İnternetin temel taşlarından biri olan ve dünya genelinde milyonlarca web sitesinin altyapısında kullanılan PHP programlama dilinde iki kritik güvenlik açığı keşfedildi. Bu keşif, siber güvenlik otoriteleri tarafından acil uyarılarla duyuruldu ve dünya genelindeki sayısız web sitesinin güvenliği hakkında ciddi endişelere yol açtı.
PHP geliştirme ekibi, CVE-2026-109618 ve CVE-2026-109619 olarak tanımlanan bu açıkları gidermek için acil yamalar hazırladığını duyurdu. Her iki açık da 10 üzerinden 9.2 gibi çok yüksek bir CVSS v4.0 puanına sahip. Yamaların gün içinde yayınlanması bekleniyor.
PHP, internetin büyük bir bölümünü desteklediği için bu açığın potansiyel etkileri oldukça büyük. WordPress, Drupal, Joomla ve Magento gibi popüler platformlar başta olmak üzere, sayısız web uygulaması, barındırma platformu ve yönetim paneli PHP tabanlı olarak çalışıyor.
Avrupa Birliği Siber Güvenlik Yetkililerinden Çevrimdışı Bırakma Uyarısı
Avrupa Birliği'nin Acil Durum Müdahale Ekibi (CERT-EU), bu güvenlik açıklarının kimlik doğrulaması gerektirmeden sunucularda yetkisiz kod çalıştırılmasına (remote code execution - RCE) imkan tanıyabileceği konusunda acil bir güvenlik uyarısı yayınladı. Bu durum, kötü niyetli aktörlerin oturum açma kimlik bilgileri olmadan etkilenen sunucularda istedikleri kodu çalıştırmalarına olanak tanıyabilir.
Bu tür saldırılar, hassas bilgilerin çalınmasına, web sitelerinin içeriğinin değiştirilmesine, gizli sistemlere yetkisiz erişime veya savunmasız sunucuların tamamen ele geçirilmesine yol açabilir.
CERT-EU'ya göre, PHP 5 sürümünden itibaren olan sürümlerin etkilenebileceği belirtiliyor. Ancak geliştirme ekibi henüz hangi sürümlerin tam olarak etkilendiğini ve açığın teknik detaylarını resmi olarak açıklamadı.
Kuruluşların potansiyel olarak savunmasız sistemleri belirlemeleri ve güvenlik yamalarını derhal uygulamaya hazır olmaları şiddetle tavsiye ediliyor. Daha da endişe verici olanı, gerekli düzeltmeleri uygulayamayanların, güvenli hale getirene kadar etkilenen web sitelerini ve uygulamalarını halka açık ağlardan geçici olarak izole etmeyi düşünmeleri öneriliyor.
Bu arada tehditler şimdiden kendini göstermeye başladı. Güvenlik şirketleri, erken saldırı belirtilerini gözlemlediklerini ve ortaya çıkan saldırı yöntemlerine karşı Web Uygulama Güvenlik Duvarı (WAF) korumaları dağıttıklarını doğruladılar. Ancak bu önlemlerin geçici olduğu ve yaklaşan PHP güvenlik güncellemelerinin yerini tutamayacağı vurgulanıyor.
WordPress yöneticileri için önemli bir ayrım vurgulanıyor: WordPress'in kendisini otomatik olarak güncellemek, alttaki PHP kurulumundaki güvenlik açıklarını gidermeyebilir. Web sitesi sahiplerinin, barındırma sağlayıcılarının veya sunucu yöneticilerinin uygun PHP güncellemelerini dağıttığından emin olmaları gerekiyor.
PHP güvenlik ekibi, düzeltmeler kullanıma sunulduğunda kullanıcıları derhal yükseltme yapmaya çağırdı. Güvenlik açıklarının birden fazla PHP sürümünü etkilediği bildirildiğinden, eski ve artık desteklenmeyen sürümleri kullanan kuruluşlar, özellikle kurulumları artık resmi güvenlik yamaları için uygun değilse, ek zorluklarla karşılaşabilir.
Şimdilik öncelik net: Savunmasız PHP kurulumlarını belirlemek, acil güvenlik güncellemelerini mümkün olan en kısa sürede uygulamak ve acil yama uygulamasının mümkün olmadığı durumlarda maruz kalan sistemleri izole etmek.
