farklı güvenlik firmaları da yöneticilere acil önlem almaları çağrısında bulunuyor.
Alınması gereken önlemler arasında, bir organizasyonda PHP'nin yönetiminden kimin sorumlu olduğunun belirlenmesi, PHP ile geliştirilmiş tüm uygulamaların envanterinin çıkarılması, acil durum planlarının da dahil olduğu bir bakım penceresinin planlanması, site ve veritabanı dosyalarının yedeğinin alınması ve PHP.net ana sayfasındaki güncellemelerin yakından takip edilmesi yer alıyor. Bazı uzmanlar, yamalar yüklenene kadar kritik olmayan sistemlerin çevrimdışı bırakılmasını tavsiye ediyor.
Dinamik web siteleri ve uygulamaları oluşturmak için kullanılan açık kaynaklı bir betik dili olarak PHP, günümüzde internetin önemli bir yapı taşı haline gelmiştir. WordPress gibi birçok içerik yönetim sistemini çalıştırmanın yanı sıra birçok kurumsal araç da PHP ile güçlendirilmektedir. Tahmini olarak milyonlarca internete bağlı sunucunun bu güvenlik açıklarından etkilenebileceği ve bu tür ciddi güvenlik açılarının internet genelinde büyük hasara yol açma potansiyeli taşıdığı belirtiliyor. Yöneticilerin, yamaların her an yayınlanabileceği bilgisini göz önünde bulundurarak teyakkuzda kalmaları büyük önem taşıyor.
